Физические атаки на смартфон
и элементарные способы от них защититься
- 1. Сброс до завода, или Готовь сани летом
- 2. Чужие руки
- 3. Свежий смартфон – более безопасный смартфон
- 4. Шифрование смартфона
- 5. Методы аутентификации, или Почему сканер отпечатка пальцев – далеко не лучший в
- 6. Гостевой аккаунт, «второе пространство» и прочие способы разделения смартфона ?
- 7. Зачищаем смартфон как профи
- 8. Заклеивать ли камеры и микрофоны на смартфоне?
1. Сброс до завода, или Готовь сани летом
Я видел собственными глазами свежеопубликованные в Instagram фото и видео из белорусских автозаков летом-осенью 2020-го. Человек, который не хочет дополнительных проблем, скорее сбрасывал бы телефон до заводских настроек с удалением всех данных, пока такая возможность была.
Обрати внимание, что на Android сброс можно осуществить и кнопками. То есть, из выключенного состояния. Ходят легенды про уникальных людей, которые могут осуществить такую нехитрую процедуру одной рукой даже не доставая смартфон из кармана. Ничего фантастического, просто нужно хорошенько потренироваться. Подчеркну, что в разных моделях смартфонах эта функция может быть реализована по-разному.
Если у тебя совсем нет времени проводить полную очистку (потому что потребуется ввести пароль), хотя бы постарайся удалить приложения, содержащие твои самые-самые конфиденциальные данные (мессенджеры, почта, данные браузера), и выключить смартфон.
Лучший способ сделать так, чтобы у тебя не нашли миллион долларов – не иметь миллион долларов. Уничтожить смартфон физически и навсегда потерять его в недрах канализации в экстренной ситуации – это не такая уж и бредовая идея. Особенно если ты Большой Человек, ради доступа к информации которого недоброжелатели будут готовы выделить большие человеческие и финансовые ресурсы. А вот разбить смартфон – идея не идеальная, потому что чип памяти, который интересует злоумышленника, очень маленький. Есть риск просто уничтожить дисплей, не повредив при этом внутренний накопитель.
2. Чужие руки
Если не веришь, поищи в интернете статьи «Как следить за смартфоном мужа/жены» или новости а-ля «мужчину/женщину судят за слежку за смартфоном жены/мужа». Увидишь, что программы-шпионы очень распространены даже на бытовом уровне, не говоря уже про их использование авторитарными правительствами в не самых демократичных целях.
Пошаговый разбор на эту тему: Что может произойти с телефоном после временного изъятия спецслужбами и что с этим делать дальше.
Заблокированный смартфон, особенно если речь про руки репрессивного аппарата, тоже в идеальном мире не давать не стоит. Лучше успеть выключить, это занимает действительно секунду.
Пошаговый разбор на эту тему: Что может произойти с телефоном после временного изъятия спецслужбами и что с этим делать дальше.
3. Свежий смартфон – более безопасный смартфон
Как понять, что тебе уже пора купить новый смартфон в целях безопасности? На этот счет есть несколько советов:
1) Если он уже давно не получал обновление прошивки (свежие iOS или Android);
2) Если нашел в новостях информацию о том, что какая-то компания, специализирующаяся на взломе, смогла вскрыть модель, которой ты пользуешься;
3) Если интуиция подсказывает, что уже пора переходить на более свежую безопасную модель.
В следующем пункте про шифрование смартфона будет ссылка на новость о том, что израильская компания отказалась сотрудничать с Россией и Беларусью. Но это совершенно не значит, что уже закупленные до выхода той новости комплексы не смогут вскрыть твой старый смартфон. Или что авторитарные правительства все же не найдут способ закупить новейшие комплексы через «друзей» в других странах. Или что не найдутся другие производители оборудования для взлома, которым на права человека чуть больше, чем наплевать.
4. Шифрование смартфона
Компания Cellebrite объявляла, что сумела взломать операционную систему iOS 11 и iPhone X, через полгода после их выхода. Известно, что Cellebrite выполняет заказы правоохранительных органов по всему миру — в частности, по просьбе ФБР компания взламывала айфон террориста из Сан-Бернардино. Ее технологии закупали российские ФСБ, СК и МВД. Также компания сотрудничала с полицией КНР после подавления акций протеста в Гонконге".
Медуза
"Что касается белорусских властей, администрация Лукашенко приобретала и использовала технологии Cellebrite как минимум с 2016 года, рассказали израильские правозащитники.
Компания Cellebrite объявляла, что сумела взломать операционную систему iOS 11 и iPhone X, через полгода после их выхода. Известно, что Cellebrite выполняет заказы правоохранительных органов по всему миру — в частности, по просьбе ФБР компания взламывала айфон террориста из Сан-Бернардино. Ее технологии закупали российские ФСБ, СК и МВД. Также компания сотрудничала с полицией КНР после подавления акций протеста в Гонконге".
События с закупкой комплексов для взломов разворачиваются буквально на наших глазах. Смотри, новость 2022 года: Следственный комитет закупает программу для взлома смартфонов и компьютеров. Что она умеет? Как к ней относиться? Постараться выполнять хотя бы те несложные шаги, про которые рассказывает «Бяспека».
Владельцам Android чуточку сложнее. Дело вот в чем: Google заявляет, что все смартфоны, начиная с версии Android 6.0 (она вышла в далеком 2015 году), зашифрованы с завода, и все, что тебе нужно сделать, это активировать шифрование и придумать хороший пароль. А если на твоем более или менее свежем смартфоне недоступна функция активации шифрования, значит, скорее всего, память уже зашифрована. Если сомневаешься, лучше уточнить этот момент у производителя устройства.
Но есть и плохие новости. Шифрование смартфонов на Android часто легко взломать (возможно это или нет на конкретно твоей модели, лучше уточнить у эксперта по конкретной модели). Делать это можно как с помощью специализированных дорогих комплексов, которые без труда может закупить авторитарное правительство, так и с помощью различных уязвимостей.
Если ты именно тот человек, ради доступа к информации которого недоброжелатели будут готовы выделить значительные ресурсы или даже посадить целый самолет, а еще ты действительно заботишься о своей безопасности, снова есть две новости. Хорошая состоит в том, что есть грамотные статьи о том, как надежно защитить информацию на смартфонах, например эта: Как защитить смартфон на Android. А плохая новость в том, что статьи написаны далеко не для новичков, и своими силами тебе вряд ли удастся справиться. Если считаешь, что в твоем случае риски слишком велики, чтобы пользоваться штатной защитой, я рекомендую обратиться к надежным знакомым специалистам. Да, это займет время, но тогда ты будешь более спокоен в случае физической атаки.
5. Методы аутентификации, или Почему сканер отпечатка пальцев – далеко не лучший вариант
- Сканер отпечатка пальцев – это не совсем про безопасность, если мы говорим про жителя авторитарной страны. Из свежего: осенью 2021-го специалисты по кибербезопасности еще раз наглядно показали, как как можно взломать любой смартфон со сканером отпечатка пальца. Обрати внимание, для этого эксперимента понадобились материалы ценой меньше $5! К тому же, если твой смартфон был включен, товарищам в спортивных деловых костюмах нужно всего лишь тебя задержать, зафиксировать руку и приложить сканер к пальцу. Однако для воров сканер отпечатка пальцев может стать непреодолимой преградой. Тем более, в отличие от PIN-кода или графического ключа, аутентификацию по сканеру отпечатка невозможно подсмотреть.
- FaceID и прочие аутентификации по лицу несут те же риски, что и способ выше. Тебя достаточно задержать и поднести смартфон к лицу, ведь это дешево и безумно эффективно.
- PIN-код и графический ключ легко подсмотреть и запомнить. Здесь доступно слишком мало вариаций, чтобы ввод было невозможно повторить без твоего участия. А еще твой палец, постоянно нажимающий в одно и то же место, оставляет еле заметные следы на экране, которые специалист считает с помощью нехитрого оборудования.
- Буквенно-цифровой пароль, если он достаточно сложный, может обеспечить тебе неплохую защиту. При условии, что ты его не вводишь под камерами, вблизи сомнительных личностей и не выдаешь ни при каких обстоятельствах. Но вводить длинный сложный пароль каждый раз при разблокировке смартфона может быть банально неудобно. Реальная безопасность – это никогда не про удобство.
Мораль: устанавливать блокировку экрана нужно в любом случае. Но какую именно – ты должен решить сам, трезво оценив все за и против каждого метода в контексте тех моделей угроз, которые ты считаешь для себя актуальными.
6. Гостевой аккаунт, «второе пространство» и прочие способы разделения смартфона на Android
Самый простой пример: популярный Xiaomi позволяет создавать «Второе пространство». Если будешь этим пользоваться в целях безопасности, обрати внимание на настройки. «Пароль второго пространства» нужно включить, а вот в настройках первого пространства выключить пункты «Ярлык в настройках», «Создать ярлык на рабочем столе», «Показывать уведомления от второго пространства» и другие. Чтобы однажды себя не скомпрометировать.
Конечно, если грамотному специалисту удастся вскрыть шифрование не сброшенного до завода смартфона, то он найдет второе пространство, а также файлы и программы в нем. Спросишь: зачем тогда так заморачиваться? Отвечаю: насколько вероятно, что в твоем случае будут так глубоко копать? Может товарищи в спортивных деловых костюмах просто заставят тебя на улице показать смартфон и, не найдя в одном из пространств ничего этакого, отпустят восвояси.
+ Главный плюс работы в гостевом режиме: здесь ты можешь делать конфиденциальные вещи. А в случае чего в два клика удалить «Гостя».
- Главный минус работы в гостевом режиме от Android: прямо на экране блокировки смартфона видно, что у тебя есть такой режим. И спрятать его невозможно. А это называется компрометацией, что не есть хорошо.
Да и с точки зрения вирусной угрозы твоему Android, использование второго пространства или гостевого режима – неплохая идея. Одно место – для важных вещей, другое – для развлечений.
7. Зачищаем смартфон как профи
Поэтому, после того как сбросишь телефон до заводских настроек (обязательно именно так, а не просто удаление фото или документов из памяти, потому что в истории, кэше и черт знает где еще останутся следы всего добра), можешь пройтись по свободному пространству специальной программой.
Если нет желания устанавливать сторонние приложения или не можешь найти подходящее, то просто включи видеокамеру и поставь запись. Пусть записывает видео столько, сколько влезет в свободное пространство смартфона. Тем самым ты перезапишешь ячейки памяти устройства, и вероятность что-то восстановить на нем будет стремиться к нулю. Только не снимай на такое видео-затирку конфиденциальные вещи.
8. Заклеивать ли камеры и микрофоны на смартфоне?
1. Возьми полиэтиленовый пакет без дырок (а если будет непрозрачным, то еще и камеру закроешь).
2. Включи на смартфоне музыку через динамики.
3. Спрячь телефон в пакет. Отнеси «музыкальный» пакет подальше, чтобы не мешал.
4. Если кто-то и будет пытаться тебя подслушать, то пусть слушает музыку :)
Держи лайфхак, как максимально изолировать от смартфона разговоры в окружающем пространстве:
1. Возьми полиэтиленовый пакет без дырок (а если будет непрозрачным, то еще и камеру закроешь).
2. Включи на смартфоне музыку через динамики.
3. Спрячь телефон в пакет. Отнеси «музыкальный» пакет подальше, чтобы не мешал.
4. Если кто-то и будет пытаться тебя подслушать, то пусть слушает музыку :)
На самом деле, решить, заклеивать или нет, можешь только ты сам. Потому что только ты можешь оценить, что тебе угрожает, и вероятность того, будет ли кто-то выделять человека либо недешевый программный анализатор для круглосуточной прослушки твоих разговоров.
Зато я абсолютно уверен, что тебе нужно как минимум пересмотреть, какие приложения на смартфоне имеют доступ к камерам и микрофонам. Вот об этом и поговорим в следующей главе, посвященной программным атакам и уязвимостям, а также элементарным способам от них защититься.