Если скопировать данные из памяти телефона, то расшифровать их без ключа из TrustZone не удастся. Злоумышленнику потребуется или взломать TEE OS, или подменить загрузчик, о чем речь шла выше. Для рядового преступника это крайне сложная операция, но такие организации, как, к примеру, компания Cellebrite, имеют инструменты для взлома целого ряда моделей мобильных устройств, а иногда – и целых семейств моделей с одинаковым набором системной логики. Комплексы компании Cellebrite используются спецслужбами и компаниями по всему миру, в том числе и в России
[913].
Можно устранить уязвимость в виде неизменной фразы «default_password» и тем самым усложнить вероятность доступа к данным, если включить режим безопасного запуска (Secure Startup). В этом случае вместо «default_password» будет использоваться код блокировки, который вводит пользователь. Для владельца смартфона недостаток метода состоит в том, что смартфон до своей полной загрузки будет запрашивать код блокировки, т. е. если устройство случайно перезагрузится, то не сможет принимать/совершать вызовы, отправлять сообщения и т. п., пока пользователь не введет код блокировки.
Недостатки алгоритма FDE с режимом безопасного запуска устранены в пофайловой схеме шифрования (FBE). Устройства с поддержкой FBE используют код блокировки для шифрования большей части информации, в том числе всех персональных данных. При этом файлы, необходимые для загрузки устройства, шифруются с помощью только аппаратного ключа, поэтому режим безопасного запуска при использовании FBE не нужен. Для расшифровки данных с устройств с FDE в режиме безопасного запуска и FBE злоумышленник может попытаться взломать код блокировки методом перебора. Но для защиты от подобных атак скорость перебора паролей ограничивается на аппаратном уровне; быстро перебрать даже код из 4 цифр не получится, а 6 цифр можно перебирать до бесконечности. Но здесь играет роль другой фактор: подавляющее большинство пользователей устройств с FDE не знают о существовании режима безопасного запуска и/или не используют его (хотя бы потому, что это неудобно), поэтому злоумышленникам не понадобится взламывать код блокировки и они смогут расшифровать содержимое устройства с помощью стороннего загрузчика
[914].
Примечание. Во всех моделях смартфонов компании Samsung, выпущенных до 2019 г., используется устаревшее шифрование FDE. Для многих моделей смартфонов можно использовать инженерные загрузчики, утекшие с завода-производителя. При отключенном режиме безопасного запуска такой загрузчик помогает обойти пароль блокировки и расшифровать содержимое устройства. Шифрование FBE применяется лишь в современных моделях Samsung, начиная с моделей Galaxy S10 и S10+, хотя данная технология появилась еще в 7-й версии операционной системы Android. Многие производители, в том числе Huawei, Sony, Motorola, Xiaomi и OnePlus, стали использовать шифрование FBE еще в моделях под управлением Android 7
[915].
Для надежной защиты данных на мобильном устройстве следует обратить внимание на современные Android-модели с шифрованием FBE или устройства компании Apple либо, если используется девайс с полнодисковым шифрованием FDE, использовать на нем режим безопасного запуска, несмотря на некоторые неудобства.
Отложенная блокировка
Функция отложенной блокировки, которой любят пользоваться владельцы смартфонов, чтобы избавиться от необходимости разблокировки девайса после каждого выключения экрана, также угрожает безопасности мобильного устройства. Эта функция поддерживает устройство в разблокированном состоянии после выключения экрана в течение указанного пользователем времени (как правило, несколько секунд или минут). Это рискованно. Если даже пользователь выключит экран, перед тем как устройство попадет в руки злоумышленнику, тот сможет получить доступ к содержимому девайса, который не успеет заблокироваться. Поэтому лучше выбрать вариант мгновенной блокировки устройства после выключения экрана.
Примечание. На устройствах Apple мгновенная блокировка после выключения экрана – единственный доступный вариант (при условии использования биометрической аутентификации). А если аутентификация по отпечатку пальца или лицу отключена (используется ПИН-код или пароль), то можно выбрать промежуток времени, спустя который устройство будет заблокировано.
Доверенные компьютеры и облачные хранилища
Стоит иметь в виду, что утечка данных пользователя может произойти и через доверенный компьютер, к которому он подключает свое мобильное устройство для загрузки контента, создания резервных копий и т. п. Мало кто применяет полнодисковое шифрование на компьютерах, с которыми связаны мобильные девайсы. Получив доступ к такому компьютеру (удаленно или даже физически, если это ноутбук, который пользователь носит с собой), злоумышленник может извлечь из базы данных браузера все необходимые логины и пароли. С помощью этих данных он может авторизоваться в облачном хранилище с учетными данными жертвы и скачать внушительное количество информации с мобильного устройства без непосредственного доступа к нему, а также узнать, где оно находится. Преступнику порой проще (и интереснее, потому что в облаке, как правило, хранятся данные с нескольких девайсов пользователя) получить доступ к облаку iCloud или Google, чем к самому мобильному устройству, и найти там контакты, фотографии, документы жертвы и т. п. Он может совершить это как дистанционно, выяснив логин и пароль (к примеру, методами социальной инженерии), так и с помощью доверенного компьютера жертвы.
Если используется устройство Apple, то – в зависимости от настроек – из облака можно извлечь резервные копии, синхронизированные данные (контакты; заметки; календари; закладки и историю браузера Safari и т. п.); фотографии, в том числе недавно удаленные; журнал звонков; некоторые данные, связанные с картами. Если злоумышленник узнает код блокировки телефона или пароль от компьютера Mac, то ему станут доступны все пароли из iCloud Keychain и данные о повседневной активности (приложение «Здоровье»), а также сообщения SMS и iMessage.
Примечание. Для устройств, работающих под управлением версии iOS 11.4 и ниже, существуют устройства типа GrayKey, позволяющие при подключении к порту Lightning методом перебора взломать ПИН-код для разблокировки девайса. Подбор четырехзначного кода занимает несколько часов, а шестизначного – несколько дней
[916]. В версии iOS 11.4.1 данная уязвимость была устранена: специальная настройка блокирует передачу данных через интерфейс Lightning спустя час после блокировки экрана
[917].
