Probabil ați aflat deja despre telenovela dintre Apple și FBI. Cu ceva timp în urmă a avut loc un atac terorist în SUA, iar unul dintre atacatori a folosit un iPhone 5c pentru a comunica înainte de atac. Acel iPhone avea o parolă care, dacă este introdusă greșit de mai multe ori, toate datele de pe telefon se șterg. Mai târziu s-a dovedit că un angajat al guvernului s-a jucat deja cu el și l-a blocat, înainte ca FBI-ul să ceară ajutorul Apple.
Dacă nu își băga nasul acea persoană era mai ușor, dar acum singura șansă de a accesa datele este ca Apple să dezvolte un software care să ocolească acest sistem de securitate. FBI-ul le-a cerut deja asta printr-un ordin judecătoresc însă Apple nu vrea să o facă. Argumentul lor este că acel soft ar putea fi folosit de către FBI și nu numai pe toate celelalte iPhone-urile pentru … știți voi … spionaj. Plus că asta ar crea un precedent și s-ar putea ca Apple să fie silită și de alt guvern să facă asta. E clar că această rezolvare nu se rezumă doar la un dispozitiv și că pe viitor ar putea avea implicații mult mai serioase.
Între timp s-a amestecat mai toată America în scandal. Până acum Casa Albă și Donald Trump sunt alături de FBI. CEO-ul Google, cel al lui Twitter și Mark Cuban sunt alături de Apple. Până și John McAfee, creatorul primului antivirus comercial și un personaj foarte controversat, s-a oferit să ajute FBI-ul să treacă de sistemul de securitate.
Nu știu ce mi se pare mai înfricoșător. Faptul că FBI-ul ar putea instala un backdoor pe toate telefoanele iPhone sau faptul că cea mai tare agenție de informații din lume nu este în stare să afle niște informații utile la x luni după un atac terorist? Nu mai zic că teoretic job-ul lor ar fi fost să prevină atacul. FBI-ul pare că pur și simplu că nu știe ce face și că încearcă să trateze efectul și nu cauza. Ei vor acces la milioane de dispozitive în condițiile în care securitatea lor tocmai ce a fost compromisă recent de un hacker care pretinde că are 15 ani.
Ce-i drept, noi cunoaștem povestea mai mult din perspectiva Apple, pentru că FBI nu face atâtea declarații. Şi oricum, nu vom ști mai multe decât ce se declară public. Apple poate declara orice public pentru un plus de imagine, dar poate în spatele cortinei deja au o înțelegere cu FBI.
P.S: Puteți urmări un timeline al evenimentelor pe Techcrunch.
Nu asta e îngrijorător. Să zicem că dispozitivul ăla se mai sparge pe sub mână sau se găsesc alte metode.
Problema este că se face pe față. Tribunalul ordonă Apple să permită accesul autorităților la telefonul cuiva. Mâine ar putea ordona să permită accesul și la un alt telefon, fără legătură cu acest caz. Poimâine China ar putea spune “dați-ne backdoor-ul și nouă că altfel nu vă mai lăsăm să vindeți aici; știm că aveți unul, de ce să-l aibă doar americanii?”
Chinezii il vor cere prima data pentru un caz cel putin la fel de legitim. Si rusii la fel.
Adica vrei sa spui ca FBI nu are niste programatori competenti care sa fac chestia asta fara mare bataie de cap ?
criptografia e o problema matematica complicata datorita puternii de calcul necesare, degeaba ar avea programatori oricit de geniali.
…si oricum, puterea de calcul si programatorii sint la NSA.
Mai intai sa lamurim cateva lucruri:
“Mai târziu s-a dovedit că un angajat al guvernului s-a jucat deja cu el și l-a blocat, înainte ca FBI-ul să ceară ajutorul Apple.”
Intre iPhone si iCloud se poate crea un backup automat. Atacatorii au oprit acel backup automat cu 2-3 luni inainte sa comita masacrul. Ce au incercat agentii guvernamentali? Sa dea reset la parola de iCloud pentru a forta un backup de pe iPhone fara ca sa fie nevoie de logarea efectiva din iPhone. Nu la manuirea telefonului au dat gres ci la incercarea de a accesa conturile pentru a forta un backup, intrucat Apple au fost obligati in trecut si inca sunt ca la orice ordin judecatoresc de a preda datele din iCloud sa-l onoreze.
“Până și John McAfee, creatorul primului antivirus comercial și un personaj foarte controversat, s-a oferit să ajute FBI-ul să treacă de sistemul de securitate.” Ca s-a oferit e una, ca e de partea FBI e cu totul altceva.
El s-a oferit sa treaca de sistemul de securitate fara ca sa dea vreodata detaliile celor de la FBI si in acest fel sa nu se creeze backdoorul cerut de catre agentia americana. Intentii oarecum onorabile dar realizarea efectiva nu ii va putea opri pe cei de la FBI/NSA sa sustraga intr-un fel sau altul codul sursa de la rezolvarea gasita de McAfee si echipa lui.
“Faptul că FBI-ul ar putea instala un backdoor pe toate telefoanele iPhone sau faptul că cea mai tare agenție de informații din lume nu este în stare să afle niște informații utile la x luni după un atac terorist? Nu mai zic că teoretic job-ul lor ar fi fost să prevină atacul.”
Toate agentiile guvernamentale plang de la inceputul anilor ’90 cu placa “Vai, comunicarea criptata ne impiedica sa interceptam comunicarea intre teroristi. Avem nevoie de backdoor, golden key la care sa avem acces doar noi, agentiile de spionaj”. Cat de bine a mers treaba asta cand a venit vorba de secuiratea lacatelor TSA? Foarte prost si in mediul digital evident ca lucrurile o vor lua si mai rau pe aratura:
http://arstechnica.com/security/2015/09/video-3d-printed-tsa-travel-sentry-keys-really-do-open-tsa-locks/
Incompetenta agentiilor de spionaj nu e un subiect nou. Ei nu sunt in stare sa opreasca un “mass shooting” anuntat dinainte cu nume si prenume si locatie:
http://arstechnica.com/tech-policy/2015/10/ominous-messages-left-on-4chan-day-before-oregon-college-killings/
http://www.wired.com/2013/04/4chan-mall-shooter/
Nu au fost in stare sa opreasca atacurile teroriste de la Boston, Charlie Hebdo si Paris in conditiile in care atacatorii nu au comunicat criptat. Criptarea nu este acea “piedica existentiala” de care se lovesc ei in incercarea de a preveni un atac terorist. Implicit, orice cerinta de tipul “backdoor” sau “mass surveillance” pica din start din cauza tuturor esecurilor precedente care au dovedit lipsa totala de eficienta a acestor mijloace.
In cele din urma, este mai mult vorba despre “confort” si “control”. La ce ma refer cand vine vorba de confort? Pai FBI si NSA pot sa dedice jumate din toate resursele lor computationale sa sparga o parola.
Dar ar fi o intreaga irosire de resurse pentru un dispozitiv care la urma urmei ar putea foarte bine sa nu contina nici un soi de informatie utila. Ei doar “presupun” ca toate informatiile utile legate de atac si contacte se afla acolo dar nu au nici cea mai mica dovada care sa sustina acest lucru. Implicit solutia cea mai simpla este sa-i rupi mana unui judecator ca sa forteze victima/atacatorul/producatorul dispozitivului sa-ti dea parola print-un ordin judecatoresc.
“Atacatorii au oprit acel backup automat cu 2-3 luni inainte sa comita masacrul” – de fapt sint 6 saptamini si nu e vreo dovada ca ar fi oprit intentionat backup-ul, ci pur si simplu nu a fost facut (poate ca nu a fost in raza unui Wi-fi configurat sa il declanseze automat). In plus, din cele 6 saptamini exista deja de la furnizorii se servicii lista numerelor de telefon cu care au vorbit, a adreselor de mail cu care au corespondat etc.
Politia din San Bernadino zice “there is a reasonably good chance that there is nothing of any value on the phone”, dar tot il vor decriptat (sursa: http://www.businessinsider.com/san-bernardino-police-reasonably-good-chance-nothing-of-value-on-shooters-iphone-2016-2)
http://hothardware.com/news/fbi-admits-agency-goofed-by-resetting-terrorists-icloud-password
“There was a mistake made in the first 24 hours, where the county, at the FBI’s request, made it hard to make the phone back up by [changing he password of] the iCloud account,” – cam ce ziceam mai sus, au incercat sa forteze backup via contul de iCloud si au dat chix.
http://www.kitguru.net/gaming/security-software/jon-martindale/fbi-authorities-admit-they-would-use-iphone-hack-again/
“However countering that claim, the FBI and the Manhattan district attorney, have now both admitted that they would use an Apple back door to unlock close to 200 other smartphones if they win the case.” – No shit, Sherlock 😀
@nicu: cam asta punctam si eu cu ultimele paragrafe. Ca exemplu mai este cazul de la inceputul anului cu o persoana ucisa care avea in posesie un telefon samsung si un iphone, ambele criptate. La care cei de la politie/FBI/NSA etc. tot aruncau argumente ca “sigur pe telefonul ala sunt dovezile de care avem nevoie ca sa rezolvam cazul. Criptarea de pe ele ne impiedica sa gasim solutia. Herpa derp!”
https://theintercept.com/2015/08/11/many-things-wrong-anti-encryption-op-ed-new-york-times/
Ce este mai trist? Faptul ca sunt din ce in ce mai multe articole in publicatii de talia NY Times, WashingtonPost etc. in care autorii chiar cer crearea unui backdoor digital si incearca sa arate degetul inspre Snowden: “iote-l ba p-asta! Din cauza lui se cripteaza acuma comunicatiile si politia nu-si poate face treaba sa prinda criminali si teroristi!”
Mamă cât de mișto este referința aia cu TSA Locks, nu știam despre problema asta. Legat de “golden key”, iată ceva senzațional scris de John McAfee acum câteva zile: http://www.businessinsider.com/john-mcafee-nsa-back-door-gives-every-us-secret-to-enemies-2016-2
http://arstechnica.com/tech-policy/2016/03/feds-break-through-seized-iphone-stand-down-in-legal-battle-with-apple/
http://www.zdziarski.com/blog/?p=6015
Cam ce ziceam mai sus, FBI pot sa dedice resurse ca sa sparga telefonul daca vor. E clar ca grupul cu care a colaborat au primit o remuneratie destul de semnificativa pentru acest mod de a accesa telefonul:
https://www.schneier.com/blog/archives/2016/03/fbi_vs_apple_wh.html
Problema acuma e alta. Avand in vedere ca stim in mare in ce consta metoda folosita, cum pot sa modifice Apple/Google dispozitivele ca sa nu fie vulnerabile unui astfel de atac? Metoda se bazeaza pe clonarea memoriei NAND, ori asta nu prea poate fi oprit daca deja ai scos cipul de pe placa de baza. Seaman intr-un fel cu vulnerabilitatea de tipul “cold boot attack”, care la fel, e aproape imposibil de pus vreun safeguard.
Anyway, cei care au avut de pierdut sunt cei de la FBI, acuma e mai mult ca oricand clar ca tot ce voiau ei era sa creeze un precedent prin care sa aibe apoi acces facil la orice alt iPhone, alaturi de colaborarea justitiei. Asta si faptul ca o sa gaseasca aproape zero informatii utile 😀
Nu platesc cine stie ce, suma vehiculata este de 15.000$, care e practic nimic fata de cit au cheltuit pina acum cu procesul contra Apple. Iar cei care sparg efectiv, firma Cellbrite, se multumeste cu putin pentru ca a) e reclama buna pentru ei si b) urmeaza imediat alte citeva sute de telefoane la decriptat.
De modificat dispozitivele nu e nevoie, spargerea asta functioneaza numai pentru ca a) e vorba de un model vechi de telefon si b) utilizatorul a pus un PIN simplu de 4 cifre (ambele conditii sint necesare). Telefoanele mai noi, de la iPhone 6 in sus, care au chip dedicat (la Android nu e clar care modele, sigur alea mai noi si mai scumpe) nu mai pot fi sparte asa.