Los datos del usuario no son moneda de cambio. Apple ha realizado importantes esfuerzos para construir su reputaci贸n luchando firmemente contra el FBI y otros funcionarios encargados de hacer cumplir la ley que buscan oportunidades arbitrarias de recopilaci贸n de datos sobre los propietarios de iPhone.
En 2016, Apple se neg贸 a debilitar las defensas de iOS para que el FBI pudiera desbloquear el iPhone del tirador de San Bernardino. Despu茅s de incautar el tel茅fono inteligente de Syed Farouk y fallar diez veces con un c贸digo PIN de cuatro d铆gitos, los agentes de la ley bloquearon el tel茅fono inteligente. Luego, el FBI exigi贸 que Apple creara un sistema operativo especial en el que es posible forzar bruta el c贸digo de seguridad ...
Al principio, las cosas no iban a favor de Apple; el Tribunal de Distrito de los Estados Unidos para California se puso del lado de las fuerzas del orden. Apple present贸 una apelaci贸n, comenz贸 la burocracia y, como resultado de la reuni贸n, el juicio termin贸 por iniciativa del FBI.
Al final, los federales se salieron con la suya con Cellebrite, una empresa privada israel铆 de an谩lisis forense digital, por m谩s de un mill贸n de d贸lares estadounidenses . Por cierto, no se encontr贸 nada en el tel茅fono inteligente.
De manera extra帽a, cuatro a帽os despu茅s, la historia se repiti贸 casi exactamente. En enero de 2020, no cualquiera, sino el fiscal general de los Estados Unidos, William Barr, pidi贸 a la compa帽铆a que ayudara a los investigadores a obtener acceso al contenido de dos iPhones utilizados durante un tiroteo en una base a茅rea naval en Pensacola, Florida, en diciembre de 2019. No es de extra帽ar que Apple haya recibido otro rechazo.
Vale la pena enfatizar que en ambos casos no se trat贸 de una transferencia 煤nica de informaci贸n de Apple. Esto est谩 bien, la empresa transfiere metadatos, copias de seguridad de iCloud con solicitudes oficiales y autorizadas de las fuerzas del orden. La negativa se cumple con demandas para crear y proporcionar una llave maestra universal, un firmware especial de iOS que permite desbloquear tel茅fonos inteligentes confiscados.
Es esta circunstancia la que causa la mayor oposici贸n de la administraci贸n de Apple y personalmente del CEO Tim Cook, quienes creen razonablemente que no hay ni pueden ser puertas traseras benignas, y que la protecci贸n integral de su plataforma m贸vil es solo la primera novedad. Una ganz煤a en buenas manos se convierte muy pronto en una ganz煤a en manos de personas dudosas, y tal vez estar谩 all铆 desde el primer d铆a.
Entonces, ahora sabemos que iOS no tiene lagunas especiales creadas para las agencias de aplicaci贸n de la ley. 驴Significa esto que el iPhone es inmune a la penetraci贸n y al robo de datos?
Comprobaci贸n de vulnerabilidad de BootROM m8
A finales de septiembre de 2019, un investigador de seguridad de la informaci贸n con el apodo axi0mX public贸 el c贸digo de explotaci贸n en Github para casi todos los dispositivos Apple con chips A5 - A11. La peculiaridad de la vulnerabilidad encontrada es que se encuentra a nivel de hardware y no puede ser eliminada por ninguna actualizaci贸n de software, ya que est谩 oculta en el propio mecanismo de protecci贸n de arranque seguro BootROM, tambi茅n conocido como SecureROM.
El modelo de arranque de iOS de la presentaci贸n de Apple WWDC 2016.
Durante el arranque en fr铆o, SecureROM es el primero en ejecutarse desde una memoria de solo lectura, que es el c贸digo m谩s confiable en el procesador de aplicaciones y, por lo tanto, se ejecuta sin ninguna verificaci贸n. Esta es la raz贸n por la que los parches de iOS son impotentes aqu铆. Y tambi茅n es extremadamente importante que SecureROM sea responsable de la transici贸n del dispositivo al modo de recuperaci贸n (Actualizaci贸n del firmware del dispositivo) a trav茅s de la interfaz USB cuando se presiona una combinaci贸n especial de teclas.
Cambiando iOS al modo DFU.
La vulnerabilidad Use-after-Free ocurre cuando hace referencia a la memoria despu茅s de que se ha liberado. Esto puede tener consecuencias desagradables, como fallas del programa, valores impredecibles o, como en este caso, la ejecuci贸n de c贸digo de terceros.
Para empezar, para comprender el mecanismo de explotaci贸n, debemos comprender c贸mo funciona el modo de recuperaci贸n del sistema. Cuando un tel茅fono inteligente ingresa al modo DFU, en el momento de la inicializaci贸n, se asigna un b煤fer de E / S y se crea una interfaz USB para procesar las solicitudes a DFU. Cuando el paquete de instalaci贸n 0x21, 1 llega a trav茅s de la interfaz USB en la etapa de transferencia de control USB, el c贸digo DFU, despu茅s de determinar la direcci贸n y el tama帽o del bloque, copia los datos del b煤fer de E / S en el 谩rea de la memoria de arranque.
Estructura del paquete de configuraci贸n de transferencia de control USB.
La conexi贸n USB permanece activa mientras se carga la imagen de firmware, despu茅s de lo cual finaliza normalmente. Sin embargo, tambi茅n existe un escenario anormal para salir del modo DFU, para esto debe enviar la se帽al de cancelaci贸n de DFU de acuerdo con el c贸digo bmRequestType = 0x21, bRequest = 4. Al mismo tiempo, se conserva el contexto global del puntero al b煤fer de datos y el tama帽o del bloque, creando as铆 una situaci贸n cl谩sica de vulnerabilidad Use-after-Free.
Checkm8 esencialmente explota una vulnerabilidad Use-after-Free en el proceso DFU para permitir la ejecuci贸n de c贸digo arbitrario. Este proceso consta de varias etapas, pero una de las m谩s importantes es la conocida como heap feng shui , que baraja el mont贸n de una manera especial para facilitar la explotaci贸n de la vulnerabilidad.
Ejecute el comando ./ipwndfu -p en macOS.
En t茅rminos pr谩cticos, todo se reduce a poner el iPhone en modo DFU y ejecutar un simple comando ./ipwndfu -p. El resultado de la acci贸n del script Python es desbloquear todo el sistema de archivos del tel茅fono inteligente con acceso no autorizado. Esto hace posible instalar el software iOS de fuentes de terceros. Por lo tanto, los atacantes y los agentes del orden pueden acceder a todo el contenido de un tel茅fono inteligente robado o incautado.
La buena noticia es que para hacer jailbreak e instalar software de terceros, se requiere acceso f铆sico al tel茅fono de Apple y, adem谩s, despu茅s de un reinicio, todo volver谩 a su lugar y el iPhone estar谩 seguro, as铆 se llama. fuga de la c谩rcel atado. Si le quitaron su tel茅fono inteligente en la frontera y luego lo devolvieron, es mejor no volver a tentar al destino y reiniciar.
iCloud y copias de seguridad casi seguras
Ya se ha dicho anteriormente que en el 煤ltimo enfrentamiento entre el FBI y Apple por el tiroteo en Pensacola, la empresa entreg贸 a los agentes del orden, copias de seguridad de iCloud de los tel茅fonos de los sospechosos. El hecho de que el FBI no se burlara sugiere que estos datos, a diferencia del iPhone bloqueado, eran bastante adecuados para la investigaci贸n.
Ser铆a ingenuo creer que se trata de un caso aislado. Solo en la primera mitad de 2019, los investigadores obtuvieron acceso a casi 6,000 copias de seguridad de iCloud completas de usuarios de tel茅fonos inteligentes Apple 1,568 veces . En el 90% de las solicitudes del estado. estructuras, la empresa proporcion贸 algunos datos de iCloud, y hubo alrededor de 18 mil solicitudes de este tipo en el mismo per铆odo.
Esto fue posible despu茅s de que Apple descart贸 silenciosamente un proyecto para proporcionar cifrado de extremo a extremo de las copias de seguridad de iCloud a los usuarios hace dos a帽os. Existe evidencia de que esto se hizo despu茅s de la presi贸n del FBI. Sin embargo, tambi茅n hay razones para creer que la negativa est谩 motivada por el deseo de evitar una situaci贸n en la que los usuarios, debido a una contrase帽a olvidada, no puedan acceder a sus propios datos de iCloud.
Como resultado de un compromiso con las agencias de aplicaci贸n de la ley y los usuarios, ha surgido un l铆o en el que no es obvio qu茅 datos en iCloud est谩n ocultos de manera confiable y cu谩l es regular. Como m铆nimo, podemos decir que el cifrado de extremo a extremo se aplica a las siguientes categor铆as.
- Datos de la casa.
- Datos m茅dicos.
- Llavero ICloud (incluidas cuentas y contrase帽as guardadas).
- Datos de pago.
- Teclado QuickType de vocabulario acumulado (requiere iOS v.11).
- Tiempo de pantalla.
- Datos de Siri.
- Contrase帽as de Wi-Fi.
Los empleados de Apple y las autoridades competentes pueden leer cualquier otra cosa, incluidos los Mensajes .
Nueva vulnerabilidad a nivel de hardware
Hace una semana, el equipo de desarrollo chino Pangu Team inform贸 que hab铆a encontrado un problema fatal, esta vez en el chip SEP (Secure Enclave Processor). Todos los iPhones con procesadores A7-A11 est谩n en riesgo.
SEP almacena informaci贸n clave, literalmente. Estos incluyen funciones criptogr谩ficas, claves de autenticaci贸n, datos biom茅tricos y un perfil de Apple Pay. Comparte parte de la RAM con el procesador de aplicaciones, pero la otra parte (conocida como TZ0) est谩 cifrada.
Secuencia de arranque SEP.
SEP en s铆 es un n煤cleo de procesador AKF borrable de 4 MB (probablemente Apple Kingfisher), patente n煤m . 20130308838 . La tecnolog铆a utilizada es similar a ARM TrustZone / SecurCore, pero a diferencia de ella, contiene c贸digo propietario para los n煤cleos Apple KF en general y SEP en particular. Tambi茅n es responsable de generar claves UID en A9 y chips m谩s nuevos, para proteger est谩ticamente los datos del usuario.
SEP tiene su propia ROM de arranque y est谩 protegido contra escritura al igual que SecureROM / BootROM. Es decir, una vulnerabilidad en SEPROM tendr谩 las mismas consecuencias desagradables y fatales. Al combinar el agujero SEPROM con el exploit checkm8 mencionado anteriormente, puede cambiar el registro de mapeo de E / S para evitar la protecci贸n de aislamiento de memoria. En t茅rminos pr谩cticos, esto permite a los atacantes bloquear el tel茅fono sin poder desbloquearlo.
Los piratas inform谩ticos de Pangu han demostrado que pueden explotar un error en el controlador de memoria que controla el contenido del registro TZ0. No revelaron todos los detalles y el c贸digo fuente, con la esperanza de vender su hallazgo a Apple.
El investigador de seguridad de la informaci贸n axi0mX, ya conocido por nosotros, escribi贸 en Twitter que la vulnerabilidad en SEPROM solo se puede explotar con acceso f铆sico al tel茅fono inteligente, como en el caso de checkm8. M谩s precisamente, la posibilidad misma de manipular el contenido del registro TZ0 depende de la presencia de un agujero en el SecureROM / BootROM, ya que despu茅s de un arranque regular del iPhone, el valor del registro TZ0 no se puede cambiar. Los nuevos modelos de iPhone con SoC A12 / A13 no se ven afectados por la nueva vulnerabilidad.
Materiales usados
- El FBI quer铆a una puerta trasera para el iPhone. Tim Cook dijo que no
- An谩lisis t茅cnico del exploit Checkm8
- ! checkm8
- Demystifying the Secure Enclave Processor
- Team Pangu demonstrates unpatchable Secure Enclave Processor (SEP) chip vulnerability in iOS
