FROST: Восстановление скремблированных телефонов

Перевод статьи FROST: Forensic Recovery Of Scrambled Telephones, Friedrich-Alexander-Universität

I. Аннотация

В конце 2011 года Google выпустила версию 4.0 своей операционной системы Android для смартфонов. Впервые владельцы смартфонов получили в свое распоряжение функцию шифрования диска, которая прозрачно шифрует разделы пользователей, тем самым защищая конфиденциальную информацию от целенаправленных атак, которые обходят блокировку экрана. С другой стороны, это кошмар для ИТ-судебно-медицинской экспертизы и правоохранительных органов, потому что шифрование устройства существенно уменьшает шансы восстановления данных, кроме брутфорса.

Мы представляем FROST - набор инструментов для восстановления зашифрованных телефонов. С этой целью мы проводим атаку холодной загрузки против Android смартфонов, извлекая ключи шифрования диска из оперативной памяти. Мы покажем, что взлом при холодной загрузке телефонов Android, как правило, возможен единожды, и мы применим нашу атаку против Galaxy Nexus устройств от Samsung. Чтобы убрать шифрование диска, загрузчик должен быть разблокирован перед атакой, потому что данные пользователя затираются во время разлочивания устройства. Тем не менее, мы продемонстрируем, что подобные атаки более универсальны и позволяют получать конфиденциальную информацию, например, списки контактов, посещаемые веб - сайты, а также фотографии, непосредственно из памяти, даже если загрузчик заблокирован.

II. Загрузки

Технический отчет: FROST будет представлен на ACNS 2013 (авторы- Tilo Müller и Michael Spreitzenbarth)

Образ для восстановления: frost.gnex.img (для устройств Galaxy Nexus, прошивка ClockwordMod)

Загружаемый модуль ядра: frost.lkm.tgz (исходный код для Linux включает в себя Android бинарный файл)

4-значные PIN-коды: frost.crackpin.tgz (исходный код и статически скомпонованный двоичный файл для Android, требуется PolarSSL)

FROST: freezing_droid.tgz (Сводный результат: droid.png)

Внешние ресурсы: кросс-скомпилированные dmsetup-утилиты; и модуль судебно-медицинской экспертизы LiME.

III. Практическое руководство по восстановлению

1) Мы обеспечиваем предварительно скомпилированный, легкий в использовании образ восстановления для развертывания атаки холодной загрузки устройств против Samsung Galaxy Nexus. Если у вас есть другое устройство, вы можете использовать наши системные инструменты, упомянутые в разделе загрузки, чтобы создать свой собственный образ восстановления.	2) Предположим, вы получили физический доступ к устройству, которое зашифровано (на базе Android 4.0) и заблокировано. И вы хотите получить доступ к своим данным, но не знаете PIN-код.
3) Во-первых, проверьте, что телефон имеет достаточную мощность в течение следующего часа. Если нет - нужно зарядить его. Упакуйте устройство.	4) Затем положите телефон в морозильную камеру. Охлаждение мобильного устройства до 10 градусов по Цельсию значительно повышает успешность холодной загрузки, потому что содержимое оперативной памяти "уходит" медленнее, если RAM чипы холодные.
5) Оставьте телефон внутри в морозильной камере при температуре -15 градусов по Цельсию в течение примерно 60 минут. Кстати, мы не предоставляем гарантию. Все делается на ваш страх и риск, но мы не испытывали никаких проблем (пока) при восстановлении девайса.	6) Температура телефона должна быть ниже 10 градусов. Обратите внимание, что температура изменяется в зависимости от материала  (металл или пластик). Обычно мы измеряем точку материнской платы телефона (ниже слота SIM-карты)
7) Если телефон достаточно холодный, быстро проверьте, работает ли он, нажав на кнопку питания. Если да, то мы теперь готовы развернуть атаки против холодной загрузки.	8) К сожалению, в Galaxy Nexus нет кнопки перезагрузки, и отключение неиспользуемого программного обеспечения происходит слишком медленно.
9) Таким образом, мы должны перезагрузить устройство и быстро подключить батарею снова. Для этого снимите крышку батарейного отсека.	10) Поднимите аккумулятор медленно, не отключая его от телефона, пока он не будет немного выше корпуса устройства.
11) Затем вставьте батарею назад и вперед очень быстро, чтобы он отключился от телефона за 500 мс.	12) Сразу же после этого (или лучше раньше) удерживайте кнопку питания вместе с двумя клавишами регулировки громкости.
13) После этого вы попадете в режим "быстрой загрузки", а не загрузки в Android. В режиме быстрой загрузки мы можем загрузить наш образ восстановления FROST на устройство.	14) Подключите смартфон к Linux ПК через USB. На Linux FastBoot утилиты должны быть установлены.
15) Загрузите frost.img файл в раздел загрузки на телефон: 'fastboot flash recovery frost.img'. Для этой выполнения этой команды загрузчик должен  быть разблокирован.	16) После завершения операции прошивка закончена, и вы можете выбрать опцию "Режим восстановления" в меню быстрой загрузки.
17) Теперь телефон загружается в FROST, без необходимости перезагрузки (что важно в случае холодной загрузки).	18) Внутри образа восстановления мы предлагаем попробовать восстановление ключей FDE из ОЗУ с помощью режима быстрого поиска. Если это не помогает, вы можете попробовать полный поиск или брутфорс. В случае успеха вы можете даже расшифровать раздел пользователя.

Изображения находятся под лицензией Creative Commons Attribution-NonCommercial-ShareAlike 3.0 Germany License.