كيف يتغلب التصيد الاحتيالي الحديث على المصادقة متعددة العوامل الأساسية | يوبيكو

قبل عامين ، في مؤتمر أمان الإنترنت Black Hat US ، تمت دعوة فريق Yubico للتحدث عن كيفية عمل التصيد الاحتيالي المتقدم وكيف يمكن لمعايير مصادقة FIDO و YubiKeys المساعدة في التخفيف من هذه الهجمات.

يخطف المتسللون اليوم بشكل متزايد أكواد الاستخدام لمرة واحدة ويدفعون الإخطارات أثناء النافذة القصيرة عندما تكون صالحة ، والهجوم والاستيلاء على الحساب غير مرئي للمستخدم.

مع الارتفاع الأخير في التصيد بالرمح باستخدام هذه الأساليب ، قررنا البناء على عملنا السابق و تبين كيف يبدو أن يتم التصيد الاحتيالي بهذه التقنيات الحديثة عند استخدام عدة أنواع من المصادقة الأساسية متعددة العوامل.

إذا كانت بعض هذه المصطلحات غير مألوفة ، فلا تقلق ، فسنراجعها في هذا الفيديو.

شكر وتقدير

تحتوي هذه الروابط على تفاصيل الهجمات الأخيرة. تعرض مقالة كريبس على وجه الخصوص لقطات شاشة لبعض صفحات التصيد المستخدمة ضد عدة أهداف. كان موقع Twitter مفتوحًا تمامًا وتم نشره علنًا حول الحادث الأمني ذي الصلة.

• مقالة آندي جرينبيرج السلكية
• منشور بريان كريبس حول التصيد / التصيد على نطاق واسع للشركات
• مكتب التحقيقات الفدرالي و CISA الاستشاري المشترك لوزارة الأمن الداخلي بشأن هذه الأمور
• مقال شون هوليستر The Verge حول الاعتقالات اللاحقة
• منشور مدونة تويتر العامة حول الهجمات التي واجهوها وما حدث وماذا يفعلون

حدثت مجموعة مختلفة من الهجمات المماثلة خلال السنوات القليلة الماضية وهي خطيرة للغاية. لدى منظمة العفو الدولية ثلاث مقالات متعمقة تعرض بالتفصيل تقنيات التصيد الاحتيالي التي استخدمها على ما يبدو مهاجمون بدوافع سياسية ضد المدافعين عن حقوق الإنسان والصحفيين ومنظمات المجتمع المدني في الشرق الأوسط ومصر وشمال إفريقيا خلال عامي 2018 و 2019. هذا مثال واضح على كيفية معرفة المهاجمين بضحاياهم ، وسيستخدمون الأشياء التي يهتمون بها (الأمان) لمحاولة خداعهم.

• https://www.amnesty.org/en/latest/research/2018/12/when-best-practice-is-not-good-enough/
• https://www.amnesty.org/en/latest/research/2019/03/phishing-attacks-using-third-party-applications-against-egyptian-civil-society-organizations/
• https://www.amnesty.org/en/latest/research/2019/08/evolving-phishing-attacks-targeting-journalists-and-human-rights-defenders-from-the-middle-east-and-north-africa/

كما لم يتم تناول الهجمات على المصادقة القائمة على الرسائل القصيرة حيث يتم الاستفادة من شبكة الهاتف عبر اتصالات العمود الفقري أو مبادلات sim لاعتراض الرمز الذي كان من المفترض أن تحصل عليه الضحية. اقرأ أدناه لمعرفة المزيد حول هذا:

• حادثة رديت في 2018
• أشخاص مطلعون على AT&T و Verizon مكلفين بمساعدة المجرمين في الوصول إلى أرقام الهواتف
• تم الاستيلاء على حساب Jack Dorsey على Twitter عن طريق تبديل بطاقة SIM

كانت الطريقة التي تمكنت من خلالها من إنشاء صفحات تصيد نظيفة إلى حد ما على مدار يوم تقريبًا هي استخدام إطار عمل تصيد مفتوح المصدر يسمى Evilginx2 بواسطة Kuba Gretzky والقرصنة في بعض التعديلات وجافا سكريبت. إذا كنت مهتمًا بتفاصيل كيفية تنفيذ هذه الهجمات تحت الغطاء ، أو ترغب في رؤية بعض الأمثلة الرائعة الأخرى ضد الخدمات الأخرى ، فيرجى الاطلاع على حديث Kuba الرائع هنا .

بواسطة Christopher Harrell at 2020-09-08 20:18:00 المصدر Yubico:

كسر تشفير LUKS

يستخدم تشفير LUKS على نطاق واسع في توزيعات Linux المختلفة لحماية الأقراص وإنشاء حاويات مشفرة. نظرًا لكونها مواصفات مفتوحة المصدر ومستقلة عن النظام الأساسي ، يمكن اعتبار LUKS بمثابة تنفيذ مثالي لتشفير القرص. يقدم خيار خوارزميات التشفير المتعددة ، والعديد من أوضاع التشفير والعديد من وظائف التجزئة للاختيار من بينها ، LUKS هو أحد أنظمة تشفير القرص الأكثر صرامة التي يمكن كسرها. تعرف على كيفية التعامل مع تشفير LUKS في Windows وكيفية اختراق هجمات كلمات المرور الموزعة.

أساسيات تشفير القرص

تعتمد جميع أدوات تشفير القرص على التشفير المتماثل لتشفير البيانات. في كثير من الأحيان ، تعتمد أدوات تشفير القرص الرئيسية على تشفير AES المعجل للأجهزة بمفتاح 256 بت ، على الرغم من أن Microsoft BitLocker تستخدم مفاتيح AES 128 بت افتراضيًا. تقدم بعض أدوات تشفير القرص اختيار خوارزميات التشفير ، والبطل هو يراكربت مع حوالي 15 خيارًا للتشفير المتماثل.

يتم اشتقاق مفاتيح التشفير المتماثل من كلمة مرور المستخدم (أو البيانات الأخرى) باستخدام وظيفة اشتقاق المفاتيح (KDF). يستخدم KDF تحويلات أحادية الاتجاه (وظائف التجزئة) لإدخال المستخدم لإنتاج مفتاح التشفير الثنائي (أو لفك مفتاح وسيط يفك تشفير مفتاح التشفير المتماثل الفعلي). يتم استخدام وظائف تجزئة مختلفة ومع العديد من عمليات تكرار التجزئة لإبطاء سرعة هجمات القوة الغاشمة المحتملة.

عند مهاجمة حاوية مشفرة ، يجب أن تعرف التركيبة الدقيقة لخوارزمية التشفير ووظيفة التجزئة وعدد مرات تكرار التجزئة. يؤدي اتخاذ القرار الخاطئ إلى إبطال فرصتك في استرداد ناجح حتى لو تعثرت في كلمة المرور الصحيحة.

تشفير القرص LUKS

LUKS هي مواصفات تشفير قرص مستقلة عن النظام الأساسي تم تطويرها في الأصل لنظام التشغيل Linux. LUKS هو معيار واقعي لتشفير القرص في Linux ، مما يسهل التوافق بين توزيعات Linux المختلفة ويوفر إدارة آمنة لكلمات مرور المستخدمين المتعددة. اليوم ، يستخدم LUKS على نطاق واسع في كل توزيعات Linux تقريبًا على أجهزة الكمبيوتر المكتبية والمحمولة. وهو أيضًا تنسيق تشفير شائع في أجهزة التخزين المتصل بالشبكة (NAS) ، خاصة تلك المصنعة بواسطة QNAP.

بالإضافة إلى تشفير القرص بالكامل ، يمكن استخدام LUKS لإنشاء حاويات مشفرة وتشغيلها بطريقة مشابهة لحاويات التشفير الأخرى مثل VeraCrypt. تتميز الحاويات المشفرة بنفس مستوى الحماية مثل تشفير القرص الكامل LUKS.

يوفر LUKS للمستخدمين الاختيار من بين خوارزميات التشفير المختلفة ووظائف التجزئة وأوضاع التشفير ، مما يوفر حوالي 45 مجموعة ممكنة.

خوارزميات التشفير LUKS

يدعم LUKS مجموعات متعددة من خوارزميات التشفير وأوضاع التشفير ووظائف التجزئة بما في ذلك:

• AES
• الثعبان
• سمكتان
• كاست -128
• كاست 256.

نظرًا لكونها خوارزمية التشفير الوحيدة المسرعة بالأجهزة ، فإن AES هي الأكثر شيوعًا من بين الثلاثة ، خاصة عند استخدامها في بيئات المؤسسات وأجهزة التخزين المتصلة بالشبكة (NAS). يوفر تشفير AES أعلى أداء للتشفير عند استخدامه على مجموعات الشرائح التي تتميز بتسريع تشفير AES (على سبيل المثال مجموعة تعليمات AES-NI في وحدات المعالجة المركزية Intel). يمكن للمستخدم تحديد Serpent و Twofish يدويًا في وقت إنشاء المجلد المشفر. في أدواتنا ، يتم دعم خوارزميات AES و Serpent و Twofish.

أوضاع تشفير LUKS

يدعم LUKS أوضاع التشفير التالية:

• البنك المركزي الأوروبي
• CBC-PLAIN64
• CBC-ESSIV: تجزئة
• XTS-PLAIN64

قد تستخدم توزيعات Linux المختلفة إعدادات افتراضية مختلفة عند إعداد وحدة تخزين مشفرة. على سبيل المثال ، يستخدم Red Hat Linux cbc-essiv: sha256 بمفتاح AES 256 بت ، وهو التركيبة الافتراضية للعديد من توزيعات Linux الشائعة. تدعم أدواتنا أوضاع التشفير CBC-PLAIN64 و CBC-ESSIV: SHA256 و XTS-PLAIN64.

وظائف تجزئة LUKS

في تشفير القرص ، تُستخدم وظائف التجزئة كجزء من وظيفة اشتقاق المفتاح (KDF). يتم استخدام KDF لاشتقاق مفتاح التشفير الثنائي من الإدخال المقدم من المستخدم (عادةً ، عبارة مرور تستند إلى النص). يتم دعم وظائف التجزئة التالية في مواصفات LUKS:

• SHA-1
• SHA-256
• SHA-512
• RIPEMD160
• ويرلبول *

* لا يعد دعم WHIRLPOOL جزءًا من المواصفات ، إلا أن أدواتنا تدعم وظيفة التجزئة هذه جنبًا إلى جنب مع الأدوات “الرسمية” الأربعة. بشكل افتراضي ، تستخدم معظم توزيعات Linux SHA-256 كوظيفة تجزئة.

إعدادات التشفير الافتراضية LUKS

في حين أن المشرفين على كل توزيعة Linux ومصنعي الأجهزة مع Linux المضمن أحرار في اختيار إعدادات التشفير الافتراضية الخاصة بهم ، aes-cbc-essiv: sha256 باستخدام مفاتيح التشفير المتماثل 256 بت هو إعداد التشفير الافتراضي الأكثر شيوعًا. هذا ما يمثله:

• AES – خوارزمية التشفير هي AES (بشكل افتراضي ، يتم استخدام مفاتيح 256 بت)
• CBC – وضع تشفير تسلسل كتلة التشفير
• ESSIV – ناقل تهيئة قطاع الملح المشفر. يجب استخدام هذا IV للأصفار في وضع CBC.
• SHA-256 – خوارزمية تجزئة آمنة محسوبة بكلمات 32 بت. هذه هي وظيفة التجزئة الافتراضية للأصفار في وضع CBC.

إعدادات التشفير غير الافتراضية

يمكن للمستخدم تحديد إعدادات فك التشفير بخلاف الإعدادات الافتراضية في الوقت الذي يقوم فيه بتشفير القرص. على عكس TrueCrypt / VeraCrypt ، يقوم LUKS بتخزين المعلومات حول إعدادات التشفير المحددة في البيانات الوصفية للتشفير ، مما يجعل من الممكن اكتشاف إعدادات التشفير قبل بدء الهجوم. يكتشف Elcomsoft Distributed Password Recovery تلقائيًا إعدادات تشفير LUKS عن طريق تحليل البيانات الوصفية للتشفير ، والتي يجب استخراجها باستخدام Elcomsoft Forensic Disk Decryptor قبل بدء الهجوم.

مفاتيح تشفير متعددة

يمكن حماية وحدة تخزين LUKS واحدة بأكثر من مفتاح واحد. تسمح المواصفات لمفاتيح مستخدم متعددة بفك تشفير المفتاح الرئيسي المستخدم للتشفير. نتيجة لذلك ، قد يحتوي الجهاز المشفر LUKS على فتحات مفاتيح متعددة ، والتي تُستخدم لتخزين مفاتيح النسخ الاحتياطي / عبارات المرور والسماح لعدة مستخدمين بإلغاء تأمين وحدات تخزين LUKS لكل منها بكلمة مرورها الخاصة.

كل فتحة مفتاح محمية بملح فريد ، مما يجعل هجوم القوة الغاشمة العكسية (مطابقة نفس KDF لكلمة المرور ضد الفتحات المختلفة) غير ممكن. يجب حساب KDF بشكل منفصل لكل فتحة مفتاح أثناء الهجوم. نتيجة لذلك ، تتطلب استعادة كلمة المرور لحماية جهاز LUKS تحديد فتحة مفتاح للهجوم. يتم إجراء هذا التحديد باستخدام Elcomsoft Distributed Password Recovery عند إعداد الهجوم.

كسر تشفير LUKS الخطوة 1: استخراج بيانات تعريف التشفير

لتأمين الوصول إلى البيانات المخزنة في الجهاز المشفر ، يجب عليك أولاً استرداد كلمة المرور الأصلية ذات النص العادي. هناك عدة خطوات تتطلب استخدام عدة أدوات مختلفة.

1. استخرج البيانات الوصفية للتشفير من الجهاز المشفر أو صورة القرص باستخدام Elcomsoft Forensic Disk Decryptor أو Elcomsoft System Recovery.
2. استخدم البيانات الوصفية المستخرجة (ملف صغير) لشن هجوم على كلمة المرور باستخدام Elcomsoft Distributed Password Recovery.
3. بمجرد العثور على كلمة المرور ، قم بتركيب وحدة تخزين القرص أو فك تشفير البيانات.

لدينا أداتان مختلفتان لاستخراج البيانات الوصفية لتشفير LUKS. يعتمد اختيار الأداة الصحيحة على ما إذا كنت تعمل في الميدان أو في معمل. إذا كنت تقوم بتحليل جهاز الكمبيوتر المشتبه به ، فيمكن استخدام Elcomsoft System Recovery لتمهيد النظام من محرك أقراص فلاش USB واستخراج البيانات الوصفية للتشفير من أجهزة التخزين المتصلة بالكمبيوتر.

ملحوظة: يتم دعم تشفير LUKS في Elcomsoft System Recovery 7.06 والإصدارات الأحدث. إذا كنت تستخدم إصدارًا أقدم من الأداة ، فيرجى التحديث إلى أحدث إصدار للحصول على دعم LUKS.

1. قم بتنزيل Elcomsoft System Recovery ، وقم بتشغيل المثبت وإنشاء محرك أقراص USB قابل للتمهيد.
2. استخدم محرك USB لتشغيل النظام الهدف في بيئة Windows PE.
3. سيتم إطلاق Elcomsoft System Recovery تلقائيًا
4. راجع الأقراص المرفقة.
5. حدد الأقسام المشفرة LUKS وانقر على “تفريغ” لاستخراج البيانات الوصفية للتشفير.
6. انقل البيانات الوصفية للتشفير على جهاز الكمبيوتر الخاص بك واستخدمها مع Elcomsoft Distributed Password Recovery لشن هجوم على كلمة مرور تشفير LUKS.

إذا كنت تعمل في مختبر وتقوم بمعالجة الأقراص أو صور الأقراص ، فستستخدم Elcomsoft Forensic Disk Decryptor. يعد استخراج بيانات تعريف التشفير باستخدام Elcomsoft Forensic Disk Decryptor أمرًا بسيطًا.

ملحوظة: يتم دعم تشفير LUKS في Elcomsoft Forensic Disk Decryptor 2.13 والإصدارات الأحدث. إذا كنت تستخدم إصدارًا أقدم من الأداة ، فيرجى التحديث إلى أحدث إصدار للحصول على دعم LUKS.

1. قم بتشغيل Elcomsoft Forensic Disk Decryptor.
2. حدد وضع التشغيل “استخراج / تحضير البيانات لمزيد من استعادة كلمة المرور”.
3. افتح الجهاز الفعلي أو صورة القرص التي تحتوي على وحدة (وحدات) LUKS. في المثال أدناه ، نتعامل مع جهاز مادي.
4. سيعرض EFDD قائمة المجلدات المشفرة. حدد الحجم الذي توشك على استخراج بيانات تعريف التشفير منه.
5. انقر فوق “التالي” لاستخراج البيانات الوصفية للتشفير وحفظها في ملف.

كسر تشفير LUKS الخطوة 2: مهاجمة كلمة المرور

بينما يوفر LUKS حماية قوية ضد هجمات القوة الغاشمة باستخدام آلاف التكرارات لوظيفة التجزئة أثناء اشتقاق المفتاح ، فقد حققنا تقدمًا كبيرًا في هجمات استعادة كلمة المرور مقارنة بما كان لدينا في الماضي. يصبح الضغط الغاشم لكلمة المرور اليوم أسرع بشكل ملحوظ بسبب استخدام تسريع GPU والحوسبة الموزعة والسحابية. يمكن استخدام ما يصل إلى 10000 جهاز كمبيوتر ومثيلات سحابية عند الطلب لمهاجمة كلمة مرور واحدة باستخدام توزيع Elcomsoft لاستعادة كلمة المرور .

لإعداد الهجوم ، قم بما يلي.

1. قم بتشغيل Elcomsoft Distributed Password Recovery.
2. افتح الملف الذي يحتوي على البيانات الوصفية للتشفير التي حصلت عليها باستخدام Elcomsoft Forensic Disk Decryptor خلال الخطوة السابقة.
3. سيتم عرض فتحات المفاتيح المتاحة مع عدد مرات تكرار التجزئة. حدد فتحة المفتاح للهجوم.
4. تكوين وشن الهجوم.

لم تصبح هجمات القوة الغاشمة أسرع فحسب ، بل أصبحت أكثر ذكاءً أيضًا. تعد كلمات المرور الحالية للمستخدم نقطة انطلاق ممتازة. يمكن سحب كلمات المرور هذه من حساب Google الخاص بالمستخدم أو macOS أو iOS أو iCloud keychain أو حساب Microsoft أو ببساطة استخراجها من جهاز كمبيوتر المستخدم. تعطي كلمات المرور الحالية للمستخدم تلميحًا حول مجموعات الأحرف التي يُرجح استخدامها:

يوفر Elcomsoft Distributed Password Recovery عددًا من الخيارات لتجربة الأشكال الأكثر شيوعًا لكلمة المرور الخاصة بك تلقائيًا (مثل Password1 أو password1967 أو pa $$ w0rd):

يمكن استخدام الأقنعة لمحاولة مطابقة كلمات المرور للأنماط الشائعة المعمول بها:

تسمح التقنيات المتقدمة بتكوين كلمات مرور باستخدام ما يصل إلى قاموسين وقواعد قابلة للكتابة:

كم من الوقت سيستغرق كسر كلمة المرور؟

حتى إذا كنت تعرف بالضبط عدد كلمات المرور التي سينتج عنها الهجوم في الثانية ، فهناك العديد من الأشياء التي تؤثر على الوقت المستغرق لاستعادة كلمة مرور LUKS. سيكون لطول كلمة المرور وانتروبياها ، بالإضافة إلى الأشياء التي تعرفها عن كلمة المرور أو الطريقة التي يُكوِّن بها المستخدم كلمات المرور الخاصة به ، تأثير كبير على الوقت الذي سيستغرقه كسر وحدة تخزين LUKS معينة.

ماذا عن سرعة الاسترداد؟ السرعة أيضًا ليست ثابتة ، وهناك الكثير من الأشياء التي تؤثر على سرعة الهجوم والتي ليست واضحة على الفور. يعتمد عدد كلمات المرور التي يمكنك تجربتها في الثانية على عدة أشياء ، أهمها ما يلي:

الأجهزة . كلما زادت / أعلى بطاقات الفيديو لديك ، زادت السرعة الأولية التي ستحصل عليها. الشيء نفسه ينطبق على عدد أجهزة الكمبيوتر التي تقوم بالهجوم ؛ كلما زاد عدد أجهزة الكمبيوتر التي تتغلب على كلمة المرور ، زادت السرعة.

دالة التجزئة . تكون بعض وظائف التجزئة أبطأ من غيرها. في حالة LUKS ، يكون للمستخدم الاختيار من بين خمس وظائف تجزئة بما في ذلك RIPEMD160 و SHA-1 و SHA-256 و SHA-512 و WHIRLPOOL و RIPEMD160 هو الأسرع و WHIRLPOOL هو الأبطأ في المجموعة. اعتمادًا على اختيار وظيفة التجزئة التي تم إجراؤها في وقت إعداد التشفير ، قد تكون هجماتك أسرع أو أبطأ.

خوارزمية التشفير ووضع التشفير . مرة أخرى ، يتم تحديد هذه الإعدادات في الوقت الذي يقوم فيه المستخدم بإعداد التشفير. يؤثر الاختيار على سرعة الهجوم ، ولكن بدرجة طفيفة مقارنةً باختيار وظيفة التجزئة.

عدد مرات تكرار التجزئة وبشكل غير مباشر ، سرعة كمبيوتر المستخدم . بخلاف أدوات تشفير القرص الأخرى مثل BitLocker أو VeraCrypt ، يغير LUKS عدد عمليات تكرار التجزئة المستخدمة لحماية مفتاح التشفير الرئيسي. عند إنشاء قرص مشفر بمجموعة معينة من إعدادات التشفير ، يقيس LUKS نظام المستخدم. تُستخدم البيانات لتحديد عدد تكرارات التجزئة التي تحمي مفتاح التشفير الرئيسي. بشكل فعال ، ستتميز الأقراص أو الحاويات المشفرة بـ LUKS التي تم إنشاؤها على جهاز كمبيوتر منخفض الطرف بحماية أضعف مقارنة بالأقراص أو الحاويات المماثلة التي تم إنشاؤها على الأجهزة المتطورة. لا يتغير عدد تكرارات التجزئة إذا تم نقل القرص أو الحاوية إلى جهاز كمبيوتر جديد أكثر قوة.

الأمر الأكثر إثارة للاهتمام هو أن عدد تكرارات التجزئة يختلف اعتمادًا على اختيار إعدادات التشفير الأخرى. يتم تحديد عدد أكبر من تكرارات التجزئة إذا تم استخدام دالة تجزئة أضعف (أسرع) ، والعكس صحيح. من الناحية النظرية ، فإن العدد المتغير لتكرارات التجزئة سيجعل سرعة مهاجمة وحدات تخزين أو حاويات LUKS التي تم إنشاؤها على أجهزة مماثلة هي نفسها بغض النظر عن وظيفة التجزئة المختارة وإعدادات التشفير. ليست هذه هي القضية؛ لا تزال هناك اختلافات في سرعات الهجوم بين الخوارزميات المختلفة ووظائف التجزئة كما هو موضح في المعيار التالي.

والجدير بالذكر أن عدد تكرارات التجزئة يتم تخزينه مع بيانات تعريف التشفير الأخرى (وهذا ليس هو الحال بالنسبة لحاويات TrueCrypt / VeraCrypt التي تجعل عدد مرات تكرار التجزئة سرًا آخر يوفره المستخدم).

الختام

LUKS ليست فقط مواصفات تشفير شائعة وواسعة الانتشار ، بل إنها أيضًا مهمة جدًا للعمل معها. إن دعم فتحات المفاتيح المتعددة ، واختيار وظائف التجزئة ، وخوارزميات التشفير وأوضاع التشفير ، والخوارزمية القائمة على المعايير للاختيار التلقائي لعدد تكرارات التجزئة عند إعداد التشفير استنادًا إلى أداء كمبيوتر المستخدم ، تجعل LUKS تطبيقًا مثاليًا من تشفير القرص.

بواسطة Oleg Afonin at 2020-08-18 09:55:15 المصدر مدونة ElcomSoft:

فتح رمز مرور iPhone 5 و 5c باستخدام مجموعة أدوات الطب الشرعي لنظام iOS

لقد اكتشفنا طريقة لإلغاء تأمين أجهزة iPhone المشفرة المحمية بقفل شاشة غير معروف رمز عبور . تدعم طريقتنا طرازين قديمين من أجهزة iPhone ، وهما iPhone 5 و 5c ، وتتطلب جهاز Mac لتشغيل الهجوم. حلنا هو بالتأكيد البرامج فقط ؛ لا يتطلب لحام أو تفكيك أو شراء أجهزة إضافية. كل ما تحتاجه هو مجموعة أدوات الطب الشرعي لنظام iOS (إصدار جديد) ، وجهاز كمبيوتر Mac ، وكابل USB-A إلى Lightning. في هذا الدليل ، سنشرح كيفية فتح وتصوير أجهزة iPhone 5 و 5c.

هجمات رمز المرور: تعرف على خياراتك

تطبق Apple حماية قوية للدفاع عن أجهزتها ضد هجمات القوة الغاشمة. بينما تعتمد الأجهزة الأحدث (iPhone 5s والنماذج اللاحقة) على Secure Enclave لإبطاء الهجمات إلى الزحف ، فإن الأجهزة ذات 32 بت مثل iPhone 5 و 5c غير مجهزة بمعالج أمان للأجهزة. نتيجة لذلك ، يتم فرض كل من التأخير الزمني المتصاعد بعد إدخال رمز مرور غير صالح في شاشة القفل والإعداد الاختياري لمسح الجهاز بعد 10 محاولات غير ناجحة في البرنامج بواسطة iOS. يؤدي تعطيل هذه الآليات إلى إزالة خطر فقدان البيانات وإيقاف تأخير الوقت المتصاعد ، مما يتيح للهجوم العمل بأقصى سرعة بالضبط. 13.6 رمز مرور في الثانية ، وهو قريب جدًا من هدف Apple البالغ 80 مللي ثانية بين محاولات إدخال رمز المرور.

كسر أرقام التعريف الشخصية المكونة من 4 أرقام و 6 أرقام

بالنظر إلى سرعة 13.6 رمز المرور في الثانية ، لا يستغرق الأمر سوى 12 دقيقة لتجربة جميع المجموعات الممكنة المكونة من 4 أرقام PIN. ومع ذلك ، سيستغرق تعداد جميع أرقام التعريف الشخصية المكونة من 6 أرقام ما يصل إلى 21 ساعة . لهذا السبب ، سنجرب رموز المرور الأكثر شيوعًا أولاً. يوجد 2910 رقم تعريف شخصي من 6 أرقام شائعة الاستخدام ، ويستغرق اختبارها جميعًا حوالي 4 دقائق فقط. بعد هذه القائمة توجد أرقام التعريف الشخصية المكونة من 6 أرقام بناءً على تاريخ ميلاد المستخدم ؛ هناك حوالي 74 ألف مجموعة محتملة تستغرق حوالي 1.5 ساعة لتجربتها. فقط بعد استنفاد هذه الخيارات نبدأ هجوم القوة الغاشمة الكامل الذي يستمر حوالي 21 ساعة.

رموز المرور الأبجدية الرقمية

بالسرعة المحددة ، يصبح استرداد رمز المرور الأبجدي الرقمي غير مناسب للغاية ما لم يكن لديك قاموس مستهدف لكلمات المرور الأخرى للمستخدم. في الوقت الحالي ، لا تدعم iOS Forensic Toolkit كلمات المرور الأبجدية الرقمية. إذا تم اكتشاف رمز مرور أبجدي رقمي ، فسترى الرسالة “غير مدعوم” ، وسيتوقف الهجوم. من المحتمل أن نضيف دعمًا لكلمات المرور الأبجدية الرقمية في الإصدار التالي.

التوافق والمتطلبات المسبقة

من أجل شن الهجوم ، ستحتاج إلى كل ما يلي.

1. موديل iPhone متوافق. تشمل الأجهزة المدعومة طرازات iPhone 5 (A1428 ، A1429 ، A1442) و iPhone 5c (A1456 ، A1507 ، A1516 ، A1526 ، A1529 ، A1532).
2. كمبيوتر مكتبي أو كمبيوتر محمول يعمل بنظام macOS 10.12 (Sierra) حتى 10.15 (Catalina).
3. كابل Lightning. من فضلك استخدم USB-A إلى Lightning بسبب عدم التوافق المعروف في كبلات Apple ومعظم كبلات USB-C إلى Lightning من Apple. يمكنك استخدام محول USB-C الاختياري إلى USB-A إذا لزم الأمر.
4. مجموعة أدوات الطب الشرعي لنظام iOS 6.40 أو أحدث.

خطوات فتح iPhone 5c

أولاً ، قم بالتثبيت مجموعة أدوات الطب الشرعي لنظام iOS وتجعل نفسك على دراية بـ checkra1n كسر الحماية باتباع الخطوات الأولية التالية:

1. قم بتنزيل Elcomsoft iOS Forensic Toolkit. أدخل دونجل USB.
2. قم بتثبيت مجموعة الأدوات باتباع الإرشادات الموجودة في كيفية تثبيت وتشغيل iOS Forensic Toolkit على جهاز Mac . لاحظ أن هناك خطوة إلزامية إضافية في macOS Catalina.
3. الدفع نصائح وحيل التثبيت checkra1n ، خاصه:
   1. لا محاور!
   2. استخدم كابل USB-A إلى Lightning فقط (بدون USB-C إلى Lightning) ؛
   3. تأكد من شحن الهاتف بنسبة 20٪ على الأقل.

بمجرد تثبيت Elcomsoft iOS Forensic Toolkit وتكوينه وتشغيله ، أدخل “P” في النافذة الرئيسية للوصول إلى وظيفة تكسير رمز المرور.

ستتوفر الخيارات التالية:

[1] ضع الجهاز في وضع DFU
[2] استغلال الجهاز
[3] كسر كلمات المرور المكونة من 4 أرقام
[4] كسر كلمات المرور المكونة من 6 أرقام
[5] إعادة تشغيل الجهاز

نظرًا لأن وظيفة استرداد رمز المرور تعتمد على استغلال checkm8 ، فستحتاج إلى تبديل الجهاز إلى وضع DFU. يمكن القيام بذلك يدويًا فقط على الجهاز. ومع ذلك ، فإن تحديد الخيار [1] في Toolkit سيوجهك خلال العملية.

قد توجد أكثر من طريقة واحدة لتحويل الهاتف إلى وضع DFU للجهاز (المزيد حول ذلك هنا ). وجدنا أن ما يلي أسهل من الآخرين. اتبع التعليمات التالية:

• تأكد من أن الجهاز غير متصل بالكمبيوتر وإيقاف تشغيله.
• اضغط على الصفحة الرئيسية زر ، أدخل كابل البرق ، مع الحفاظ على الصفحة الرئيسية الضغط على الزر حتى يقرأ الجهاز “Connect to iTunes” على الشاشة ؛ أطلق ال الصفحة الرئيسية زر.
• اضغط مع الاستمرار على الصفحة الرئيسية و النوم / الطاقة (أعلى) الأزرار معًا لمدة 8 ثوانٍ (سيظهر شعار Apple لبعض الوقت ، ثم تتحول الشاشة إلى اللون الأسود).
• أطلق ال النوم / الطاقة زر ولكن مع الاحتفاظ الصفحة الرئيسية تم الضغط على الزر لمدة 8 ثوانٍ أخرى.
• أطلق ال النوم / الطاقة زر. إذا فعلت كل شيء بشكل صحيح ، فيجب أن تظل الشاشة فارغة ، ويجب أن يظهر الهاتف في iTunes أو Finder (اعتمادًا على إصدار macOS الخاص بك) كجهاز iPhone في وضع الاسترداد. الآن هو جاهز لمزيد من الخطوات.

بمجرد أن يكون الجهاز في وضع DFU ، حدد الخيار الثاني لاستغلاله بجعله يقوم بتشغيل برنامج ثابت مخصص خاص. هذه العملية آمنة لبيانات الهاتف. لا يغير أي شيء على الجهاز لأن الاستغلال يعمل بالكامل في ذاكرة الجهاز المتقلبة. لن يكون هناك آثار متبقية على الجهاز.

إذا فشل الاستغلال لأي سبب من الأسباب ، كرر العملية من البداية. لاحظ أنه سيتعين عليك إعادة تشغيل الجهاز بالضغط على الصفحة الرئيسية و قوة في نفس الوقت لمدة 8 ثوانٍ ، وأعد الدخول إلى وضع DFU. لاحظ أيضًا أنه من وجهة نظر تثبيت الاستغلال ، فإن الانتقال مباشرة إلى DFU يعمل في معظم الحالات. ومع ذلك ، إذا كانت لديك أخطاء عند محاولة استغلال الجهاز ، فقد رأينا تقارير عن المكان الذي تمر فيه التعافي الوضع يعمل على إصلاح المشكلات. مطورو برنامج checkra1n يوصى أيضًا باستخدام جيلبريك التعافي الوضع الأول. يمكنك تجربتها في كلتا الحالتين. إذا لم تنجح الثغرة عند الذهاب مباشرة إلى DFU ، فحاول تجاوزها التعافي الوضع. هكذا قد تبدو رسالة الخطأ:

خطأ شائع آخر هو فشل تحميل iBSS . هذا بشكل عام لا يدعو للقلق. جهازك لا يزال متوافقًا مع checkm8 استغلال وطريقتنا بشكل عام ، ما عليك سوى محاولة أخرى. في بعض الأحيان يستغرق الأمر ما يصل إلى 5 محاولات ، ولا يوجد شيء يمكننا القيام به حيال ذلك: يتعلق الأمر أكثر بالجودة وجودة برنامج التشغيل ، والمشكلات التي لا يمكن إصلاحها في برنامجنا.

بمجرد استغلال الجهاز بنجاح وتثبيت قسم المستخدم ، يمكنك تشغيل استعادة رموز المرور المكونة من 4 أو 6 أرقام.

عادةً ما يستغرق كسر رقم التعريف الشخصي المكون من 4 أرقام 12 دقيقة أو أقل ، بينما قد يستغرق التعداد الكامل لجميع رموز المرور الممكنة المكونة من 6 أرقام ما يصل إلى 21 ساعة. كلمات المرور الأبجدية الرقمية غير مدعومة في الوقت الحالي.

بعد اكتشاف رمز المرور ، أعد تشغيل iPhone بتحديد آخر عنصر في القائمة. الآن عندما يكون لديك حق الوصول إلى الجهاز ، سيكون استخراج البيانات شيئًا آخر. سنضيف قريبًا فك تشفير سلسلة المفاتيح واستخراج نظام الملفات الكامل لهذه الأجهزة.

الختام

يبلغ عمر جهازي iPhone 5 و 5c الآن 7 سنوات تقريبًا ، ومع ذلك لا يزال الكثير منهم مخزنًا في مختبرات الطب الشرعي ، في انتظار استخراجها. في بعض أنحاء العالم ، لا تزال أجهزة iPhone الرخيصة هذه قيد التداول النشط. لقد استغرق الأمر سنوات حتى تظهر أول عملية استغلال بسعر باهظ ، ووقتًا أطول لحلول بأسعار معقولة. اليوم ، نخفض تكلفة فتح iPhone 5 و 5c عالي السرعة ، ونقدم حلاً للبرامج فقط لا يتطلب لحام ، ولا تفكيك ولا أجهزة إضافية.

بواسطة Oleg Afonin at 2020-08-25 09:56:23 المصدر مدونة ElcomSoft:

خلف iPhone 5 و 5c Passcode Cracking

تُستخدم الهواتف الذكية في كل شيء من إجراء المكالمات والتقاط الصور إلى التنقل وتتبع الصحة وإجراء المدفوعات. تحتوي الهواتف الذكية على كميات هائلة من المعلومات الحساسة التي تصبح دليلاً أساسياً. قد يكون الوصول إلى هذا الدليل مشكلة أو مكلفًا ، كما تم توضيحه بوضوح خلال نزاع التشفير FBI-Apple ، والذي كان يتعلق بـ iPhone 5c الذي استخدمه مطلق النار San Bernardino في ديسمبر 2015. مع التقدم التكنولوجي الحديث ، لم تعد عمليات فتح iPhone 5c مشكلة .

(in) الشهير iPhone 5c

أصدرت شركة آبل iPhone 5 في سبتمبر 2012. الهاتف مزود بنظام iOS 6.0 ؛ أحدث إصدار من iOS المتاح لهذا الجهاز هو iOS: 10.3.4.

في سبتمبر 2013 ، لم تصدر Apple جهازًا واحدًا بل جهازي iPhone: جهاز iPhone 5s المبتكر للغاية (والمكلف) الذي كان ، لأول مرة ، مزودًا بمعالج مشترك لأمان الأجهزة (Secure Enclave) وقارئ بصمات الأصابع ، و iPhone 5c ، هاتف تم تجريده استنادًا إلى أجهزة العام الماضي.

مع إصدار iPhone 5c ، قامت Apple بمحاولة مثيرة للجدل لدخول سوق الهواتف ذات الميزانية المحدودة. قوبل ظهرها الملون المصنوع من البلاستيك اللامع باستجابة فاترة. ومع ذلك ، نظرًا لسعره المعقول وقبوله الواسع لشركات الجوال ، أصبح طراز 2013 هذا واحد من المشهورين بكثرة الهواتف ذات الميزانية المحدودة التي تبيعها شركات الطيران الأمريكية.

أصبح iPhone 5c آخر iPhone 32 بت من صنع Apple. تم إصدار iPhone 5c في الأصل مع iOS 7.0 على متن الطائرة ؛ أحدث إصدار من iOS المتاح لهذا الهاتف اليوم هو iOS 10.3.3.

اشتهر هاتف iPhone 5c بعد إطلاق النار الإرهابي في سان برناردينو في ديسمبر 2015 ، والذي تحول إلى هاتف ساخن نزاع حول التشفير بين مكتب التحقيقات الفدرالي وآبل . في هذا النزاع ، أراد مكتب التحقيقات الفيدرالي من شركة Apple إنشاء برنامج وتوقيعه إلكترونيًا من شأنه أن يمكّن مكتب التحقيقات الفيدرالي من فتح iPhone 5C الذي تم إصداره للعمل والذي استعاده من أحد الرماة. تم استرداد iPhone 5c بشكل سليم ولكن تم قفله بكلمة مرور مكونة من أربعة أرقام وتم تعيينه لمحو البيانات بعد عشر محاولات فاشلة لكلمة المرور (إجراء شائع لمكافحة السرقة على هواتف Apple الذكية). رفضت شركة Apple إنشاء البرنامج ، وكان من المقرر عقد جلسة استماع في 22 مارس. ومع ذلك ، قبل يوم واحد من موعد الجلسة ، حصلت الحكومة على تأخير ، قائلة إنها وجدت طرفًا ثالثًا قادرًا على المساعدة في فتح iPhone ، وفي 28 مارس ، أعلنت أن مكتب التحقيقات الفيدرالي قد فتح جهاز iPhone وسحب جهازه. طلب. تبين في النهاية أن الهاتف لم يكشف عن أي شيء عن المؤامرة.

كيف بالضبط تلقى مكتب التحقيقات الفيدرالي رمز المرور الصحيح ، ومن كان المقاول الذي فعل ذلك ، ومقدار الدفع بالضبط للمقاول مقابل الخدمة ، لا يزال غير معروف رسميًا. ذكرت بعض وسائل الإعلام ، نقلاً عن مصادر مجهولة ، أن الطرف الثالث هو شركة Cellebrite الإسرائيلية. ومع ذلك ، ذكرت صحيفة واشنطن بوست أنه وفقًا “لأشخاص مجهولين على دراية بالمسألة” ، دفع مكتب التحقيقات الفيدرالي بدلاً من ذلك “قراصنة محترفين” استخدموا ثغرة يوم الصفر في برنامج iPhone لتجاوز قيود العشر محاولات ، ولم يفعلوا ذلك. بحاجة إلى مساعدة Cellebrite. وفقًا لمدير مكتب التحقيقات الفيدرالي جيمس كومي ، تكلفة الأداة (أو الخدمة) أكثر من 1.3 مليون دولار . نظرًا لأنه لا Cellebrite ولا “المتسللون المحترفون” الذين لم يتم تسميتهم يمكنهم التعليق علانية على الأمر ، فلا يزال مجهولًا من فعل ذلك. بناءً على تعليقات غامضة الصياغة ، قد يميل المرء إلى الاعتقاد بأن شركة Cellebrite كانت هي المتعاقدة الأصلية. وسواء كان الأمر كذلك أم لا ، فلن يتمكن “الطرف الثالث الآخر” من التأكيد أو الرفض علنًا. لا توجد مصادر مؤكدة.

اليوم ، أصدرنا حلًا برمجيًا فقط يكلف أكثر بقليل من 0.1٪ من السعر الذي يُزعم أن مكتب التحقيقات الفيدرالي دفعه مقابل الأداة التي تم استخدامها لكسر جهاز iPhone هذا. Elcomsoft iOS Forensic Toolkit يمكنه فرض كلمة مرور شاشة قفل iPhone 5 / 5c ، مما يتيح للمحققين فتح أجهزة iPhone المحمية برموز مرور غير معروفة.

عند الحديث عن استعادة رمز المرور ، يجب أن نذكر عمل Sergei Skorobogatov. في مشروعه البحثي: تحليل الأمان لجهاز Apple iPhone 5c (بناءً على ورقته البحثية الكاملة بعنوان ” الطريق الوعر نحو انعكاس iPhone 5c NAND “) ، أظهر Sergei هجومًا لإثبات المفهوم يسمح باستغلال iPhone 5c وشن هجوم على رمز المرور الخاص به. يتطلب عمل سيرجي تفكيك الهاتف ، ويخضع لتأخير 5 ثوان بين محاولات إدخال رمز المرور. يدعي سيرجي في عمله أن كسر رمز المرور المكون من 4 أرقام ممكن في غضون يوم تقريبًا ، بينما يستغرق استرداد رقم التعريف الشخصي المكون من 6 أرقام وقتًا غير معقول.

وأخيرا، فإن IP-BOX الحل والعديد من النسخ المستنسخة الخاصة به متاحة لإصدارات iOS التي تصل إلى iOS 8.1. لا تتوافق هذه الصناديق مع أي إصدارات أحدث من نظام التشغيل iOS ، كما أن سرعتها مماثلة لحل سيرجي (حوالي 6 ثوانٍ لكل محاولة إدخال رمز مرور ، أو حوالي 17 ساعة لكسر رقم التعريف الشخصي المكون من 4 أرقام).

مقارنة بكليهما ، لا يتطلب حلنا أجهزة إضافية (ستحتاج إلى جهاز Mac) ، ولا يتطلب تفكيك الهاتف ، ويعمل أسرع بنحو 80 مرة.

كيف يعمل استرداد رمز المرور ، ولماذا هو مهم للغاية في عالم iOS Forensics؟ اقرأ على طول لمعرفة ذلك.

رمز المرور كعلامة مميزة لأمن iOS

يعد رمز المرور أهم جزء في نموذج أمان iPhone. منذ iOS 8 ، يتم تشفير بيانات المستخدم بما في ذلك كلمات المرور المخزنة في سلسلة المفاتيح بمفتاح مشتق من رمز مرور المستخدم. بدون كسر رمز المرور ، لن يتمكن المرء من الوصول إلى المعلومات الأساسية في أجهزة BFU (قبل الفتح الأول). عند الحديث عن مثل هذه الأجهزة ، فإن تجاوز رمز مرور قفل الشاشة لا معنى له لأن البيانات ستظل مشفرة بشكل آمن.

حماية رمز مرور iOS موثقة جيدًا. يوضح المقتطف التالي من وثائق Apple Platform Security الشاملة للغاية دور رمز المرور في نظام iOS البيئي

من خلال إعداد رمز مرور الجهاز ، يقوم المستخدم تلقائيًا بتمكين حماية البيانات. يدعم iOS و iPadOS رموز المرور الأبجدية الرقمية المكونة من ستة أرقام وأربعة أرقام والطول التعسفي. بالإضافة إلى إلغاء قفل الجهاز ، يوفر رمز المرور إنتروبيا لمفاتيح تشفير معينة. هذا يعني أن المهاجم الذي يمتلك جهازًا لا يمكنه الوصول إلى البيانات في فئات حماية محددة بدون رمز المرور.

رمز المرور متشابك مع UID الخاص بالجهاز ، لذلك يجب إجراء محاولات القوة الغاشمة على الجهاز المعرض للهجوم. يتم استخدام عدد كبير من التكرار لجعل كل محاولة أبطأ. يتم معايرة عدد التكرار بحيث تستغرق محاولة واحدة حوالي 80 مللي ثانية.

يمكن استخدام Touch ID و Face ID لتحسين هذه المعادلة من خلال تمكين المستخدم من إنشاء رمز مرور أقوى بكثير مما يمكن أن يكون عمليًا. يؤدي هذا إلى زيادة المقدار الفعال من الانتروبيا الذي يحمي مفاتيح التشفير المستخدمة لحماية البيانات ، دون التأثير سلبًا على تجربة المستخدم لإلغاء قفل جهاز iOS أو iPadOS عدة مرات على مدار اليوم.

لمزيد من تثبيط هجمات رمز المرور باستخدام القوة الغاشمة ، هناك تأخيرات زمنية متزايدة بعد إدخال رمز مرور غير صالح في شاشة القفل. على الأجهزة ذات المنطقة الآمنة Secure Enclave ، يتم فرض التأخيرات بواسطة معالج Secure Enclave المشترك. إذا تم إعادة تشغيل الجهاز خلال مهلة زمنية ، فسيظل التأخير ساريًا ، مع بدء تشغيل المؤقت للفترة الحالية.

مصدر: أمان منصة Apple

عند الحديث عن أجهزة iPhone القديمة ، و iPhone 5 و iPhone 5c على وجه الخصوص ، قمنا بقياس التأخير الزمني بين محاولات إدخال رمز المرور. كانت النتيجة 13.6 رمز مرور في الثانية بالضبط ، أو 73.5 مللي ثانية لكل محاولة. هذا قريب جدًا من هدف Apple البالغ 80 مللي ثانية. نظرًا لعدم وجود Secure Enclave في طرازات iPhone هذه ، يتم فرض تأخير الوقت المتصاعد في البرنامج بواسطة نظام التشغيل بدلاً من فرضه بواسطة معالج Secure Enclave المشترك. وهذا بدوره يعني أنه يمكن للفرد نظريًا (وعمليًا) تعطيل التأخير بشرط أن يكون لدى المرء حق الوصول إلى ملفات نظام معينة.

أخيرًا وليس آخرًا ، لم يتم تجهيز iPhone 5 و iPhone 5c بأجهزة تحديد الهوية. رمز المرور هو الوسيلة الوحيدة لتأمين الجهاز. تذكر ” يمكن استخدام Touch ID و Face ID لتحسين هذه المعادلة من خلال تمكين المستخدم من إنشاء رمز مرور أقوى بكثير مما يمكن أن يكون عمليًا ” جزء؟ نظرًا لعدم وجود وسائل بديلة لإلغاء تأمين طرازات iPhone هذه بشكل آمن ، فمن المرجح جدًا أن يختار المستخدمون رموز PIN قصيرة وبسيطة بدلاً من رموز المرور الأبجدية الرقمية الطويلة لتجنب ” يؤثر سلبًا على تجربة المستخدم لإلغاء قفل جهاز iOS عدة مرات على مدار اليوم “.

ما هي رموز المرور الأكثر شيوعًا؟

تعتمد أنواع رموز المرور التي يختارها المستخدمون بشكل متكرر على عدة عوامل: الإعداد الافتراضي في iOS ، وعامل الملاءمة ، والذي يأخذ في الاعتبار وجود أو عدم وجود Touch ID / Face ID وسرعة وراحة كتابة a رمز مرور معين.

الافتراضات

iOS 6 كان لديه إعداد واحد مسمى رمز مرور بسيط ، والذي تم تمكينه افتراضيًا. يتكون رمز المرور الناتج ، افتراضيًا ، من 4 أرقام فقط. إذا قام المستخدم بتعطيل الإعداد ، فيمكنه استخدام رمز مرور أبجدي رقمي بأي طول. ومع ذلك ، إذا أدخل المستخدم أي عدد من الأرقام بخلاف أربعة ، فستعرض شاشة القفل لوحة مفاتيح مكونة من أرقام فقط (وحقل نص بحجم متغير). لذلك ، يحتوي تصنيفنا غير الرسمي لأنواع رموز المرور المتوفرة في iOS 6 على الخيارات التالية:

• رمز رقمي مكون من 4 أرقام
• رمز رقمي مخصص (بخلاف الرموز الرقمية المكونة من 4 أرقام)
• رمز أبجدي رقمي مخصص

في iOS 9 (بالإضافة إلى iOS 10) ، كانت الخيارات الأربعة التالية متاحة:

• رمز رقمي مكون من 4 أرقام
• رمز رقمي مكون من 6 أرقام
• رمز رقمي مخصص
• رمز أبجدي رقمي مخصص

وفقًا لمصادر متعددة ، منذ نظام iOS 9 ، تحولت Apple إلى رموز المرور المكونة من ستة أرقام ، مما يجعلها الخيار الافتراضي. لم نتمكن من التحقق من هذا الادعاء لطرازي iPhone المعنيين. أدت اختباراتنا الداخلية لإعداد أجهزة iPhone 5 و iPhone 5c بعد إعادة ضبط المصنع إلى تقديم iOS باستمرار لتعيين رمز رقمي مكون من 4 أرقام. الأمر الأكثر إثارة للاهتمام هو ملاحظة أنه بمجرد محاولتك تغيير رمز المرور المكون من 6 أرقام ، سيظل iOS يقدم لك إعداد PIN المكون من 4 أرقام. نعتقد أن هذا جزء من “عامل الراحة” ، حيث سيكون رمز المرور المكون من 6 أرقام بلا شك ” التأثير سلبًا على تجربة المستخدم لإلغاء قفل جهاز iOS عدة مرات على مدار اليوم ” كما هو مذكور في أمان منصة Apple توثيق.

عوامل الراحة

ما نوع رموز المرور التي يحتمل أن يمتلكها المستخدمون على أجهزة معرف اللمس المسبق الخاصة بهم؟ في مايو 2020 ، قام فيليب ماركيرت ودانييل في بيلي وماكسيميليان جولا وماركوس دورموث وآدم ج. دراسة من 4 و 6 أرقام يختارها المستخدم على الهواتف الذكية لفتح الجهاز. جمع الباحثون في دراستهم مجموعات بيانات متعددة نشأت من تسريبات مختلفة واختبروا حوالي 1220 مشاركًا. ساعدت الدراسة في تحديد أرقام التعريف الشخصية الأكثر استخدامًا المكونة من 4 أرقام و 6 أرقام.

توصل الباحثون إلى النتائج التالية ، والتي قد تبدو مثيرة للجدل إلى حد ما. وجد الباحثون في دراستهم أن هناك فائدة قليلة لأرقام التعريف الشخصية الأطول المكونة من 6 أرقام مقارنة بأرقام التعريف الشخصية المكونة من 4 أرقام. مال المشاركون في الدراسة إلى اختيار أرقام التعريف الشخصية المكونة من 6 أرقام والتي يسهل تخمينها عند التفكير في أول 40 تخمينًا للمهاجم. علاوة على ذلك ، تظهر نتائجهم أن القوائم السوداء PIN المستخدمة حاليًا غير فعالة. من خلال التعليقات الكمية والنوعية ، وجد الباحثون أن المشاركين يرون أن وضع القائمة السوداء سيحسن أرقام التعريف الشخصية الخاصة بهم دون التأثير على قابلية الاستخدام. ( مصدر )

رموز المرور شائعة الاستخدام

نوصي بشدة بقراءة كامل ابحاث للحصول على فهم أفضل لكيفية اختيار المستخدمين لرموز مرور قفل الشاشة الخاصة بهم. ما يهم حقًا هو قائمة أرقام التعريف الشخصية الأكثر استخدامًا (وبالتالي غير الآمنة) المكونة من 6 أرقام. لا يوجد سوى 2910 إدخال في هذه القائمة ، ويستغرق اختبارها جميعًا حوالي 4 دقائق. تتضمن الأمثلة في هذه القائمة الرقم العالمي رقم 123456 ، والأرقام المتكررة ، بالإضافة إلى رموز المرور الرقمية التي تمثل مجموعات معينة (مثل 131313 أو 287287). بعد هذه القائمة توجد أرقام التعريف الشخصية المكونة من 6 أرقام بناءً على تاريخ ميلاد المستخدم ؛ هناك حوالي 74 ألف مجموعة محتملة تستغرق حوالي 1.5 ساعة لتجربتها. فقط بعد استنفاد هذه الخيارات نبدأ هجوم القوة الغاشمة الكامل الذي يستمر حوالي 21 ساعة.

الختام

يبلغ عمر جهازي iPhone 5 و 5c الآن 7 سنوات تقريبًا ، ومع ذلك لا يزال الكثير منهم مخزنًا في مختبرات الطب الشرعي ، في انتظار استخراجها. في بعض أنحاء العالم ، لا تزال أجهزة iPhone الرخيصة هذه قيد التداول النشط. لقد استغرق الأمر سنوات حتى تظهر أول عملية استغلال بسعر باهظ ، ووقتًا أطول لحلول بأسعار معقولة. اليوم ، نخفض تكلفة فتح iPhone 5 و 5c عالي السرعة ، ونقدم حلاً للبرامج فقط لا يتطلب لحام ، ولا تفكيك ولا أجهزة إضافية. نرى فتح رمز مرور iPhone 5 و 5c باستخدام مجموعة أدوات الطب الشرعي لنظام iOS للتفاصيل.

بواسطة فلاديمير كاتالوف في 25 أغسطس 2020 09:59:14 المصدر مدونة ElcomSoft:

إعداد اتصال إنترنت مقيد لاستخراج iPhone

يمكن الآن استخدام معرفات Apple العادية أو التي يمكن التخلص منها لاستخراج البيانات من أجهزة iOS المتوافقة إذا كان لديك جهاز Mac. ينطوي استخدام معرف Apple غير المطور على بعض المخاطر والقيود. على وجه الخصوص ، يجب على المرء “التحقق” من عامل الاستخراج على جهاز iPhone المستهدف ، الأمر الذي يتطلب اتصال إنترنت نشطًا. تعرف على كيفية التحقق من توقيع وكيل الاستخراج باستخدام معرف Apple عادي أو يمكن التخلص منه دون التعرض لخطر تلقي قفل عن بُعد أو أمر مسح عن بُعد.

لماذا كل هذا

Elcomsoft iOS Forensic Toolkit يستخدم تقنية خاصة لاستخراج نظام الملفات وفك تشفير سلسلة مفاتيح من أجهزة iOS بدون كسر حماية. تستخدم هذه التقنية تطبيقًا داخليًا يعمل كعامل استخراج. على الرغم من أن الاستحواذ المستند إلى الوكيل يوفر مزايا عديدة مقارنة بالاستحواذ المستند إلى كسر الحماية ، فإنه يتطلب استخدام حساب Apple للتوقيع على وكيل الاستخراج. يتطلب استخدام معرف Apple العادي (غير المطور) لتحميل الوكيل جانباً أن “يثق” الخبير بشهادة التوقيع عن طريق “التحقق” من تطبيق الاستخراج. وهذا بدوره يتطلب السماح للجهاز بالاتصال بخادم Apple.

يعد السماح للجهاز الذي يتم التحقيق معه بالاتصال بالإنترنت محفوفًا بالمخاطر بسبب مشكلات المزامنة المحتملة واحتمال تلقي أمر إزالة القفل أو المسح عن بُعد من خدمة Find My iPhone. يمكن تخفيف هذه المخاطر عن طريق تقييد الاتصال على الجهاز بمجال فرعي واحد من apple.com مطلوب للتحقق من شهادة التوقيع.

التخفيف من المخاطر

أسهل طريقة لتجنب المخاطر هي التخلص من حاجة iPhone للتحقق من شهادة التوقيع. إذا تم توقيع وكيل الاستخراج بمعرف Apple المسجل في برنامج مطوري Apple ، فقد يظل iPhone غير متصل بالإنترنت عندما تقوم بتحميل وكيل الاستخراج.

تنشأ المشاكل عندما لا يكون لديك حساب مطور لتسليمه ، وما زلت بحاجة إلى تنفيذ عملية استخراج الجهاز. لاحظ أنه يمكنك فقط استخدام معرف Apple غير المطور للتوقيع على وكيل الاستخراج إذا كنت تستخدم جهاز Mac. يجب على مستخدمي Windows استخدام معرف Apple المسجل في برنامج Developer حيث لا يوجد حل بديل متاح لهذا النظام الأساسي.

لتقليل مخاطر تعريض جهاز iPhone للعبث عن بُعد ، سنحتاج إلى تقييد اتصاله عبر الإنترنت. من الناحية المثالية ، يجب أن يكون iPhone قادرًا فقط على الاتصال بخادم التحقق من صحة شهادة واحد – مع إنهاء جميع الاتصالات الأخرى.

خادم التحقق من صحة شهادة Apple: ppq.apple.com (17.173.66.213) ، المنفذ 443.

هناك عدة طرق يمكن للمرء أن يحقق الهدف. بالنسبة للبعض ، تتمثل الطريقة الأسهل في تكوين شبكة Wi-Fi مخصصة وإعداد قائمة بيضاء لجهاز التوجيه. سيفضل الآخرون ترك أجهزة الراديو للجهاز معطلة ، باستخدام اتصال سلكي تم تكوينه مسبقًا بدلاً من ذلك (مع محول Lightning to Ethernet مثل هذا ، أو أ بديل أرخص ، أو مزيج من محول Lightning إلى USB و ال محول إيثرنت USB ).

ومع ذلك ، بمجرد أن يكون لديك جهاز Mac ، لن تكون هناك حاجة لأي أجهزة إضافية ، وستتمكن من مشاركة اتصال الإنترنت منه إلى iPhone ، مما يحد من الوصول بطريقة أسهل.

الخطوة 1 . الاتصال أي iPhone (ليس الذي يتم استخراجه!) إلى Mac. افتح [Settings] | [Shared] وتأكد من ذلك مشاركة الانترنت في “إلى أجهزة الكمبيوتر التي تستخدم:” يحتوي على عنصر “iPhone USB”.

إذا لم يكن هناك عنصر من هذا القبيل ، فقم بتمكينه مؤقتًا نقطة اتصال شخصية (USB فقط). يجب أن يظهر العنصر. بعد ذلك ، يمكنك فصل iPhone وتعطيل نقطة الاتصال الشخصية.

الخطوة 2 . تأكد من عدم اتصال iPhone بجهاز Mac ، وقم بتنشيط جدار الحماية (لهذه الواجهة المحددة فقط ، على سبيل المثال آيفون USB ) ، والسماح بالوصول إلى ppq.apple.com فقط. يمكن القيام بذلك بسهولة عن طريق تشغيل النصي كمستخدم أساسي ، على سبيل المثال:

sudo ./install_firewall.sh

محتوى البرنامج النصي بسيط للغاية:

#! / بن / باشcp /etc/pf.conf /etc/pf.conf.backupصدى "الجدول  {ppq.apple.com، 192.168.2.0/24} ">> /etc/pf.confصدى "block drop in fast on bridge100 proto tcp من أي إلى!  ">> /etc/pf.confpfctl -f /etc/pf.conf

الخطوه 3 . قم بتوصيل iPhone قيد التحقيق. يجب أن يكون الوكيل مثبتًا بالفعل (إذا لم يكن مثبتًا بعد ، فيمكنك القيام بذلك في هذه المرحلة) ، وتمكينه مشاركة الانترنت إلى آيفون USB .

الخطوة 4 . اعتماد / التحقق من الشهادة (الصادرة إلى معرف Apple الذي استخدمته لتحميل الوكيل).

الخطوة الخامسة . قم بالاستخراج باستخدام EIFT.

الخطوة 6 . يمكنك إلغاء تثبيت جدار الحماية الآن (واستعادة التكوين الأصلي ، حيث تم نسخه احتياطيًا في الخطوة الثانية) عن طريق تشغيل البرنامج النصي الثاني ، مرة أخرى كمستخدم أساسي:

sudo ./install_firewall.sh

هذا النص في الواقع أبسط:

#! / بن / باشcp /etc/pf.conf.backup /etc/pf.confpfctl -f /etc/pf.conf

يمكنك أيضًا الاحتفاظ بالإعداد الحالي لمزيد من عمليات الاستخراج (إذا احتجت في أي وقت إلى تثبيت العامل على أجهزة iPhone الأخرى). من الآن فصاعدًا ، أي iPhone متصل بجهاز Mac هذا (بعد إعداد جدار الحماية) سيكون له حق الوصول فقط إلى خادم Apple المحدد المطلوب للموافقة على الشهادة ؛ ستكون ليس مزامنة (لا النظام ولا أي تطبيقات) أو الوصول إلى أي أوامر قفل / مسح عن بعد.

هذا كل شيء ، يمكنك الآن الحصول على البيانات من الجهاز ، بما في ذلك نظام الملفات الكامل وسلسلة المفاتيح ؛ مزيد من التفاصيل هنا: استخراج نظام ملفات iPhone و Keychain بدون حساب Apple Developer .

بواسطة فلاديمير كاتالوف في 2020-09-03 08:50:24 المصدر مدونة ElcomSoft:

السرعة> الأمان - نهج Apple لأمان بيانات iOS

سأناقش اليوم فهمي لبعض مفاهيم الأمان التي طبقتها Apple في نظام التشغيل iOS – بما في ذلك كيفية تأثير هذه المفاهيم على تجربة المستخدم والنتيجة الحتمية لأمن بياناتك الشخصية. تركز هذه المقالة بشكل خاص على آليات معالجة حالة التشفير داخل iOS (التي تتعامل مع المواقف التي يتم فيها تخزين البيانات المخزنة على جهاز iOS الخاص بك في حالة مشفرة أو غير مشفرة). أجد هذا الموضوع مثيرًا للاهتمام بشكل خاص بسبب التصور الشائع لدى المستهلك بأن جهاز iOS يحتوي على جميع بيانات وسائط المستخدم المشفرة – على عكس بحثي الذي يثبت عكس ذلك. من الجدير بالذكر أنه ليس كل هذا “غير صحيح”. هناك الكثير من الوكالات الخاصة والأفراد الذين يبحثون أيضًا! – أحب أن أجعل بحثي عامًا وأن أطور حلولًا مفتوحة المصدر حيثما كان ذلك ممكنًا أخلاقياً وقانونياً!

لنبدأ في فهم حالات التشفير ذات الصلة بنظام iOS

أعلاه ، سترى جدولًا صغيرًا قمت بإنشائه يصف بعض الميزات الأساسية لكلتا حالتي التشفير ، ذات الصلة على وجه التحديد بـ iPhone.

أولاً ، دعنا نناقش حالة BFU ، والتي ترمز إلى Before First Unlock. إنها الحالة التي سيكون فيها جهاز iPhone الخاص بك إذا قمت بإعادة التشغيل ولم تقم بإدخال رمز المرور. في هذه الحالة ، يعتقد المستهلكون عمومًا (عن حق) أن جميع بياناتهم “مشفرة بالكامل” ولا يمكن استردادها بدون رمز مرور الجهاز. سنتحدث أكثر عن الحقيقة وراء هذا لاحقًا في المقالة.

أخيرًا ، لدينا دولة AFU. يرمز AFU إلى After First Unlock ويصف حالة يكون فيها إما رمز مرور المستخدم معروفًا للمحقق ، أو يكون الجهاز بعد إلغاء القفل ، أو في المواقف التي يكون فيها الجهاز مغلقًا ولكنه يلبي مجموعة متنوعة من الشروط المحددة.

في حالة AFU ، سيسمح SEP بفك تشفير وسائط المستخدم.

يبدو أنها جميلة ، أليس كذلك؟

يعالج معالج SEP عملية تشفير البيانات ، وهناك فصل بين بيانات المستخدم وحجم النظام ، والعديد من المواقف التي ستضع الجهاز من AFU إلى حالة BFU.

لنفكر في تجربة مستخدم iOS.

يفتح iPhone بسرعة مذهلة عند الإقلاع وهو أمر رائع لتجربة المستخدم ، ويبدو مذهلاً في الإعلانات! هناك أيضًا حقيقة أنك ستستمر في استرداد الإشعارات لتطبيقاتك المفضلة في حالة BFU.

يبدو رائعا ، أليس كذلك؟

هناك ضخم تضحية فيما يتعلق بأمان الجهاز الذي يحدث في الخلفية …

كيف يتم إلغاء قفل جهاز iPhone الخاص بك بهذه السرعة إذا كان كل شيء مشفرًا ، وكيف يسحب جهاز iPhone إشعارات التطبيق قبل فتح القفل الأول؟ سيكون لدى المستخدم نفس مستوى الوصول مثل iPhone (إذا تم تمهيده أثناء استغلاله باستخدام checkm8 ).

إذا لم يكن هناك إدخال رمز مرور لـ SEP لإلغاء تأمين وحدة تخزين وسائط المستخدم ، فكيف يمكن أن يكون ذلك ممكنًا؟ هل هناك استغلال لـ SEP؟ نوع من “الالتفافية” السحرية؟

حسنًا ، لم يتم تشفير القيم المعنية من البداية. يحتفظ iPhone بقواعد بيانات وذاكرة تخزين مؤقت وسجلات مختلفة في شكل مفكك تمامًا.

قد يجادل البعض بأنه من الضروري فك تشفير بعض القيم قبل فتح القفل الأول ، مثل معرف Apple الذي تم تسجيل الدخول إليه ، وربما صورة مصغرة لمرور المحفظة المثبتة (قبل إدخال رمز المرور ، قد تكون بيانات المرور ليس لا تكن مشاغبا).

في حين أنه من الصحيح أن بعض البيانات ضرورية للتشغيل الأساسي للجهاز في BFU ، فمن المهم بالنسبة لنا التركيز على الكم الهائل من البيانات المتبقية في حالة فك تشفير ، ومدى إمكانية استغلال عدم أمان النظام الأساسي هذا ، و البيانات التي يمكن ، بدورها ، استعادتها دون معرفة رمز مرور المستخدم.

يمكننا أن نبدأ اكتشف ، تحليل ، معالجة و تصور البيانات من iPhone مغلق

كيف يتم فتح قفل جهاز iPhone الخاص بك بهذه السرعة إذا تم تشفير كل شيء؟ كيف يسحب جهاز iPhone الخاص بك هذه الإشعارات لتطبيقاتك قبل فتحها لأول مرة؟ سيكون لجهاز iPhone نفس مستوى وصول المستخدم.

في لحظة سوف نكتشف ذلك اي شخص يمكنهم تفريغ محتويات iPhone الخاصة بهم. ومع ذلك ، فإن المحتويات التي ستجدها ستعتمد على قدرتك على التدقيق في البيانات. لحسن الحظ بالنسبة لنا ، هناك بعض الخطوات التي يمكننا اتخاذها لأتمتة عملية الاكتشاف والعرض التقديمي! سنعود إلى ذلك قريبًا – على أي حال ، نعود إلى المقالة …

إذا لم يكن هناك إدخال رمز مرور من أجل سبتمبر لفتح حجم وسائط المستخدم ، كيف يمكن استخراج البيانات؟

حسنًا ، الحقيقة هي أن القيم المعنية كانت لم يتم تشفيرها في المقام الأول .

يحتفظ iPhone بقواعد بيانات وذاكرة تخزين مؤقت وسجلات مختلفة بشكل مفكك تمامًا. هذا يعني أن أي شخص لديه وقت كافي (وجهاز متوافق مع استغلال checkm8 لبدء برنامج SSH Daemon على الجهاز) يمكنه تحليل ومعالجة وتصور استخراج جزئي للبيانات من الجهاز بدون رمز مرور صالح.

التكنولوجيا لتسهيل / أتمتة هذه العملية خاصة إلى حد كبير وغير معلنة للجمهور. شعرت أنه يجب أن يكون هناك حل مفتوح المصدر لمثل هذه المهمة.

على الرغم من أن هذا يمثل سؤالًا أخلاقيًا رئيسيًا بسبب سوء الاستخدام المحتمل ، إلا أنني أعتقد أن حلًا مجانيًا مفتوح المصدر سيزيد من فهم الجمهور لمثل هذه العمليات ويكون قادرًا على زيادة الاهتمام والبحث في هذا المجال.

ما الذي يمكن للمهاجم معرفته عني باستخدام iPhone المقفل؟

إنه سؤال مخيف ، ولسوء الحظ يأتي بإجابة مخيفة أيضًا …

كمية البيانات التي يمكن الوصول إليها باستخدام تقنيات مختلفة في BFU الدولة ، على سبيل المثال لا الحصر:

• حسابات البريد الإلكتروني على الجهاز
• معرفات مستخدم الحساب الاجتماعي – SnapChat تسجيل الدخول اسم الحساب ، على سبيل المثال
• معرفات الاتصال الفريدة والمحادثة لبعض تطبيقات الطرف الثالث – بما في ذلك SnapChat و WhatsApp
• نقاط وصول WiFi (تاريخي)
• بيانات الموقع التاريخي
• الوصول الجزئي لوسائط المستخدم
• التطبيقات المثبتة & بيانات الاستخدام الأساسية
• أكثر من ذلك بكثير! – هذا مجرد خدش السطح

أتساءل كيف يبدو هذا في الكود؟ …

أعلاه ستجد مثالاً على “قطعة أثرية” لـ ZPET في شكل “هيكل” C.

تُستخدم المصنوعات اليدوية على نطاق واسع عبر صناعة الطب الشرعي كطريقة لتحديد كيفية تحديد / العثور على نقطة بيانات معينة في نظام الملفات. يمكن أن تأتي القطع الأثرية في شكل عدد كبير من التنسيقات ، بما في ذلك استعلامات SQL والأوامر والنصوص الكاملة في بعض الأحيان إذا كانت نقطة البيانات المعينة تتطلب تحليلًا مكثفًا للكشف عنها.

نتحدث عن القطع الأثرية وكيف يمكننا العثور عليها بمزيد من التفصيل في كتابي الجديد iOS حجم البحث والاستكشاف الأول – حيث لا يزال تسعير الطلب المسبق متاحًا لبضعة أيام أخرى.

من الأداة الموضحة أعلاه في استخراج وحدة ZPET ، يمكننا أن نستنتج أن الملف الذي سنقوم بتحليله هو com.apple.batterydata.cyclecount.plist . يحتوي هذا الملف الهدف على مئات القيم التي سنحتاجها لأتمتة عملية الغربلة.

لإثبات ذلك ، إليك مقتطف من ملف com.apple.batterydata.cyclecount.plist تمت طباعة PLIST (يجب أن يظهر أسفل هذا النص)

بصفتك محققًا ، فإن فحص كل ملف في نظام الملفات سيسمح لنا بالعثور على ما نحتاج إليه – في النهاية … ولكن بشكل واقعي ، نريد فقط إخراج “القيمة المحددة” التي نبحث عنها.

في حالة ZPET ، يمكننا تحديد “sval” بمعنى القيمة المحددة. يُعرف هذا أيضًا باسم “المفتاح” عند الحديث عن هيكل PLIST. من خلال مراقبة بنية plist ، يمكننا تحديد أن “المفتاح” سيكون تسلسليًا.

إذا لم تكن قد خمنت ، فسوف يسحب الرقم التسلسلي للبطارية. فيما يلي مثال على كيفية عرض هذه الأداة المحددة في ZPET Web Output:

إذا كنت مهتمًا باكتشاف القطع الأثرية الجديدة ، فإنني أوصيك بالتحقق من مشروع أتمتة البحث الخاص بي SPIDER ، والذي تم تصميمه خصيصًا للسماح للمبتدئين باكتشاف البيانات داخل تفريغ نظام ملفات iOS (يمكنك الحصول على هذا التفريغ من جهاز كسر الحماية الخاص بك (أو جهاز عرضة لـ checkm8) باستخدام أداة مجانية مثل iPhone-rootFS-Tool على جيثب الخاص بي).

أشجعك أيضًا على تفريغ نظام الملفات في كل من حالة BFU و AFU ومقارنة نتائجك! ستكون تجربة تعليمية رائعة وستساعدك على فهم “BFU vs AFU”.

سأقوم بنشر مقالات مماثلة لهذا قريبًا ، والتي ستتعمق أكثر في التقنية وتعمل مع الطب الشرعي لنظام iOS على مستوى أعمق.

القليل من الاستنتاج وإلى أين نذهب من هنا

شكرا للقراءة! أحاول أن أجعل مقالاتي قصيرة وموجزة – كان اليوم أطول قليلاً من المعتاد ؛ آمل أن يكون من السهل متابعته! لمزيد من القراءة ، أوصيك بتفريغ iDevice الخاص بك باستخدام أداة من اختيارك ، وإلقاء نظرة على ZPET كود المصدر ، وابدأ في إنشاء وحدات ZPET الخاصة بك.

تذكر تقديم طلب سحب وإعلامي حتى أتمكن من مشاركته عبر Twitter أيضًا!

كما هو الحال دائمًا ، اعتني بنفسك ولا تتردد في مراسلتي على Twitter في أي وقت في تضمين التغريدة

-جوامع

بواسطة James Duffy at 2020-08-31 11:52:02 المصدر مدونة ElcomSoft:

استخراج نظام ملفات iPhone و Keychain بدون حساب Apple Developer

في العام الماضي ، قمنا بتطوير طريقة مبتكرة لاستخراج بيانات iPhone دون كسر الحماية. تم التغلب على المزايا العديدة للطريقة مع عيب كبير: مطلوب معرف Apple المسجل في برنامج مطور Apple المدفوع للتوقيع على ثنائي الاستخراج. لم تعد هذه مشكلة على أجهزة كمبيوتر Mac باستخدام تقنية التحميل الجانبي المحسّنة.

لماذا كل هذا

عند استخراج جهاز iOS (سحب نظام الملفات وفك تشفير سلسلة المفاتيح) ، يحتاج المرء إلى وصول منخفض المستوى إلى الجهاز. تقليديا ، كنا نستخدم عمليات كسر الحماية العامة لتصعيد الامتيازات ، ولكننا انتقلنا مؤخرًا إلى طريقة جديدة لا تتطلب كسر الحماية. يستخدم الاستخراج الخالي من Jailbreak عامل استخراج مطور من Elcomsoft. يوفر الاستخراج المستند إلى الوكيل فوائد ملموسة على طريقة الاستخراج التقليدية القائمة على كسر حماية الجهاز ، باعتباره بديلًا أكثر أمانًا وأسرع وأكثر قوة. حتى اليوم ، كان للاستخراج المستند إلى الوكيل عيبًا كبيرًا: من أجل توقيع ثنائي الاستخراج ، كان يتطلب حسابًا في Apple مسجلًا في برنامج Apple Developer. لقد تحايلنا على هذا التقييد في أحدث إصدار من مجموعة أدوات الطب الشرعي لنظام iOS لل ماك. لا يزال مستخدمو إصدار Windows بحاجة إلى حساب Developer لإجراء الاستخراج.

القليل من التاريخ

تتمتع Apple بقبضة محكمة على نظام iOS البيئي. في أحلام Apple ، يجب على الجميع الدفع مقابل الوصول إلى النظام البيئي للتطبيق. يجب على المطورين شراء أجهزة Apple وأدوات تطوير Apple ؛ يجب عليهم أيضًا شراء عضوية في برنامج Apple Developer المدفوع. هناك رسوم متكررة منفصلة لنشر التطبيقات في متجر التطبيقات ، ولكن حتى هذه الرسوم لا تضمن القبول.

كان لدى المستخدمين الذين أرادوا تثبيت تطبيق غير معتمد من قناة أخرى غير متجر التطبيقات الرسمي عدة خيارات. يمكنهم كسر حماية الجهاز واستخدام أحد متاجر التطبيقات البديلة. يمكنهم الدفع لشركة Apple مقابل الامتياز من خلال التسجيل كمطور. أخيرًا ، يمكنهم تثبيت عدد محدود من التطبيقات على أجهزتهم والاحتفاظ بها لمدة تصل إلى 7 أيام دون دفع عشرة سنتات. تسمى هذه العملية “التحميل الجانبي” ، وهي نفس العملية التي استخدمها خبراء الطب الشرعي لتثبيت برمجيات الاستخراج لأجهزة التصوير.

من الناحية التاريخية ، كان مستخدمو iOS وخبراء الطب الشرعي قادرين على تحميل تطبيقات الطرف الثالث بشكل جانبي باستخدام معرف Apple عادي ، وغالبًا ما يتم التخلص منه لتوقيع الثنائيات. سيديا إمباكتور هي أداة مجانية تستخدم غالبًا لهذا الغرض ، ولكن توجد بدائل أيضًا. في نوفمبر 2019 ، أجرت Apple تغييرًا مفاجئًا على خدمة التزويد الخاصة بها ، مما أدى بشكل فعال إلى حظر آلية التحميل الجانبي للجميع باستثناء مستخدمي حسابات Apple Developer المدفوعة. سوريك ، مطور سيديا إمباكتور ، ملتوي حول هذه القضية. منذ ذلك الحين ، لا يمكن استخدام أي شيء سوى حساب Apple Developer مدفوع لتوقيع الثنائيات. رسميًا ، لا يزال هذا هو الحال اليوم. بشكل غير رسمي ، في نفس الوقت تقريبًا من العام الماضي العديد من المستخدمين بدأت تواجه مشاكل تسجيل حساب Apple Developer شخصي.

مطور أو مطور Apple ID لاستخراج iPhone؟

الاشتراك لتصبح مطورًا مسجلاً ميسور التكلفة ؛ إنه جزء ضئيل من تكلفة الأدوات التي يحتاجها المرء لاستخراج iPhone. إن استخدام حساب مطور للتحميل الجانبي لبرنامج الاستخراج له فوائد ملموسة على استخدام معرف Apple عادي أو مجهول (غير معروف). أنشأنا ملف مقالة مدونة شرح مزايا حساب المطور مقارنة بمعرف Apple المخصص لغرض استخراج iOS. باختصار ، فإن استخدام حساب Apple المسجل في برنامج Developer يسمح بالتوقيع وتحميل التطبيقات ، وتجاوز التحقق من الشهادة على الجهاز ، الأمر الذي قد يتطلب اتصالاً بالإنترنت على الجهاز مع جميع مخاطر تعريض الجهاز للقفل عن بُعد / محو.

ومع ذلك ، فإن عددا كبيرا من الخبراء العاملين في مجال إنفاذ القانون كانوا ولا يزالون مترددين في الحصول على هذه الحسابات لأسباب غير مالية مختلفة. أصبح التسجيل للحصول على حساب مطور شخصي مع Apple صعبًا بشكل خاص في الأشهر الأخيرة ، حيث رفضت Apple العديد من التطبيقات دون تفسير وبدون حل من خلال خدمة الدعم الخاصة بهم. إذا كنت ترى رسالة “تعذر إكمال التسجيل الخاص بك” ، فتحقق من ذلك هذا الموضوع للاقتراحات.

ونتيجة لذلك ، شعرنا بالحاجة إلى تطوير حل عملي يسمح للخبراء باستخدام معرّفات Apple ID العادية أو المجهولة (غير الرسمية) لتوقيع برنامج الاستخراج وإجراء التصوير.

عملنا

لقد اكتشفنا طريقة لتمكين استخدام معرفات Apple ID العادية والتي يمكن التخلص منها لغرض استخراج البيانات المستندة إلى الوكيل. كل ما تحتاجه هو أحدث إصدار من iOS Forensic Toolkit وكمبيوتر Mac وكابل لتوصيل iPhone بجهاز Mac. في هذا الدليل ، سنوضح كيفية تصوير جهاز iOS بمعرف Apple يمكن التخلص منه.

التوافق والمتطلبات المسبقة والقيود

من أجل شن الهجوم ، ستحتاج إلى كل ما يلي.

1. طراز iPhone متوافق يعمل بإصدار مدعوم من iOS. قائمة الأجهزة المدعومة متاحة أدناه. في الوقت الحالي ، يتم دعم الاستخراج المستند إلى الوكيل لجميع الموديلات التي تتراوح من iPhone 5s إلى 11 Pro Max مع iOS 9.0 إلى 13.5.
2. كمبيوتر مكتبي أو كمبيوتر محمول يعمل بنظام macOS 10.12 (Sierra) حتى 10.15 (Catalina).
3. كابل Lightning.
4. معرف Apple (شخصي أو يمكن التخلص منه) مع أو بدون مصادقة ثنائية.
5. مجموعة أدوات الطب الشرعي لنظام iOS 6.50 أو أحدث.

مقارنةً باستخدام حساب Developer ، فإن توقيع وكيل الاستخراج بمعرف Apple العادي أو غير المباشر له القيود التالية.

1. شهادة التوقيع صالحة لمدة 7 أيام فقط. هذه ليست مشكلة في العادة لأن عمليات الاستخراج يجب أن تتم في نفس يوم التحميل الجانبي للعامل.
2. لا يمكن استخدام معرف Apple غير المطور إلا لتوقيع عدد قليل من الأجهزة (كان 3 أجهزة عندما تحققنا آخر مرة). هذا هو السبب في أن العديد من الخبراء يفضلون إنشاء معرّفات Apple ID سهلة الاستخدام لاستخراج الأجهزة.
3. ستحتاج إلى اجتياز المصادقة ذات العاملين عند تسجيل الدخول. سيتم دفع رمز 2FA إلى جهاز موثوق به (بدون تسليم رسائل SMS) ، لذلك ستحتاج إلى أن يكون لديك واحد جاهز. لاحظ أنه لن تتم مطالبتك بإدخال الرمز إذا كان جهاز Mac موثوقًا به بالفعل (على سبيل المثال ، مرتبط بمعرف Apple الذي أنت على وشك استخدامه). لم نختبر الأداة مع حسابات بخلاف 2FA.
4. سوف تحتاج إلى الموافقة (الوثوق) بشهادة التوقيع على جهاز iOS. هذا ممكن فقط عندما يكون الجهاز متصلاً بالإنترنت ، لذا سيتعين عليك كسر قاعدة “وضع الطائرة فقط” لتجنب أمر القفل أو المسح المحتمل عن بُعد.

خطوات الاستخراج

مهم : إذا كنت تقوم باستخراج الأدلة الجنائية (بدلاً من استخراج جهاز iPhone الخاص بك) ، فقم بإعداد اتصال إنترنت مقيد أولاً ، كما هو موضح في المقالة التالية: إعداد اتصال إنترنت مقيد .

• قم بتنزيل Elcomsoft iOS Forensic Toolkit.
• قم بتثبيت مجموعة الأدوات باتباع الإرشادات الموجودة في كيفية تثبيت وتشغيل iOS Forensic Toolkit على جهاز Mac .
• قم بتشغيل iOS Forensic Toolkit.
• صحافة 1 لتحميل الوكيل على الجهاز. لاحظ أنه سيتعين عليك تمرير المصادقة ذات العاملين عن طريق إدخال كلمة مرور معرف Apple الأصلية (وليس كلمة مرور خاصة بالتطبيق كما كنت تفعل سابقًا) ، ثم رمز لمرة واحدة (سيتم دفعه إلى جهاز موثوق به).
• تحقق من عامل الاستخراج على الجهاز. سيستخدم هذا الاتصال بالإنترنت. بمجرد التحقق من وكيل الاستخراج ، قم بتشغيله بالنقر فوق رمز التطبيق الخاص به.
• اضغط 2 لاستخراج وفك تشفير keychain
• اضغط 3 لاستخراج صورة نظام الملفات
• اضغط 4 لإزالة عامل الاستخراج من الجهاز

نوصي بشدة باستخراج كلاً من سلسلة المفاتيح ونظام الملفات حيث يمكن استخدام محتوى سلسلة المفاتيح لفك تشفير بيانات معينة للتطبيق (مثل النسخ الاحتياطية السحابية لـ WhatsApp و Signal وما إلى ذلك). يمكن تحليل صورة نظام الملفات بتنسيق عارض الهاتف Elcomsoft أو أي منتج طبي شرعي آخر.

الختام

منذ نوفمبر من العام الماضي ، أصبح تحميل التطبيقات على أجهزة iOS أكثر صعوبة. قامت Apple بإجراء تغييرات على خدمة التزويد الخاصة بها ، مما أدى إلى كسر التحميل الجانبي للجميع باستثناء مستخدمي حساب Apple Developer مدفوع. لقد اكتشفنا طريقة لتمكين استخدام معرفات Apple ID العادية والتي يمكن التخلص منها لغرض استخراج البيانات المستندة إلى الوكيل. كل ما تحتاجه هو أحدث إصدار من مجموعة أدوات الطب الشرعي لنظام iOS وجهاز كمبيوتر Mac وكابل لتوصيل iPhone بجهاز Mac. في هذا الدليل ، سنوضح كيفية تصوير جهاز iOS بمعرف Apple يمكن التخلص منه.

تتغلب مجموعة أدوات الطب الشرعي على iOS لنظام التشغيل Mac على قيود التزويد التي تلزم المستخدمين باستخدام حساب Apple Developer لتصوير أجهزة iOS. يسمح إصدار Mac مرة أخرى للخبراء باستخدام معرّفات Apple العادية أو غير الرسمية لاستخراج نظام الملفات وفك تشفير سلسلة المفاتيح من أجهزة iPhone و iPad المتوافقة. ومع ذلك ، إذا كان لدى أحد بالفعل حساب Apple Developer ، فإننا نوصي بالاستمرار في استخدام هذا الحساب لتحميل ثنائي الاستخراج جانباً بسبب الفوائد الملموسة لهذا الأسلوب.

بواسطة Oleg Afonin at 2020-09-03 08:56:32 المصدر مدونة ElcomSoft: