GrayKey iPhone Unlocker wirft ernsthafte Sicherheitsbedenken auf

Seit den aktuellen “Terror Vorfällen” wurde Apple vom FBI mehrfach öffentlich darum gebeten ihnen einen  Backdoor Zugang zum iPhone für die Strafverfolgung bereit zu stellen. Einige waren der Meinung, dass Apple sich an den “Straftaten” mit verantwortlich machen würde, wenn sie bei der Entsperrung nicht helfen würden. Andere wiederum dachten etwas weiter und lehnen eine BackDoor für die Strafverfolgungsbehörden ab.

In einer interessanten Wendung endete die Schlacht damit, dass das FBI den Fall fallen ließ, nachdem er eine dritte Partei gefunden hatte, die helfen konnte. Zu der Zeit war es die Theorie, dass die dritte Partei Cellebrite war. Seitdem ist bekannt geworden, dass Cellebrite (ein israelisches Unternehmen) den Strafverfolgungsbehörden iPhones zur Verfügung stellt.

Cellebrite bietet mit derzeit unbekannten Mitteln diese Dienste für 5000 US-Dollar pro Gerät an, und das beinhaltet im Wesentlichen das Senden der Telefone an eine Cellebrite-Einrichtung. (Kürzlich hat Cellebrite damit begonnen, interne Entriegelungsdienste anzubieten, aber diese Dienste sind stark durch Geheimhaltungsvereinbarungen geschützt, so dass wenig darüber bekannt ist.) Es ist jedoch bekannt, dass Cellebrite mindestens eine iOS-Sicherheitslücken kennt, mit der sie auf die Geräte zugreifen können.

Ende 2017 begannen die Gerüchte um einen iPhone-Unlocker: ein Gerät namens GrayKey, hergestellt von einer Firma namens Grayshift. Grayshift mit Sitz in Atlanta (Georgia), wurde 2016 gegründet und ist ein Privatunternehmen mit weniger als 50 Mitarbeitern. Bis vor kurzem war wenig über dieses Gerät bekannt, da die GrayKey-Website durch ein Portal geschützt ist, das die Zugehörigkeit zu einer Strafverfolgungsbehörde überprüft, bevor man weitere Informationen erhält.

Laut Forbes wird der GrayKey iPhone Unlocker für den internen Gebrauch in Strafverfolgungsbehörden / Labors vermarktet. Dies unterscheidet sich grundlegend von dem Geschäftsmodell von Cellebrite, da es die vollständige Kontrolle über den Prozess in die Hände der Strafverfolgungsbehörden stellt.

Dank einer anonymen Quelle wissen wir nun, wie dieses mysteriöse Gerät aussieht und wie es funktioniert. Und obwohl die Technologie für die Strafverfolgung eine gute Sache ist, birgt sie einige erhebliche Sicherheitsrisiken!

Wie es funktioniert:

GrayKey ist eine graue Box, vier Zoll breit, vier Zoll tief und zwei Zoll hoch. Zwei Blitzkabel ragen aus der Front.

Zwei iPhones können gleichzeitig angeschlossen werden und sind für etwa zwei Minuten verbunden. Danach werden sie vom Gerät getrennt, sind aber noch nicht geknackt. Einige Zeit später werden die Telefone einen schwarzen Bildschirm anzeigen, der unter anderem den Passcode enthält. Die genaue Länge der Zeit variiert, wobei in den Beobachtungen unserer Quelle etwa zwei Stunden benötigt werden. Es kann laut Grayshift-Dokumenten bis zu drei Tage oder länger für sechsstellige Passwörter dauern, und die für längere Passwörter benötigte Zeit wird nicht erwähnt. Selbst deaktivierte Telefone können laut Grayshift entsperrt werden.

Nachdem das Gerät entsperrt wurde, wird der gesamte Inhalt des Dateisystems auf das GrayKey-Gerät heruntergeladen. Von dort können sie über eine webbasierte Schnittstelle auf einem angeschlossenen Computer abgerufen und zur Analyse heruntergeladen werden. Der vollständige, unverschlüsselte Inhalt des Schlüsselbunds steht ebenfalls zum Download bereit.

Wie auf dem Screenshot oben zu sehen ist, arbeitet GrayKey auf der neuesten Hardware, und mindestens auf iOS bis zu 11.2.5 (das war wahrscheinlich das aktuellste System zum Zeitpunkt der Aufnahme dieses Bildes).

Das GrayKey-Gerät selbst ist in zwei Versionen erhältlich. Der erste, eine Option für 15.000 US-Dollar, benötigt eine Internetverbindung, um zu funktionieren. Es ist streng limitiert, so dass es nach der Einrichtung in keinem anderen Netzwerk verwendet werden kann.

Es gibt jedoch auch eine 30.000 $ -Option. Bei diesem Preis benötigt das Gerät keinerlei Internetverbindung und hat keine Begrenzung für die Anzahl der Freischaltungen. Es wird so lange funktionieren, wie es funktioniert. vermutlich, bis Apple alle Sicherheitslücken beseitigt, auf die das Gerät angewiesen ist. Zu diesem Zeitpunkt wären aktualisierte Telefone nicht mehr entsperrbar.

Das Offline-Modell erfordert eine tokenbasierte Zwei-Faktor-Authentifizierung als Ersatz für Geofencing, um die Sicherheit zu gewährleisten. Da die Leute jedoch oft Passwörter und Daten auf USB-Sticks schreiben und sie neben ihren Monitoren ablegen, sollte man wahrscheinlich hoffen, dass der Token an einem separaten Ort aufbewahrt wird, wenn der GrayKey nicht benutzt wird. Wahrscheinlicher ist es aber, daß die “hart erkämpften Daten” für einen einfachen Zugriff (auf einfache Weise) gespeichert werden.

Auswirkungen

Für die Strafverfolgung ist dies zweifellos ein Segen. Historisch gesehen sind ähnliche Geschichten, bei denen das iPhone geknackt wurde, jedoch nicht so gut gelungen. Betrachten wir zum Beispiel den Fall der IP-Box, eines ähnlichen Geräts, das früher für den Zugriff auf iPhones mit älteren iOS-Versionen verwendet wurde. Der Einsatz der ursprünglichen IP-Box endete in iOS 8.2, woraus sich die IP-Box 2 entwickelte. Leider wurde die IP-Box 2 weitgehend verfügbar und wurde natürlich fast ausschließlich illegal verwendet, anstatt in Strafverfolgungsbehörden. Heute können noch verschiedene IP-Boxen im Internet gefunden werden, die über eine Vielzahl von Websites verkauft werden … einschließlich Amazon. Wer ein solches Gerät möchte, kann eins bekommen!

Was passiert, wenn der GrayKey in der Strafverfolgung zur Normalität wird? Das billigere Modell ist keine große Gefahr, aber bei 4 “x 4” x 2 “könnte das unbegrenzte Modell ziemlich leicht zusammen mit seinem Token in der Nähe verstaut werden … auch außerhalb würde es weiter funktionieren. Ein solches Gerät könnte einen hohen Preis auf dem Schwarzmarkt erzielen und Dieben die Möglichkeit geben, gestohlene Telefone freizuschalten und weiterzuverkaufen … sowie Zugang zu den hochwertigen Daten auf diesen Telefonen zu erhalten.

Schlimmer noch, bedenkt doch mal die Auswirkungen dessen, was mit dem Telefon selbst gemacht wird. Es ist derzeit nicht bekannt, wie der Prozess funktioniert, aber es ist offensichtlich, dass es einen Jailbreak gibt. (Ein Jailbreak beinhaltet das Verwenden einer Sicherheitslücke, um ein Telefon zu entsperren und Zugriff auf das System zu gewähren, das normalerweise nicht erlaubt ist.) Was passiert mit dem Gerät, sobald es wieder an seinen Besitzer freigegeben wurde? Ist es immer noch auf eine nicht offensichtliche Weise jailbroken? Ist es für Remote-Zugriff offen, was normalerweise nicht möglich wäre? Wird es so stark beschädigt, dass es nicht mehr wie vorgesehen verwendet werden kann und ersetzt werden muss? Es ist unbekannt, aber irgendwelche davon sind Möglichkeiten.

Wir wissen auch nicht, welche Art von Sicherheit auf dem vernetzten GrayKey-Gerät vorhanden ist. Könnte es aus der Ferne zugegriffen werden? Können Daten während des Transports abgefangen werden? Sind die auf dem Gerät gespeicherten Telefondaten stark verschlüsselt, schwach verschlüsselt oder gar nicht verschlüsselt? Wir wissen es nicht.

Die meisten Menschen werden sich wahrscheinlich nicht über das Telefon oder die Daten eines Kriminellen freuen. Denken wir jedoch an eines der grundlegenden Prinzipien des US-Justizsystems: Verdächtige sind unschuldig, bis sie sich als schuldig erwiesen haben. Sollten Verdächtige für diese Art von Durchsuchungen durch die Strafverfolgungsbehörden anfällig sein?

Außerdem gehören nicht alle von der Strafverfolgung analysierten Telefone zu Verdächtigen. In einem Labor für digitale Forensik im Jahr 2014 wurde rund ein Drittel der analysierten Geräte den Behörden mit ausdrücklicher Zustimmung von mutmaßlichen Opfern oder Zeugen zur Unterstützung bei der Untersuchung übergeben. In solchen Fällen würde wahrscheinlich ein Passcode vergeben werden, aber es ist möglich, dass er nicht an den Forensiker weitergegeben wurde. Es ist auch möglich, dass der Techniker es vorzieht, den GrayKey zu verwenden, um das Gerät unabhängig von der Verfügbarkeit des Passcodes zu analysieren, aufgrund der großen Datenmengen, die er vom Gerät erzeugen kann.

Dies bedeutet, dass die Telefone vieler unschuldiger Personen am Ende mit einem GrayKey-Gerät analysiert werden. Was passiert, wenn ihre Telefone in einem anfälligen Zustand zurückgegeben werden oder ihre Daten unsicher gehandhabt werden? Das ist nicht nur eine Bedrohung für den Einzelnen, sondern eine viel zu hohe Verantwortung für die inkompetente Polizei.

Wem sollten wir noch vertrauen?

Für die meisten Menschen sind Strafverfolgungsbehörden Menschen, denen man vertrauen kann. Natürlich kann dies nicht in allen Fällen der Fall sein … Menschen sind Menschen … aber lasst uns von dieser Annahme ausgehen. Selbst wenn die Agenten selbst absolut vertrauenswürdig sind, haben Quellen in Strafverfolgungsbehörden leider gesagt, dass die von den Strafverfolgungsbehörden verwendeten Computersysteme oft ziemlich schlecht gesichert sind. Ist es eine gute Idee, vertrauliche Daten, von denen einige von den Telefonen unschuldiger Bürger stammen, auf unsichere Systeme zu vertrauen?

Über Grayshift (oder sein Verkaufsmodell) ist an dieser Stelle leider noch viel zu wenig bekannt. Wir wissen nicht, ob der Verkauf auf die Strafverfolgung in den USA beschränkt ist oder ob er auch in anderen Teilen der Welt verkauft wird. Ungeachtet dessen ist es sehr wahrscheinlich, dass diese Geräte letztendlich in die Hände von den falschen Menschen gelangen, sei es direkt von Grayshift oder indirekt über den Schwarzmarkt.

Es ist auch völlig möglich, basierend auf der Geschichte der IP-Box, dass Grayshift-Geräte für jeden verfügbar sind, der sie will und einen Weg finden kann, sie zu kaufen, vielleicht indem sie von einem unternehmungslustigen Hacker rückentwickelt und reproduziert werden und dann für ein paar hundert Dollar bei eBay erhältlich sind.

Fazit

Ein iPhone enthält in der Regel alle Arten von vertraulichen Informationen: Kontoinformationen, Namen und Telefonnummern, E-Mail-Nachrichten, SMS, Bankkontodaten, sogar Kreditkartennummern oder Sozialversicherungsnummern. All diese Informationen, selbst die scheinbar harmlosesten, haben einen Wert auf dem Schwarzmarkt und können verwendet werden, um Ihre Identität zu stehlen, auf Ihre Online-Konten zuzugreifen und Ihr Geld zu stehlen.

Die Existenz des GrayKey ist nicht sehr überraschend, noch ist es ein Zeichen, dass uns der Himmel auf den Kopf fällt. Es bedeutet jedoch, dass die Sicherheit eines iPhones nicht gewährleistet werden kann, wenn es in die Hände Dritter gelangt . . .  ALSO NIEMALS UNBEAUFSICHTIGT LIEGEN LASSEN !

Translate »