23:20
16/12/2020

Firma Cellebrite wiele potrafi, ale kilka dni temu ich dział PR-u i marketingu to mocno popłynął publikując nierzetelny artykuł o tym, że firma “złamała szyfrowanie Signala”, dzięki czemu “służby mogą go czytać”. Ten zabawny artykuł został po ostrej krytyce ekspertów skorygowany przez Cellebrite. Niestety, niektórzy dziennikarze wciąż powielają tę bzdurę.

Wstydliwa wtopa Cellebrite

Jak wyglądał nierzetelny artykuł Cellebrite w oryginale? Możecie go przeczytać tutaj. Jak po słusznej krytyce ekspertów, m.in. kryptoanalityka Matthew Greena, wygląda teraz? Ponieważ obecnie mieści się na jednym screenie, to zacytujmy go w całości (dla ułatwienia podkreśliliśmy fragment odnoszący się do “złamania”, który ostał się w artykule po “korekcie”):

Pomimo korekty, powyższe zdanie dalej jest nieprecyzyjne. Nie ma się co dziwić, że doniesienia Cellebrite oflagowano jako fake-news na Hacker Newsie i wyśmiano na branżowych i niebranżowych serwisach.

Jakie kłamstwa i nieścisłości Cellebrite musiało usunąć z artykułu?

Firma Cellebrite, krótko po publikacji i krytyce środowiska, przyznała się do błędu i PR-owej wpadki, kasując obszerne fragmenty artykułu, m.in. to nierzetelne zdanie:

Decrypting messages and attachments sent with Signal has been all but impossible until now.

Na czym polegała nieścisłość Cellebrite?

Cellebrite twierdziło, że swoim narzędziem potrafi deszyfrować wiadomości wysyłane przez komunikator Signal, ale z tekstu niezbyt jasno wynikało, że chodzi jedynie o sytuacje:

  • Dostępu do archiwum wiadomości przechowywanego na smartfonie, a nie “podsłuchiwanie” przez kogoś wiadomości przesyłanych Signalem przez internet.
  • A narzędzie Cellebrite musi zostać podpięte do ODBLOKOWANEGO smartfona
  • I narzędzie działa tylko z Androidem

Jeśli rozmówca nie włączy funkcji znikających wiadomości (mocno polecamy aktywować to przydatne ustawienie dla najważniejszych rozmów) to Signal na urządzeniu rozmówcy przechowuje historię rozmów, co nie jest żadną tajemnicą. Robią tak wszystkie komunikatory. Archiwum Signala na Androidzie jest szyfrowane przy pomocy klucza, który znajduje się w androidowym Keystore, do którego dostęp uzyskać można, pod warunkiem, że telefon jest odblokowany i atakujący wcześniej “zrootował” urządzenie. Signal tego nigdy nie ukrywał i jest to wprost zrozumiałe dla każdego, kto zajrzy w jego publicznie dostępny kod źródłowy. Jeden z głównych developerów Signala tak podsumował “rewelacje” Cellebrite:

The techniques they were using implied that they had root access to the phone (i.e. they were reading private app files and had access to the Android Keystore key). If someone has root access to your device, that’s pretty much game over. They can do far worse than just reading your Signal messages at that point. Not to mention, if someone has rooted access to your phone they could just… read your messages, like, in the app.

A tak całość skomentował twórca Signala:

Podsumowując, Signal dalej jest “niezłamany” i umożliwia bezpieczną komunikację osobom, które z niego korzystają. Nikt nie jest w stanie podsłuchać przesyłanych przez Signal wiadomości na trasie od nadawcy do odbiorcy. A jeśli ktoś uzyska dostęp do Waszego odblokowanego/zrootowanego smartfona, na którym jest zainstalowany Signal, to wtedy Game Over. Ale to niestety dotyczy każdej aplikacji, a nie tylko Signala. Bo jak ktoś ma dostęp do waszego smartfona (i to na prawach roota!) to i tak może podglądać każdą aplikację, która na urządzeniu pracuje (Pegasus, mówi Wam to coś?).

Jeśli komuś zależy na najmocniejszym utrudnieniu dostępu do Waszego urządzenia i archiwum Signala, które się na nim znajduje, to musi zainwestować pieniądze w nowego iPhona 12. Tego smartfona Cellebrite (jeszcze) nie potrafi złamać. Na starsze iPhony istnieją exploity, których “softwarowo” nie da ubić i które pozwalają je “zrootować”, a przez to pozyskać część informacji na temat właściciela, nawet jeśli iPhone jest zablokowany. Przy czym szczerze informujemy, że jeśli ktoś naprawdę z jakiegoś powodu “boi się służb” to nie ma znaczenia z jakiego smartfona korzysta. Metoda na uzyskanie informacji których służby potrzebują prędzej czy później się znajdzie, nawet jeśli delikwent smartfona nie ma w ogóle.

Signal od wczoraj jest jeszcze lepszy!

Na marginesie, wczoraj Signal ogłosił wsparcie dla w pełni szyfrowanych (E2EE) grupowych (!) rozmów video (!!). To jest przełomowa funkcja, dzięki której Signal znów mocno odbiegł konkurencji. Jeśli jeszcze z Signala nie korzystacie, polecamy jego instalację — i na smartfonie i na komputerze. W ostatnich tygodniach, m.in. na skutek protestów, do grona użytkowników Sigala (m.in. dzięki funkcji rozmywania twarzy) dołączyło bardzo dużo osób.

Przy okazji, posiadaczom zarówno iPhonów jak i Androida polecamy nasz webinar, Jak zabezpieczyć smartfona? (Andorida lub iPhona). Z kodem CELLEBRITE-FAIL do końca tygodnia można je kupić w cenie niższej o 40 PLN. Z tego webinara dowiecie się jak skonfigurować swojego smartfona aby maksymalnie ochronić prywatność przed coraz bardziej wścibskimi programistami aplikacji oraz co ustawić w systemie, aby smartfon był jak najmocniej zabezpieczony. Webinar omawia też przydatne aplikacje (darmowe i płatne) które zwiększają prywatność i bezpieczeństwo pracy na smartfonie.

Wbrew pozorom, wpadka firmy Cellebrite, choć dla firmy odciśnie się potężną rysą na wizerunku profesjonalistów, jest dla branży bardzo przydatna. Nierzetelna publikacja Cellebrite to świetny detektor nie mających pojęcia o bezpieczeństwie IT dziennikarzy, którzy tę bzdurę powtarzają. Jeśli więc zobaczycie, że ktoś gdzieś wypisuje pisze bzdury w stylu, “Signal został złamany” powołując się na artykuł Cellebrite, to sugerujemy aby nie nie wierzyć w inne publikacje na temat bezpieczeństwa autorstwa takiego dziennikarza, bo najwyraźniej brak mu podstawowych kompetencji.

Aktualizacja 03.01.2021, 13:33
Jest już oficjalna odpowiedź Signala na ich blogu.

Przeczytaj także:


Dowiedz się, jak zabezpieczyć swoje pieniądze, dane i tożsamość przed cyberprzestępcami. Wpadnij na nasz kultowy 3,5 godzinny wykład pt. "Jak nie dać się zhackować?" i poznaj kilkadziesiąt praktycznych i prostych do wdrożenia porad, które skutecznie podniosą Twoje bezpieczeństwo.

Na ten wykład powinien przyjść każdy, kto korzysta z internetu na smartfonie lub komputerze. Prowadzimy go przystępnym językiem, przeplatając demonstracjami ataków na żywo -- dlatego zabierz ze sobą swoich rodziców! W najbliższych tygodniach będziemy w poniższych miastach:

Zobacz pełen opis wykładu klikając tutaj lub kup bilet w naszym internetowym sklepie.

24 komentarzy

Dodaj komentarz
  1. > że jeśli ktoś naprawdę z jakiegoś powodu “boi się służb” to nie ma
    > znaczenia z jakiego smartfona korzysta.

    To nieprawda.

    Mit o wszechmogących służbach które “włamią się wszędzie, prędzej czy później, jak nie tym sposobem to innym” jest fałszywy i szkodliwy. Obowiązują ich te sama prawa fizyki co każdego człowieka.

    Należy tworzyć, promować i używać technologii, które obronią nawet najbardziej niewygodnego dla władzy człowieka przed nawet przed najlepiej wyposażonymi, dofinansowanymi i wyszkolonymi służbami specjalnymi. Nie wolno popadać w defetyzm.

    A co do samego iPhone’a 12 – czy Waszym zdaniem też jest kwestią czasu exploit na niego, czy tym razem służby połamią sobie zęby?

    ps. Jestem ciekaw czy opublikujecie ten komentarz

    • Jak dobrze pamiętam to Niebezpiecznik już parę razy pisał, że jak służby postawią na kimś celownik to zdobędą informacje, jakich potrzebują, tak czy inaczej. Niekoniecznie z telefonu tej osoby. Dlatego nie ma znaczenia jakiego ma smartfona ta osoba lub też czy w ogóle go ma. Technik skolko.

    • Wszelkiego rodzaju “służby” to “mafia na usługach państwa”. Gdy wszelkiego rodzaju grupy zorganizowane, przemytnicy, złodzieje, szpiedzy i inne gagatki nie grają czysto, to i rządy państw muszą jakoś chronić siebie i obywateli. W tej grze pewne zasady i reguły są naginane. Co innego chronić siebie lub swoją firmę przed 10 osobową grupką wybitnych hackerów, a co innego przed instytucją mającą dostęp do wszystkich rządowych baz danych (od rekordów policyjnych, biur paszportowych, służby zdrowia, podatków po akty urodzenia, mapy czy rachunki). Instytucji, która może dowolnie manipulować wszystkimi tymi rekordami tworząc “prawdziwe” tożsamości widoczne we wszystkich systemach, a nie tylko kupować podróbki dowodów na allegro. Instytucji, która (w zależności od państwa) może swobodnie słuchać ruchu na węzłach u dostawców Internetu, telefonii komórkowej czy choćby przeglądać sobie CRMy największych korporacji. Instytucji z miliardowym budżetem i zielonym światłem na robienie niemal wszystkiego by osiągnąć rezultat oraz gwarancją, że nikt ich za to nie będzie karał. Instytucje w których pracują ludzie rekrutowani jako Ci najlepsi, przechodzący przez lata szkoleń i treningów, mogących skupić się na swojej pracy i nie martwić się o rachunki, bo w pakiecie dostają wszystko – od telefonu po mieszkanie i samochód – byle tylko mogli skupić się na swojej pracy i oddać swoje życie do dyspozycji na kilka lat z gwarancją wczesnej emerytury.

      Oczywiście czyste porównanie “służb do mafii” może być też bardzo krzywdzące, bo w założeniu wszystkie te instytucje są powoływane by pilnować porządku i dobra państwa (i obywateli). Rekrutowane są osoby, których kompas moralny powinien wskazywać właściwy kierunek i które tak olbrzymiej władzy nie będą nadużywać do własnych celów.

      > Mit o wszechmogących służbach które “włamią się wszędzie, prędzej czy później, jak nie tym sposobem to innym” jest fałszywy i szkodliwy. Obowiązują ich te sama prawa fizyki co każdego człowieka.

      Tak – te mityczne służby obowiązują te same prawa fizyki – tak samo jak te same prawa fizyki obowiązują “panią Zosię” prowadzącą sklepik osiedlowy oraz Douga McMillona (prezesa Walmart). Rozumiesz chyba, że mimo wszystko mają oni trochę inne możliwości? ;)

      Gdy mierzysz się z takim przeciwnikiem to z góry jesteś na przegranej pozycji, a Twoje dni są policzone, a o “normalnym życiu” możesz zapomnieć. Używany smartfon nie ma już wtedy znaczenia, a resztę życia musiałbyś przeżyć jak nielegał na niekończącej się akcji – bez wsparcia. Czy to możliwe? Wątpliwa sprawa.

      No i na zakończenie – tak samo jak Douga nie zainteresuje “pani Zosia” i jej promocja na pączki, tak i służby nie zwrócą uwagi na Ciebie – przeciętny czytelniku. To nie ta liga. Ale gdy zadrzesz z olbrzymem, to miej pewność, że to nie jest przeciwnik, którego można nie docenić. O powrocie do normalnego życia możesz zapomnieć. Pamiętaj, że te instytucje państwowe są powoływane do walki z korupcją, przekupstwem i oszustwami na najwyższym poziomie. Trzeba mieć jaja by babrać się w sprawach handlu bronią wyprowadzoną z rządowych magazynów, przemytem ludzi, narkotyków lub oszustwach podatkowych w których palce maczają politycy ze świecznika, a budżety liczone są w kwotach z 9 zerami.

    • > przed instytucją mającą dostęp do wszystkich rządowych
      > baz danych (od rekordów policyjnych, biur paszportowych,
      > służby zdrowia, podatków po akty urodzenia, mapy czy rachunki).

      Problem leży u podstaw. Rządy (ani firmy prywatne) w ogóle nie powinny:

      1) prowadzić ewidencji paszportowych – po wydaniu dokumentu dane powinny być kasowane z bazy albo redukowane do minimum pozwalającego na weryfikację obecnego oraz wystawienie następnego dokumentu,

      2) przechowywać w bazach policyjnych danych dotyczących ludzi, którzy zostali uniewinnieni albo nie wszczęto w ogóle postępowania,

      3) mieć w ogóle dostępu do danych medycznych.

    • @Paulina

      > Gdy wszelkiego rodzaju grupy zorganizowane, przemytnicy,
      > złodzieje, szpiedzy i inne gagatki nie grają czysto, to i rządy
      > państw muszą jakoś chronić siebie i obywateli. W tej grze
      > pewne zasady i reguły są naginane.

      Już starożytni Rzymianie zauważyli, że usprawiedliwianie cudzymi grzechami swoich nieprawości to ślepa uliczka, również wtedy gdy cel jest słuszny.

      > Instytucji, która (w zależności od państwa) może swobodnie słuchać
      > ruchu na węzłach u dostawców Internetu, telefonii komórkowej
      > czy choćby przeglądać sobie CRMy największych korporacji.

      Gdyby prawo było inne (lepsze), to możliwości tak przestępców, jak i służb, byłyby ograniczone.

      > Instytucji z miliardowym budżetem i zielonym światłem na robienie
      > niemal wszystkiego by osiągnąć rezultat oraz gwarancją, że nikt
      > ich za to nie będzie karał.

      Nijak nie umniejsza to ich winy.

      > oddać swoje życie do dyspozycji

      Zamiast eufemizmów lepiej napisać wprost: “dać się skur*ić”.

      > czyste porównanie “służb do mafii” może być też bardzo krzywdzące (…)
      > kompas moralny powinien wskazywać właściwy kierunek (…)
      > olbrzymiej władzy nie będą nadużywać do własnych celów (…)

      Pomieszanie z poplątaniem.

      Cel nie uświęca środków, niezależnie jak wzniosły jest ten cel. Plus zasada podwójnego skutku, rozróżnienie między prawem naturalnym a pozytywnym – i już człowiek ukształtowany w zasadach cywilizacji łacińskiej wie, jak się zachować.

      > te same prawa fizyki obowiązują “panią Zosię” prowadzącą sklepik
      > osiedlowy oraz Douga McMillona (prezesa Walmart). Rozumiesz
      > chyba, że mimo wszystko mają oni trochę inne możliwości? ;)

      Mają, ale akurat silna kryptografia, której pani Zosia może użyć na swoim – choćby i odłączonym od Internetu – komputerze, dokładnie w ten sam sposób jak służby czy prezes dużej korporacji, mocno wyrównuje ten bój.

      I właśnie prawa fizyki sprawiają, że służby nie są w stanie złamać takiego szyfrowania, nawet jeśli dysponują wiedzą, budżetem i ludźmi. Muszą obchodzić szyfrowanie, a to oznacza dużo więcej trudu i nie daje gwarancji powodzenia. Dlatego służby nie są wszechmocne.

      > Gdy mierzysz się z takim przeciwnikiem to z góry jesteś na
      > przegranej pozycji, a Twoje dni są policzone, a o “normalnym
      > życiu” możesz zapomnieć.

      Pod warunkiem że państwem rządzą służby i zasada silniejszego, zamiast słusznych praw przyrodzonych każdemu człowiekowi, które państwo powinno gwarantować i egzekwować.

      > No i na zakończenie – tak samo jak Douga nie zainteresuje
      > “pani Zosia” i jej promocja na pączki, tak i służby nie zwrócą
      > uwagi na Ciebie – przeciętny czytelniku.

      Informacja fałszywa i dlatego groźna, że bagatelizuje zagrożenie.

      I państwo (tworząc różne obowiązkowe ewidencje), i duże firmy (przy marketingu i sprzedaży), i służby (przez zmuszanie operatorów do współpracy oraz stosując własne techniki) stosują inwigilację *masową* – czyli zbieranie danych na każdego, na zapas, “na wszelki wypadek”. Również na szaraczków. Nawet kilkanaście lat później wystarczy groźba, że z takich danych się skorzysta.

      > Trzeba mieć jaja by babrać się w sprawach handlu bronią
      > wyprowadzoną z rządowych magazynów, przemytem ludzi,
      > narkotyków lub oszustwach podatkowych w których palce
      > maczają politycy ze świecznika, a budżety liczone są w
      > kwotach z 9 zerami.

      Owszem, tak długo jak państwo nie jest praworządne, tylko mafijne, to tak jest i będzie.
      Również w takiej sytuacji musimy nazwać zło złem i nie popadać w defetyzm.

  2. W webinarze “jak zabezpieczyć smartfona” sami mówicie że na dany czas ciężej dostać się do androida niż do ios i argumentujecie to że nawet wykrycie błędów jest lepiej opłacane. I teraz iphone 12 jest bezpieczniejszy np. Od Samsunga s20 ?

    • W webinarach wskazujemy, że w każdym systemie/urządzeniu prędzej czy później pojawi się błąd, ilustrując to przykładem firmy, która takie błędy skupuje i która w momencie tworzenia webinara więcej płaciła za błędy na Androida niż na iPhona, co może sugerować, że jest obecnie większe zapotrzebowanie na błędy na tę platformę. Powodem może być duża różnorodność sytemu Androidowego lub wprowadzone ostatnio zmiany, które “ubiły” poprzednie exploity jakimi firma dysponowała. Każdy nowy telefon (przypadek iPhone 12) ma przewagę nad innymi, bo firmy typu Cellebrite i różni badacze dopiero od kilku tygodni mogą zacząć pracę nad atakami. Prędzej czy później pewnie jakieś znajdą — oby luki je umożliwiające były takimi, które da się załatać aktualizacją. Na marginesie – biorąc pod uwagę, że większość exploitów na sprzęt Apple (nawet ten starszy) nie potrafi przetrwać restartu systemu, dobrym pomysłem dla osób o zwiększonej paranoi jest restartowanie swojego smartfona. Wtedy ktoś musi np. jeszcze raz, od nowa, “nakłaniać” ofiarę do klikania w linka.

  3. Egzakly. Po co godzinami się głowić co jak i kiedy, żeby dostać się do fona, jak pacjent ma kompa bez aktualizacji, albo drzwi zapomina zamykać na klucz, albo ma dziewczynę, która nie ma zabezpieczeń na swoim telefonie…
    Technik skolko.

    • Nie zapominaj o metodzie książki telefonicznej.

    • @Tomo

      Mówiąc samo “skolko” (сколько) mówisz samo “ile”. Zastanawiając się co chciałeś powiedzieć, myślę, że “skolko ugodno” (сколько угодно), czyli “tyle ile chcesz”. Tak?

  4. Funkcja rozmazywania twarzy – to nie lepiej wyłączyć kamerkę?

  5. Z Signalem mam jeden problem – nie mam z kim na nim rozmawiać. :-(

  6. > Z kodem CELLEBRITE-FAIL do końca tygodnia można je kupić w cenie niższej…

    Nice

  7. https://sneak.berlin/20201112/your-computer-isnt-yours/
    Może samo to nie wystarczy, a może jednak wystaczy, ale przynajmniej metadane już będą.

    • To podobnie nierzetelny artykuł, co publikacja Cellebrite. Tutaj “problem” jest lepiej wytłumaczony, bez teorii spiskowych w tle: https://blog.jacopo.io/en/post/apple-ocsp/

    • Teorie spiskowe dzielą się na prawdziwe i fałszywe. To nieuczciwe używać określenia “teoria spiskowa” jako synonimu słowa “oszołomstwo”.

      Nie wszystko, o czym ostrzegał i ostrzega Richard Stallman, stało się rzeczywistością.
      Ale dużo się stało. I jeszcze dużo przed nami, obawiam się.

  8. “the app also employs a proprietary open-source encryption protocol” Czy tylko ja widzę, że coś jest nie tak z tym zdaniem?

  9. Generalnie to służby mają coś takiego jak procedury kontroli operacyjnej w ustawach opisane, co czarną magią nie jest i jak to w polskim prawie bywa jest obejście dla procedury
    w tym samym akcie prawnym. Tak więc nie ma co się ekscytować który system, czy komunikator jest lepszy, pozostaje kwestia czasu potrzebnego na dobranie się do “orzeszka” :) jak chcą to znajdą coś na każdego pośrednio/bezpośrednio lub coś wymyślą i puszczą w eter itp. każdy ma jakieś słabości, a obecne czasy i bezmyślność ludzi tylko ułatwia SS działania.

    • > Tak więc nie ma co się ekscytować który system, czy komunikator
      > jest lepszy
      > pozostaje kwestia czasu potrzebnego na dobranie się do “orzeszka”

      Rozumiem Twój argument o czasie, jednak wydaje mi się, że ten czas może być bardzo długi, a nawet nieskończony, jeżeli zastosować kilka silnych zabezpieczeń. Czasem służby nawet nie mają od czego zacząć, gdy nie wiedzą kim jest i gdzie się znajduje figurant, który siedzi za pięcioma VPN-am i Torem.

      Trudno mi się zgodzić co do komunikatorów, bo korzystanie z takiego który nie zapewnia szyfrowania punkt-punkt (ang. end-to-end encryption) oznacza podanie operatorowi na tacy treści naszej korespondencji, co naturalnie *ogromnie* ułatwia pracę śledzącym służbom. Dlatego wybór komunikatora ma znaczenie, i to duże.

      Również wybór systemu obojętny nie jest. Utwardzony, na bieżąco łatany Linux to inna liga niż Windows 10 z pełną telemetrią danych o zachowaniu użytkownika.

      Co do ekscytacji: nie wiem, jak rozumiesz to pojęcie, ale moim zdaniem oburzać się na obecny stan (prawny i faktyczny) wręcz trzeba.

  10. Trwa jeszcze weekend! Chciałem kupić wasz webinar, ale zamiast obiecanych 40zl żąda 89 z kodem rabatowym.

  11. > (…) iPhona 12. Tego smartfona Cellebrite (jeszcze) nie potrafi złamać. Na starsze iPhony istnieją exploity, których “softwarowo” nie da ubić i które pozwalają je “zrootować”, a przez to pozyskać część informacji na temat właściciela, nawet jeśli iPhone jest zablokowany.

    Czy te exploity są znane publicznie? Gdzie mogę przeczytać więcej na ten temat? Interesuje mnie iPhone 11.

  12. Tak dla jasności 2 pytania.

    1 Czy dobrze zrozumiałem, jeżeli telefon jest kontrolowany przez Pegasus to i tak rozmowy przez Signal mogą być odczytane?

    2 Może ktoś wie. Jeżeli telefon od kilku miesięcy ma często freeze ekranu to może być konsekwencja działania programu monitorujacego? Jest taki symptom?

  13. I bardzo dobrze. Nagonka na signala trwa ale to wciąż jedna z bezpieczniejszych aplikacji

  14. Problem z signalem moim zdaniem jest tylko jeden, stale za mało osób z niego korzysta aby móc w pełni korzystać z jego możliwości. Mimo namowy to i tak ludzie pozostają tam gdzie mają powiązane konta czyli gręgoladzie powiązanej z Facebook. Ale to u moich znajomych czyli też laików do gadania o niczym ważnym.

Odpowiadasz na komentarz L

Kliknij tu, aby anulować

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: