Niebezpiecznik

W tym artykule przyglądamy się aplikacji, która twierdzi, że “sprawdza, czy smartfon jest zhackowany“. Czy takie sprawdzenie jest w ogóle możliwe i wiarygodne? Nie będziemy trzymać Cię w napięciu — odpowiemy od razu: Nie, nie jest. Żadna aplikacja naszym zdaniem nie jest w stanie rzetelnie odpowiedzieć Ci na pytanie, czy Twój telefon jest “zhackowany”. Sorry :(

Ale dlaczego to nie jest możliwe?

Wyobraź sobie, że siedzisz w pokoju przesłuchań. Takim z kamerą w rogu, która jest na Ciebie skierowana. Czy jesteś w stanie powiedzieć, że ktoś przez tę kamerę w danej chwili Cię podgląda? Nie. Możesz tylko zgadywać… Dokładnie tak samo jest z wszelkimi aplikacjami, które za cel stawiają sobie odpowiedź na pytanie, czy Twój smartfon jest zhackowany (lub zainfekowany złośliwym oprogramowaniem).

Te aplikacje nie mogą odpowiedzieć na to pytanie, bo — używając porównania do pokoju przesłuchań — one są razem z Tobą w monitorowanym pomieszczeniu i nie widzą tego, co dzieje się po drugiej stronie kamery. W naszym porównaniu kamera jest odpowiednikiem systemu operacyjnego Twojego smartfona, który stale monitoruje to, co robisz na urządzeniu. Aplikacje nie są w stanie wykryć podglądacza, bo po prostu nie mają odpowiednich dostępów do “drugiej strony” kamery…

Pokażmy to na przykładzie!

Do testów wybraliśmy jedną z aplikacji, którą od listopada regularnie nam podsyłacie z pytaniami “na ile to wiarygodne?“, “czy to naprawdę działa?” lub “patrzcie jaka ściema!“.

Choć pokazujemy tu przykład jednej aplikacji, to ten artykuł dotyczy również innych aplikacji sprawdzających czy “smartfon jest zhackowany” albo “zainfekowany”, czyli np. aplikacji antywirusowych. Bo wszystkie działają podobnie. I wszystkie nie są w stanie w pełni rzetelnie odpowiedzieć na pytanie czy Twój smartfon został faktycznie “zhackowany”. Mogą Ci za to powiedzieć, że “wszystko jest OK”, kiedy tak naprawdę ktoś wykorzystuje Twój smartfon do inwigilowania Twojej osoby. Niefajne, prawda?

Przyznajmy jednak lojalnie, że twórcy aplikacji, którą wybraliśmy jako przykładową, są na tyle poważni i przezorni, że sami nigdzie oficjalnie nie twierdzą, że ich aplikacja “sprawdza czy Twój telefon jest zhackowany”. Ale niestety, dokładnie w ten sposób “półoficjalnie” ich aplikacja jest przedstawiana w mediach. A takie, jak widoczne poniżej stwierdzenia to (jeśli wprost nie kłamstwo), to co najmniej poważne semantyczne nadużycie:

Aplikacja o którą nas pytaliście najczęściej to Verify i to na niej pokażemy “zasadę działania” tego typu rozwiązań. Kupiliśmy tę apkę i oto co pokazuje po starcie i sekundowym (lol?) “skanie” telefonu:

Aplikacja sprawdza czy smartfon ma pliki, które pojawiają się po znanych narzędziach do jailbreaku i zdaje się ograniczać do zweryfikowania:

• Czy masz włączone odblokowywanie urządzenia biometrią
• Czy masz włączoną blokadę urządzenia kodem
• Czy masz najnowszą wersję systemu operacyjnego
• Czy masz najnowszą wersję tej aplikacji

…a jeśli Twój smartfon spełnia te 4 warunki, to aplikacja stawia wniosek: “urządzenie bezpieczne“.

No nie, Chryste, nie!

Zabezpieczenie smartfona to temat zdecydowanie bardziej skomplikowany niż sprawdzenie obecności kilku plików i tylko tych 4 rzeczy! Co więcej, nie ma jednego, idealnego dla każdego, zestawu porad pt.: “co zrobić aby zabezpieczyć smartfona przed “hackerami“! Trzeba wyjść od ustalenia, m.in. przed kim konkretnie chcemy się zabezpieczyć. Trochę inaczej będziemy konfigurowali smartfona, do którego nie chcemy dopuścić wścibskiego partnera, a trochę inaczej, żeby ochronić go przed kradzieżą czy “rządowymi hackerami”.

Należy więc zadać pytanie: dlaczego aplikacja tego wszystkiego sama nie sprawdzi, nie wyświetli odpowiedniego do naszej konfiguracji ostrzeżenia, pokazując co włączyć, jeśli jest wyłączone i co wyłączyć jeśli jest włączone? I tu właśnie dochodzimy do sedna problemu wszelkich aplikacji, nie tylko tych “sprawdzających zhackowanie” telefonu, ale i innych, np. antywirusowych.

Aplikacje mają mniejsze uprawnienia niż system operacyjny na smartfonie i nie widzą wielu rzeczy i ustawień.

Innymi słowy, aplikacja po instalacji zobaczy tylko to, co system zechce jej pokazać, a system — ze względów bezpieczeństwa — nie daje aplikacji dostępu do wszystkiego. Mówiąc bardziej technicznie, każda aplikacja jest zamykana w tzw. sandboksie, czyli takim jakby “więzieniu”, które powoduje, że nie może ona zrobić wszystkiego, co jest niezbędne do wiarygodnego sprawdzenia, czy smartfon jest zhackowany. Dotyczy to zarówno iPhona (i systemu iOS) jak i smartfonów z Androidem na pokładzie.

Oddajmy głos Mateuszowi Bilińskiemu, Head of Mobile Security w Niebezpieczniku, który jest odpowiedzialny za testy penetracyjne aplikacji mobilnych i prowadzi szkolenia z bezpieczeństwa aplikacji mobilnych (Android/iOS):

Zwykłe aplikacje mobilne mają ograniczone możliwości analizy stanu systemu, ze względu na posiadane uprawnienia oraz odseparowanie ich od pozostałych procesów. Zakładając nawet podwyższone uprawnienia, i przez to zwiększone możliwości monitorowania systemu, należy pamiętać, że aplikacje mobilne uruchamiane są w środowisku, nad którym autorzy aplikacji nie mają pełnej kontroli. Z perspektywy aplikacji system może wyglądać na nienaruszony, lecz w rzeczywistości mieć wyłączone lub zredukowane niektóre elementy bezpieczeństwa. Natomiast, ze względów technicznych, aplikacje te nie mogą, z pełną wiarygodnością, stwierdzić, że telefon na pewno nie został zhackowany.

Gdyby aplikacje miały dostęp do wszystkiego, to każda z aplikacji mogłaby łatwo przejąć kontrolę nad telefonem, czyli mogłaby go “zhackować”. Co prawda aplikacje zamknięte w sandboksie też mogą telefon “zhackować”, ale wymaga to nie lada wysiłku — trzeba odnaleźć kilka dziur i połączyć je w atak — najlepiej taki, który do przeprowadzenia nie wymaga żadnej interakcji z użytkownikiem. Jeśli ktoś taki łańcuch exploitów (na sandboksa, a potem na system) opracuje, to może go sprzedać np. do firmy Zerodium — ostatnio płacili za to aż do 2 milionów dolarów!

Podsumowując: aby aplikacja mogła rzetelnie odpowiedzieć na pytanie, czy Wasz telefon jest zhackowany, sama musiałaby go najpierw zhackować :) Po to, żeby pozyskać uprawnienia, które pozwolą jej sprawdzić wszystko tak, jak należy. Ale wtedy mielibyśmy problem jajka i kury. Bo jeśli telefon jest już zhackowany, to ktoś, kto go kontroluje, może kolejne próby hackowania wykrywać i udaremniać. To po pierwsze, a po drugie — żadna aplikacja z oficjalnego sklepu nie będzie nawet próbowała hackować (lub inaczej “jailbreakować”) Waszego smartfona, bo Apple od razu taką aplikację zabanuje, a stosowane przez nią dziury załata. I koniec zabawy.

Na szczęście nie każdy się nabiera!

Jak wspomnieliśmy, twórcy omawianej przez nas aplikacji są świadomi ograniczeń swojej aplikacji i sprytnie przedstawiają ją jedynie jako “aplikację będącą zestawem porad“. Naszym zdaniem powinni mocniej akcentować problem “fałszywego poczucia bezpieczeństwa“, aby być fair. Niestety, wiele osób myśli o tej aplikacji jak o jakimś cudownym, magicznym rozwiązaniu — szklanej kuli, która odpowie, czy jestem zhackowany. A to tak nie działa. Jak pokazują “jedynki” w ocenach aplikacji na AppStore, wielu użytkowników orientuje się, że coś tu nie gra dopiero po zakupie:

Czy warto tę aplikację kupić?

Jeśli Twoim celem jest sprawdzenie, czy telefon jest zhackowany albo zainfekowany “Pegasusem”, to zdecydowanie nie. Tego typu aplikacje nie dadzą Ci wiarygodnej odpowiedzi. Lepiej oszczędź i po prostu sam sprawdź 4 rzeczy, które widzisz na ilustracji naszego smartfona kilka akapitów wyżej. Efekt będzie taki sam.

Ale, jeśli chcesz zobaczyć instrukcje po angielsku, jak wyłączyć BlueTooth na swoim smartfonie, “bo hakerzy” albo jeśli chcesz sobie z jakiegoś powodu zmniejszyć wygodę użytkowania telefonu po zastosowaniu się do porady “wyłącz Handoff” (ale aplikacja nie wspomina, dlaczego niby ta funkcja miałaby być groźna) to możesz rozważyć zakup i oddanie przy okazji autorom aplikacji informacji na temat swojego urządzenia (tak, tak, ta aplikacja ZBIERA trochę danych na Twój temat po instalacji). Aplikacja ma też kilka użytecznych rady jak zabezpieczyć konta online przed atakami i dodatek DoH, tunelujący zapytania DNS, ale dla nich naszym zdaniem też nie warto jej kupować, bo to samo zapewni darmowa aplikacja od Cloudflare i ten darmowy poradnik.

Chce zabezpieczyć swojego smartfona — co robić, jak żyć?

A masz godzinę? Bo mniej więcej tyle zajmie Ci rzetelne sprawdzenie wszystkiego, co trzeba sprawdzić, żeby zabezpieczyć Twojego smartfona oraz doinstalować dodatkowe, darmowe aplikacje (ale takie rzeczywiście przydatne), które zwiększą bezpieczeństwo danych i podniosą poziom Twojej prywatności.

Jak masz godzinę, to zobacz nagranie naszego szkolenia Jak zabezpieczyć smartfona? (w wersji na iPhona lub Androida). Jak z każdego poradnika dowiesz się co w systemie włączyć, a co wyłączyć, ale u nas dodatkowo, do każdej rekomendacji dostaniesz obszerne wyjaśnienie, dlaczego warto to zrobić, a kiedy lepiej tego nie robić, bo konsekwencje mogą być nie do zaakceptowania. Wszystko prostym, zrozumiałym dla każdego językiem, więc można podesłać rodzicom ;) Dodatkowo otrzymasz PDF z listą najważniejszych zmian do wprowadzenia. Tylko do końca dnia, możesz zobaczyć nasz kompleksowy video poradnik w cenie aż o 99 PLN jeśli wpiszesz kod PIASKOWNICA w tym formularzu.

Nie mam godziny, da się szybciej?

Dla wszystkich, którzy pomimo powyższych tłumaczeń potrzebują błyskawicznej (ale rzetelnej!) porady, czy ich telefon jest zhackowany, przygotowaliśmy specjalną magiczną tapetę*:

Jej instalacja na telefonie jest szybsza niż zobaczenie naszego video-poradnika i działa ona tak samo jak “aplikacje do sprawdzania czy telefon jest zhackowany” — czyli nie działa :) Ale, hej! Przynajmniej zachowuje rzetelność.

Wgraj ją sobie na swojego iPhona, albo nawet Androida! Wynik, który ta tapeta przedstawia i zdanie, które wyświetla — gwarantujemy — będą zawsze prawdziwe.

____
*Tapeta nie jest magiczna. To oczywiście chwyt marketingowy. Nie wierz w magię.