Еще о китайских чипах в серверах

Меня самого эта тема уже немного утомила писать о ней каждый день, но это, наверно, по масштабам потенциально одна из основных новостей области информационной безопасности в этом году, поэтому появление новой информации по ней очень интересно.

Bloomberg пока что хранит гордое молчание по поводу обновлений истории, но зато за выходные высказалось Министерство национальной безопасности США. В их заявлении говорится, что они в курсе того, что это обсуждается в новостях, и у них нет поводов сомневаться в заявлениях компаний, фигурирующих в статье”. Не уверен, что участие в этой истории заявления МНБ вселяет в меня уверенность в правдивости заявлений компании, но формулировки заявления тоже достаточно однозначны. Напомню, что есть подобное заявление и от британского разведывательного агентства.

Buzzfeed пишет о том, что журналисты поговорили со своими источниками внутри Apple, и никто не может подтвердить историю Bloomberg. Вообще ничего близкого по теме, говорят источники.
Continue reading

Еще про китайский чип в серверах

Вчерашняя история с якобы китайским чипом, установленным в серверах Apple и Amazon за сутки, к сожалению, понятней не стала. С одной стороны есть издание Bloomberg, методы журналистских расследований которого известны и считаются одними из лучших в мире. Расследование этой темы заняло не один месяц, и прошло перед публикацией соответствующие проверки.

С другой стороны, есть вполне жесткие и однозначные ответы Apple и Amazon, которые во вполне конкретных формулировках опровергают утверждения из статьи Bloomberg про осведомленность компаний о расследовании и ситуации с чипами в целом. (Ниже в статье есть перевод на русский язык заявления Apple). Им вторит (втроит?) и заявление компании Supermicro, акции которой вчера провалились на 50% на новостях об устанавливаемых во время сборки на китайских фабриках секретных чипов. Надо понимать, что подобные статьи — это не просто PR-активность. Для публичных компаний подобные заявления — это официальные документы, которые проходят проверку у юристов и в случае сообщения ложных сведений руководство компании несет полную ответственность, включая уголовную, за ложные данные (подобные заявления регулируются Комиссией по ценным бумагам). Так что если ориентироваться на ситуацию “статья vs заявления”, тут уже каждый должен выбрать, кому верить.
Continue reading

История про китайский чип в серверах

Новость дня, безусловно, это статья на Bloomberg о микрочипе на платах для серверов компании Supermicro. Якобы во время сборки материнских плат для серверов компании Supermicro на платы устанавливался микроскопический чип, разработанный военным ведомством Китая. Эти материнские платы затем использовались в серверах, которые собирала компания Supermicro в США. А сервера, в свою очередь, использовались в дата-центрах других американских компаний, включая Amazon, Apple, Microsoft и еще несколько десятков компаний. Чип, исходя из материалов статьи, обеспечивал удаленный доступ к серверам, модифицируя код операционной системы (интересно, как это позволяло ему оставаться незамеченным?). Статья в Bloomberg изобилует массой деталей, как и информацией о многолетнем расследовании всей этой истории.

В статье говорится также о том, что якобы Apple заподозрила что-то еще в 2015 году, когда планировала большую закупку серверов для своих дата-центров (я даже припоминаю такие новости 3 года назад). Была вот еще такая история из 2017 года про проблемы в прошивках серверов. Но также нужно отметить, что и Amazon, и Apple заявили, что они не обладают информацией ни о подобных уязвимостях в серверах Supermicro, ни о расследовании этой истории, и сами неоднократно проводили аудиты серверов Supermicro, и никаких лишних чипов не обнаруживали. Правда, Apple также говорит, что однажды обнаружили зараженный драйвер в сервере, но никаких чипов не было. Вообще заявление Apple довольно жесткое и прямолинейное, утверждающее, что Bloomberg было бы неплохо усомниться в осведомленности или искренности их источников.

АПД А вот еще не менее жесткий ответ от Amazon:

There are so many inaccuracies in ‎this article as it relates to Amazon that they’re hard to count.

Правда, осадочек остается — дыма-то без огня не бывает, но непонятно, какой дым за какой огонь принимают журналисты Bloomberg.

Первые впечатления от Apple Watch Series 4

Перед ежегодным сентябрьским анонсом Apple я написал, что гораздо больше жду анонса новых Apple Watch. Должен отметить сразу, что во время презентации Apple не разочаровала анонсом новой модели часов. Более того, мне кажется, что новые часы Series 4 даже как-то оттенили анонс новых моделей iPhone. В общем, неудивительно, что я дождался 3 часов ночи в день начала предзаказов, и тут же заказал себе новую модель часов высотой 44 мм.

На Series 4 я перехожу с Series 2 высотой 42 мм. Series 3 в моем случае как-то не обладала достаточным количеством привлекательных причин для перехода на нее с Series 2. Правда, мне все равно удалось поиграться с Series 3 часов жены, и я отметил, что они ощутимо быстрее моих S2. В принципе, я и S2 не могу назвать медленными, для большинства моих задач мне их скорости хватало, но нужно было проявлять терпение, а с этим у меня в последнее время напряжённо. В любом случае, даже по презентации было очевидно, что такой переход с S2 на S4 будет основательным апгрейдом. Как и все предыдущие разы, я выбрал алюминиевый корпус; в основном потому, что мне жалко денег на стальной корпус, и я оправдываю это для себя тем, что алюминиевые часы тоже выглядят достаточно хорошо.
Continue reading

ФБР и разблокировка iPhone X

Сегодня в новостях фигурирует история, опубликованная в Forbes о том, что ФБР принудило подозреваемого в получении и обладании детской порнографией разблокировать его iPhone X путём использования функции Face ID. У агентов ФБР был соответствующий ордер суда на обыск помещения и обнаруженной электроники на предмет наличия незаконных материалов. Во время обыска агент ФБР сказал подозреваемому посмотреть в экран iPhone Х, после чего экран был разблокирован.

С точки зрения американского законодательства ситуация выглядит легитимно, так как ордер суда включал в себя информацию о смартфоне. Кроме того, как я уже как-то писал в канале, американское законодательство по-разному рассматривает информацию о биометрических данных и информации, находящейся в сознании человека. В первом случае отпечаток пальца или лицо не защищаются пятой поправкой к конституции США о возможности не свидетельствовать против себя, так как физические характеристики не являются «свидетельствованием». В отличие от пароля, который находится в сознании человека и он может не говорить его (даже если его принуждают к этому), так как это может быть расценено как свидетельствование против самого себя. Очень мутная тема, которая в очередной раз показывает, как законодательство может отставать от современных технологий.

Apple и Google со своей стороны пытаются, насколько это возможно, защитить пользователя от подобных ситуаций. iOS-устройства требуют пароль, если устройство не было разблокировано в течение последних 48 часов. Также есть опция мгновенной блокировки функции биометрии – на iPhone можно зажать кнопки для вызова экрана выключения смартфона, или вызвать режим Emergency SOS, после чего устройство потребует ввести пароль для его разблокировки. Можно, в конце концов, отключить функции биометрии полностью, хотя тогда теряется уровень удобства, который они предоставляют.

Интересно, что из статьи в Forbes следует, что агент ФБР прощёлкал и устройство в какой-то момент все-таки заблокировалось, после чего они больше не применяли разблокировку с помощью Face ID. Теперь, чтобы добыть данные из телефона, они собираются применить некое «технологическое устройство, которое может получить данные из заблокированного iPhone без знания пароля». Как известно, этим обычно занимаются компании Cellebrite и Grayshift. Для защиты от этого метода получения данных с телефонов у Apple есть другая функция – USB restrictions mode, которая отключает передачу данных по разъему Lightning через 1 час после последней разблокировки смартфона (плюс другие условия). Короче, it never ends, this shit.

Подросток с 1ТБ данных Apple

Еще в августе я писал про австралийского подростка, который накопал каких-то бэкдоров в системы Apple, и накачал оттуда гигабайты данных (тогда фигурировало число в 90ГБ). В процессе расследования у него в итоге обнаружилось более 1 терабайта(!) деликатной информации Apple, которую он накачал за время своих похождений. Его взломы проходили в период с июня 2015г до ноября 2016 года, а также в апреле 2017 года. Apple утверждает, что утечки пользовательских данных не было. Теперь он получил 8 месяцев испытательного срока за свои преступления.

https://www.bloomberg.com/news/articles/2018-09-27/teen-apple-hacker-sentenced-to-8-months-probation-in-australia

PS Совет: если занимаетесь взломами, не храните на столе папку “Hacky Hack Hack Methods Exclude” с описанием методов взломов (как делал это герой этой истории).

Обход защиты данных в macOS Mojave

Ну и какой релиз новой macOS без 0-day по обходу ограничений на доступ к пользовательским данным?

На видео показано, как операционная система вначале отказывает в доступе к данным, но затем копирует полностью адресную книгу после запуска скрипта. Технических деталей уязвимости автор не раскрывает. Жалуется, что у Apple нет программы выплаты на обнаружение уязвимостей в macOS (для iOS такая программа есть).

Улучшения USB accessories mode в iOS 12

Я достаточно много писал в канале про USB Accessories Mode в iOS, который снижает риски по копированию данных с iPhone с использованием устройств от компаний Cellebrite и Grayshift. Там, напомню, начиная с iOS 11.4, разъем Lightning блокируется на передачу данных через час после последней разблокировки смартфона, что предотвращает доступ к информации на телефоне для “коробочек” Cellebrite и GrayKey.

А вот ребята из Элкомсофт обнаружили еще одно улучшение алгоритма блокировки порта Lightning в финальной версии iOS 12:

“In addition, on iOS 12 if it’s been more than three days since a USB connection has been established, the device will disallow new USB connections immediately after it locks. This is to increase protection for users that don’t often make use of such connections. USB connections are also disabled whenever the device is in a state where it requires a passcode to re-enable biometric authentication.”

Если пользователь три дня не подключал телефон к USB (используя, например, беспроводную зарядку для аккумулятора), то подключение к USB-устройствам с передачей данных будет заблокировано сразу после того, как экран устройства будет заблокирован. Apple все окапывается по защите доступа к телефону. Интересно будет узнать, поменялось ли что-то в новых iPhone Xs и Xs Max в плане получения доступа к файловой системе, как делают это Cellebrite/Grayshift.

Безопасность iOS 12

Пока все заняты тем, что накатывают на свои iPhone свежевышедшую iOS 12 и изучают новую функциональность (а также обнаруживают новые баги, которые наверняка проникли в релиз — никогда такого не было и вот опять!), я хочу обратить внимание на то, что в iOS 12 есть также много улучшений и с точки зрения безопасности.

Вот, например, список исправлений, касающихся безопасности операционной системы (тех, о которых сообщили различные эксперты по безопасности, и обнаружили сами разработчики в Apple). Уже один этот список — хороший повод установить последнее обновление iOS, так как теперь информация об уязвимостях, присутствовавших в операционной системе до выхода обновления, становится публичной. Вполне могут появиться вредоносные инструменты, эксплуатирующие эти уязвимости против устройств, на которых не будет установлена последняя версия iOS (не считая, конечно, страшных веб-страничек, валящих iPhone даже на iOS 12).
Continue reading

Уязвимость прошивки современных компьютеров

Тут F-Secure пишет какие-то ужасы про обнаруженную уязвимость в firmware практически всех современных компьютеров (Mac и Win). Конечно, для реализации этой уязвимости нужен физический доступ к компьютеру, но тем не менее. Идея в том, что современные компьютеры обычно перезаписывают свою оперативную память при выключении, чтобы данные из нее нельзя было прочитать. Однако, эксперты F-Secure обнаружили способ блокировки этого процесса перезаписи, что в итоге позволяет не только прочесть содержимое в памяти, но и получить доступ к диску.


(я знаю, что это идиотская фотография, поэтому и использую её для иллюстрации)
Continue reading