Oggi i deputati della Duma di Stato hanno approvato un emendamento che obbliga gli operatori di telefonia mobile a conservare per tre anni le informazioni sugli abbonati, le loro chiamate, i messaggi trasmessi e le immagini. Dato il recente scandalo relativo all'hacking degli account Telegram di diversi attivisti, la questione su come mantenere la riservatezza delle proprie comunicazioni diventa sempre più rilevante. Cosa può minacciare la tua corrispondenza e-mail e come puoi proteggerti da esso The Insider. Questa volta The Insider cercherà di capire come proteggere il proprio smartphone da hacking, sorveglianza o intercettazioni telefoniche.

I possessori di smartphone devono tutelare contemporaneamente più aspetti della propria privacy: attraverso il telefono puoi tracciare i tuoi movimenti, puoi ascoltare le tue conversazioni, puoi leggere la tua corrispondenza e ricevere i dati memorizzati sul tuo dispositivo.

Libertà di movimento

"Le chiamate provenienti da telefoni di qualsiasi livello di sofisticazione passano comunque attraverso l'operatore cellulare e nulla tecnicamente gli impedisce di registrarle e tracciare la tua posizione", spiega Semyon Yulaev, un programmatore del Libertarian Technology Group, un collettivo che aiuta gli attivisti civili a installare sistemi sicuri software. , — gli smartphone di solito hanno un sacco di programmi aggiuntivi installati che possono far trapelare Dio sa cosa e Dio sa dove tramite Internet. Il proprietario di uno smartphone di solito lascia molte più tracce sui social network, fa il check-in ovunque, pubblica foto su Instagram, ecc. Queste tracce possono essere utilizzate: ad esempio, hanno trovato prove della presenza di soldati russi nel Donbass”.

Se il tuo telefono viene monitorato, non solo il tuo dispositivo, ma anche i telefoni che spesso si trovano accanto ad esso entrano nel campo visivo delle forze dell'ordine. Di conseguenza, uno schema in cui due portatili - "pubblico" e "segreto" - sono spesso accesi contemporaneamente non è adatto. Chi vuole portare con sé due telefoni dovrebbe combinare attentamente le modalità di accensione uno per uno, per non farsi scoprire.

Inoltre non ha molto senso cambiare carta SIM o, al contrario, portatile: se inserisci la tua carta SIM in un altro portatile almeno una volta, nel sistema anche questo portatile verrà associato a te e viceversa, se tu inserisci un'altra carta SIM, quindi il sistema assocerà questa carta SIM a te.

Spiare il tuo cellulare significa che, ad esempio, se vieni a una riunione, chi ti guarda saprà tutti i dispositivi mobili che hanno nelle tasche dei tuoi interlocutori. Le applicazioni che ti permettono di distorcere la tua posizione sono inutili ai fini cospirazionisti: ingannano il tuo smartphone, ma non il tuo operatore di telefonia mobile.

Rimuovere la batteria è un modo comprovato per evitare di essere rintracciati. Sono in vendita anche custodie per cellulari e indumenti con tasche che bloccano il segnale cellulare. In questo caso non è necessario rimuovere la batteria dal telefono cellulare. Ma prima dell'uso vale la pena verificare se il dispositivo nella custodia si trova effettivamente al di fuori dell'area di copertura della rete.

Libertà di telefonate

Esistono attrezzature per intercettare a distanza le conversazioni (oltre ai servizi di intelligence, tali attrezzature potrebbero essere in mano a privati); teoricamente, un telefono cellulare può essere utilizzato come registratore vocale nascosto controllato a distanza. Inoltre, per ascoltare la tua conversazione, non è necessario ascoltarti in tempo reale, è sufficiente registrare semplicemente tutte le conversazioni.

E ancora di più, la tua conversazione può essere registrata quando effettui una telefonata. Contrariamente alla credenza popolare, i clic o gli echi nel ricevitore possono significare eventuali problemi con la comunicazione cellulare ed è improbabile che significhino intercettazioni telefoniche. Se il tuo cellulare si scarica rapidamente e diventa molto caldo, questo è un segno leggermente più probabile, ma anche ambiguo, che sei stato monitorato (ci sono un milione di spiegazioni molto più probabili per questo).

L’autenticazione a due fattori funziona davvero nella pratica. Ad esempio, il 3 maggio gli hacker hanno tentato di impossessarsi dell'e-mail di lavoro e di Twitter della dipendente di Open Russia Polina Nemirovskaya. "Hanno rubato le mie password, ma ho effettuato la verifica a due fattori e le password non li hanno aiutati molto. Appena ho ricevuto un SMS con un codice per accedere alla mia posta, mi sono accorto che qualcosa non andava, ho disattivato la posta per un po' e reimpostato la password. Con Twitter è quasi la stessa cosa. Esiste una funzione di accesso senza password, utilizzando un codice SMS, e ho ricevuto questi codici 14 volte al giorno finché non ho disattivato la funzione di accesso tramite un codice. Penso che questi siano una specie di hacker dilettanti, l’FSB copierebbe la carta SIM e disattiverebbe i miei SMS, come quelli di Alburov”, ha detto Nemirovskaya a The Insider. Il sistema “a due fattori” potrebbe aiutare anche Alburov e Kozlovsky; quindi, se il loro Telegram fosse stato violato, non solo dovrebbero disattivare gli SMS, ma anche selezionare in qualche modo una password aggiuntiva predeterminata dal proprietario dell'account.

Libertà di archiviare informazioni

Puoi anche accedere a uno smartphone trovando una vulnerabilità nel sistema operativo e infettandolo con un virus, ma questo compito è estremamente difficile. Anche i servizi segreti non hanno accesso diretto e immediato al “software”, anche se stanno tentando di ottenerlo (Apple sta ancora facendo causa alle autorità su questo tema). Pertanto, il modo più semplice per ottenere le informazioni memorizzate sul telefono è prenderne fisicamente possesso.

Secondo Dmitry Dinze, avvocato di Oleg Sentsov e Pyotr Pavlensky, se per te è una priorità mantenere la riservatezza delle informazioni sul tuo smartphone, è una buona idea acquistare un dispositivo e un software in grado di bloccare/distruggere le informazioni in caso di diversi immissioni di password errate. Dinze dice che in uno dei casi da lui trattati, il suo cliente aveva uno smartphone del genere e l'investigatore è rimasto estremamente deluso dopo aver tentato di aprirlo.

Gli smartphone gestiscono servizi che hanno dato prova di sé sui “grandi computer”: TOR, Riseup secure mail. “Lo smartphone deve avere l'ultima versione del sistema operativo e delle applicazioni installate, tutte le applicazioni devono essere installate esclusivamente da fonti attendibili. I messenger open source che utilizzano la crittografia end-to-end e, se possibile, l’autenticazione a due fattori sono abbastanza sicuri se utilizzati correttamente”, afferma Mikhail Abramov, uno specialista del dipartimento di analisi della sicurezza di Informzashita.

Se una persona interessa seriamente ai servizi segreti, non puoi essere completamente sicuro che non sia stato scritto un programma dannoso appositamente per il tuo smartphone, che non può tradirsi e invia varie informazioni dal tuo dispositivo. Ma nelle realtà russe, a quanto pare, questo è raro.

“È molto più facile per i servizi di sicurezza ascoltare il tuo appartamento rispetto a Skype o Viber. Un tipico esempio è il caso di Nikita Tikhonov e Evgenia Khasis. Non vi è alcuna intercettazione del traffico al suo interno, nonostante il fatto che l'appartamento in cui sono stati detenuti sia stato addirittura registrato in video. Le attività operative venivano svolte dai dipendenti dell'apparato centrale dell'FSB, e il direttore del dipartimento riferiva del caso all'allora presidente Dmitry Medvedev", dice Maxim Solopov, giornalista di cronaca nera di Mediazona.

Nel caso del compagno d’armi di Nikita Tikhonov nell’Organizzazione di combattimento dei nazionalisti russi, Ilya Goryachev, c’è molta della sua corrispondenza da Skype, ICQ e posta. Ma nessuno ha rotto il computer o i conti di Goryachev. Come ha detto a The Insider l'avvocato di Goryachev, Mark Feygin, Goryachev stesso ha fornito le password del suo computer al controspionaggio serbo: inizialmente è stato detenuto in questo paese e poi estradato in Russia. Feygin è fiducioso che nella maggior parte dei casi in Russia, le forze dell'ordine ottengono l'accesso agli account sequestrando dispositivi non protetti da password e accedendo a vari servizi e social network.

Nel caso Kirovles contro Alexei Navalny sono stati utilizzati frammenti della sua corrispondenza aperta, ma sono stati aggiunti al caso già durante lo scandalo relativo all'hacking dell'e-mail dell'opposizione. E lo stesso “Hacker Hell” difficilmente poteva essere associato al TFR. Oksana Mikhalkina afferma che quando ha difeso il banchiere Alexander Gitelson, non solo la sua posta è stata aperta, ma anche le sue lettere sono state utilizzate dalle indagini come giustificazione per la necessità di tenere Gitelson in un centro di custodia cautelare (anche se de jure la corte ha alcun diritto di prendere in considerazione le prove ottenute in questo modo).

A volte i social network vanno molto lontano nella collaborazione con le autorità. La settimana scorsa, il tribunale distrettuale Nagatinsky di Mosca ha iniziato a esaminare un procedimento penale contro il nazionalista Dmitry Demushkin per post sui social network. Demushkin ha detto a The Insider che il suo caso è stato gestito dal comitato investigativo di Mosca e che il supporto operativo è stato fornito dall'FSB. Hanno inviato una richiesta al provider Internet di Demushkin e all'amministrazione VKontakte e all'indagine è stato concesso l'accesso al suo account VKontakte e alla sua corrispondenza e-mail. Gli agenti hanno preso appuntamenti con i soci di Demushkin utilizzando il suo account VKontakte per suo conto.

The Insider ha inoltre chiesto al gruppo Anonymous International di rispondere ad un paio di domande relative alla sicurezza informatica.

— Si può dire che alcuni modelli di smartphone siano più vulnerabili all’apertura, altri meno?

— Sì, molto dipende dal modello e dal software di questo modello. Di norma, i più vulnerabili sono i software vecchi, non aggiornati o quelli nuovi, ancora “grezzi”.

— Durante le autopsie attacca più spesso gli smartphone oppure le basta un indirizzo email, un account, ecc.?

— Con l'accesso fisico a un dispositivo, è molto più conveniente rimuovere le informazioni da esso rispetto all'accesso remoto. Ma ottenere l’accesso fisico è più un lavoro operativo che tecnico.

— Come valuti: quali messenger sono più vulnerabili agli attacchi hacker e quali lo sono meno?

- Tutti sono vulnerabili. Poiché, in ogni caso, una persona utilizza il messenger e nessuno ha annullato il fattore umano. Dal punto di vista tecnico i meno vulnerabili secondo noi sono Threema e Telegram

— Le tue operazioni hanno sempre successo? Hai mai provato ad aprire la posta di qualcuno e questa si è rivelata troppo ben protetta?

- Questo è un normale momento lavorativo. Ciò accade più spesso di quando ha “successo”. Non guardare film su "hacker brillanti". Va bene se il venti per cento ha “successo”.

— In generale, quanto costa e quanto dura l’operazione “media” per aprire la posta, l’account o lo smartphone di qualcun altro? Chi in Russia dovrebbe aver paura di questo tipo di attacco?

- Da un'ora a sei mesi. I costi sono un concetto flessibile. Ma se il tuo budget lo consente, puoi provare vari metodi, comprese intere misure per ottenere l'accesso fisico al dispositivo. A tutti coloro che hanno qualcosa da nascondere. Sebbene, ovviamente, non sia sufficiente possedere informazioni privilegiate, è necessario essere in grado di lavorarci. Esiste un’espressione comune: “Chi possiede l’informazione possiede il mondo”. Lo parafraseremo: “Il mondo è di proprietà di colui che può lavorare con le informazioni ricevute”.

Gli hacker prestano particolare attenzione agli utenti di dispositivi basati su Android. Il motivo: secondo la società di statistica Kantar la quota di mercato di Android è quasi dell'80%, mentre iOS guadagna solo il 20%. Inoltre, i modelli obsoleti di dispositivi Android non sono protetti dai moderni metodi di attacco.

Android: cacciare le spie dai dispositivi Android

Nel sistema di Google, lo spyware può essere eseguito all'interno di un'applicazione o mascherarsi da servizio di sistema. Se un virus del genere è scritto bene, anche i professionisti potrebbero avere difficoltà a riconoscerlo. Ciò vale anche per i codici intelligenti che il governo o i servizi segreti inviano di proposito. Le spie ordinarie sono abbastanza facili da identificare.

L'allarme dovrebbe essere lanciato quando si verifica un comportamento strano. Può trattarsi di pubblicità che appare costantemente quando ti connetti a Internet e ti reindirizza a una pagina completamente diversa nel browser o che invia messaggi di testo che non puoi controllare.

Controllo dello spyware
Lo scanner di Malwarebytes è specializzato in spyware. Controlla il sistema per le applicazioni di sniffing conosciute

Un altro segno sono le icone delle applicazioni che non possono essere organizzate. Se hai dei sospetti, rimuovi immediatamente tali programmi. Ricordi, hai recentemente ricevuto una richiesta per scaricare qualche APK? Malware e spyware spesso avviano il proprio download tramite un collegamento in un SMS o in un messenger sullo smartphone. La fattura di comunicazione può anche essere un punto di partenza per il calcolo delle spie. Confronta i megabyte di traffico in esso indicati con i dati corrispondenti sul tuo smartphone. Troverai tali statistiche nella sezione “Impostazioni | Trasferimento dati".

Una variazione significativa negli indicatori significa che il dispositivo contiene applicazioni che trasferiscono dati in background.

Ciò è dovuto al fatto che un telefono violato invia conversazioni e registrazioni microfoniche all'hacker sotto forma di file audio tramite Internet mobile.

Tale malware, penetrando nel sistema, è in grado di nascondere il consumo di traffico allo strumento di raccolta delle statistiche del sistema. In questo modo vengono raccolti dai 50 ai 500 MB. Se rilevi alcuni dei suddetti sintomi di infezione, ti consigliamo di seguire il seguente piano: prima di tutto, installa un antivirus.

Nonostante il fatto che la maggior parte dei programmi costi, proteggeranno in modo affidabile il tuo dispositivo da quasi tutte le infezioni in futuro. Per un aiuto rapido e gratuito, puoi utilizzare l'app Anti-Malware di Malwarebytes.

Controllo delle connessioni
L'app Connessioni di rete ti consente di controllare tutti i trasferimenti di dati

Il programma di scansione non ha rilevato nulla di strano, ma hai ancora la sensazione che il tuo telefono sia infetto? Prendi in mano la situazione.

L'applicazione più affidabile che ti aiuterà è Connessioni di rete dal Play Market. Registrerà tutto il traffico di rete in modo da poter vedere a quali diverse applicazioni e servizi si connettono.

Utilizzando questo metodo, ovviamente vedrai che lo spyware è in funzione sul tuo dispositivo, ma è quasi impossibile rimuoverlo. Soprattutto se è nascosto nel profondo del sistema.

In questo caso, solo il ritorno alle impostazioni di fabbrica ti salverà.

Android: solo ripristinare le impostazioni ti salverà dai dubbi

Backup ideale
Con MyPhoneExplorer puoi creare facilmente copie dei tuoi dati prive di virus

Prima di passare a questo passaggio, assicurati di eseguire il backup dei dati dello smartphone. Ma non farlo tramite la funzione standard: alcune applicazioni dannose possono lanciare un virus anche in un archivio di questo tipo.

In questo caso, dopo il ripristino, il sistema verrà nuovamente infettato. Se esegui il backup tramite un account Google, assicurati innanzitutto che il tuo account non sia stato violato.

Ora esegui l'archiviazione utilizzando l'utilità MyPhoneExplorer (disponibile su Google Play). Successivamente, puoi ripristinare il dispositivo alle impostazioni di fabbrica. Dopo il riavvio, utilizzare il backup effettuato dall'utilità MyPhoneExplorer per ripristinare le informazioni.

Android: migliaia di vulnerabilità

La maggior parte degli attacchi mobili prendono di mira il sistema di Google a causa della sua enorme popolarità. Spesso puoi scoprire se il sistema è infetto solo con l'aiuto di utilità speciali. La maggior parte degli antivirus non carica il sistema, ma il migliore non costa un centesimo, ma fornisce un aiuto garantito. I risultati dei test di alcuni dei principali antivirus mobili possono essere trovati nella tabella seguente:

		Prezzo, strofinare, ca.	Valutazione complessiva	Prezzo/efficienza	Avendo riconosciuto	Falso ansia	Bystrod.
1	Sophos Mobile Security per Android	senza fili	98,9	100	100	96,2	100
2	Bitdefender Mobile Security e antivirus	500	96,7	72	100	89,2	100
3	Tencent WeSecure Antivirus gratuito	senza fili	95,5	93	92,9	99,1	100
4	Kaspersky Internet Security per Android	400	90,0	61	83,5	99,5	100

iOS: ancora una volta nessuna protezione assoluta

Anche se il sistema Apple è molto più protetto dai malware, anche gli utenti iOS possono cadere nella trappola degli hacker spia. I virus entrano nel sistema attraverso le vulnerabilità, che vengono utilizzate anche per installare i jailbreak.

G Data Security Suite verifica se sul tuo smartphone è stato effettuato il jailbreak

Il primo passo è verificare se sul tuo dispositivo è stata eseguita un'operazione simile. A tale scopo installare l'applicazione G Data Internet Security dall'App Store. Una volta avviato, controllerà se il malware ha modificato alcune sezioni del sistema.

Se il risultato è positivo, dovresti, proprio come con Android, ripristinare le impostazioni di fabbrica, in questo caso direttamente tramite il programma iTunes sul desktop.

Per il backup, invece, utilizza il servizio iCloud. Il suo vantaggio è che Apple memorizza solo le informazioni personali in questo cloud. Durante il ripristino, il dispositivo scaricherà immediatamente le applicazioni originali dall'App Store. In questo modo non ci saranno più programmi “hackerati” sul tuo telefono.

iOS: insicuro e senza jailbreak

Il jailbreak non è un prerequisito per lo spionaggio. Tutto quello che devi fare è manipolare l'app e accedere discretamente al microfono. Ma anche i programmi apparentemente legittimi disponibili sull’App Store possono svolgere attività di intelligence.

I dispositivi iOS infetti devono essere riportati al loro stato originale tramite iTunes e installando il firmware più recente

Esiste però un modo per riconoscerlo: nelle impostazioni del telefono, controlla quali programmi hanno accesso al microfono e alla fotocamera. Per fare ciò, in “Impostazioni” clicca su “Privacy”. Nelle sezioni “Microfono” e “Fotocamera” vedrai le applicazioni con i diritti corrispondenti.

Inoltre, i servizi di localizzazione ti diranno quali programmi hanno accesso al GPS. Se non sei sicuro della serietà di un prodotto, per sicurezza, disabilita l'accesso allo stesso.

Foto: Compagnie manifatturiere

Tag sicurezza

Google, Apple, Microsoft e molte altre aziende tecnologiche hanno una lunga storia di miglioramento della sicurezza degli utenti. Hanno creato ottimi strumenti con i quali hanno migliorato la nostra sicurezza.

Gli sviluppi di queste aziende ci permettono di proteggere al massimo i nostri dispositivi e ci danno la certezza che i dati degli utenti, sia sul telefono che nel cloud, saranno protetti.

È inoltre necessario comprendere che la responsabilità per la sicurezza dei dati personali ricade in gran parte sull'utente stesso. Se desideri che i tuoi dati personali siano protetti, devi utilizzare tutti i possibili mezzi di protezione da persone non autorizzate. I dati protetti devono essere difficili da ottenere e anche difficili da decrittografare. Gli smartphone Android hanno alcune funzionalità interessanti che ti faranno sentire al sicuro.

Per cominciare, la cosa più semplice che puoi fare è inserire una password sul tuo smartphone. Avere una password ti consente di limitare l'accesso ai dati sul tuo telefono o nel cloud. Se hai lasciato il telefono sul tavolo, o se lo hai perso o è stato rubato, una password ti aiuterà a proteggere i tuoi dati. È vero, in alcuni casi anche questo non aiuta.

Un PIN a sei cifre è molto più difficile da decifrare di uno a quattro cifre, ma anche questo può essere violato in determinate circostanze, ad esempio se l'aggressore dispone di speciali apparecchiature per indovinare la password.

Le password alfanumeriche lunghe aprono la possibilità che occorrerà molto tempo per indovinare la password. Ma allo stesso tempo, inserire una password lunga e complessa sul telefono è scomodo. Pertanto, oltre alla password, esistono metodi di protezione alternativi.

Crittografa tutti i tuoi dati locali e proteggi i tuoi dati nel cloud con l'autenticazione a due fattori sui tuoi account.

Android 7.0 Nougat e le versioni più recenti hanno introdotto un sistema di crittografia diverso da quello presente negli smartphone Android in precedenza. Ora ogni file viene crittografato separatamente.

Inoltre, tutti gli account devono avere una password complessa e un'autenticazione a due fattori, se è possibile collegare un autenticatore o una notifica SMS.

Non utilizzare la stessa password su più siti. Ma per non dimenticare le tue password, usa un gestore di password (Smart Lock).

Non seguire link poco chiari

Non dovresti mai aprire collegamenti o messaggi sospetti provenienti da numeri sconosciuti. Se hai bisogno di ricevere una lettera da una persona specifica via email, prima di farlo è meglio chiedere il suo indirizzo email.

Allo stesso tempo, puoi aprire i collegamenti degli utenti verificati su Twitter o VK in tutta tranquillità.

Perché dovresti preoccuparti di proteggere i tuoi dati

Le ragioni che indicherò non sono inverosimili o fittizie. Ad esempio, nel 2015, l’exploit Stagefright potrebbe bloccare un telefono Android tramite SMS e consentire agli aggressori di accedere al file system, dove lo script potrebbe facilmente installare malware. Successivamente si è scoperto che un file JPG o PDF fa la stessa cosa su un iPhone.

L'exploit è stato risolto rapidamente, ma c'è la certezza che verrà trovato un altro exploit simile, poiché ancora oggi si trovano errori nel codice, ad esempio .

Installa solo applicazioni verificate

Per la maggior parte, il Play Store è l'unica fonte da cui è possibile scaricare applicazioni. Se un'applicazione o un collegamento ti indirizzano a installarlo da una posizione strana, non fare clic sul collegamento finché non sai di quale sito si tratta.

Inoltre, puoi abilitare l'elemento nelle impostazioni "non installare applicazioni da fonti sconosciute", ma solo se sei sicuro dell'affidabilità dell'applicazione.

Ma se installi applicazioni da Google Play, ciò non significa che le applicazioni siano sicure al 100%, perché ricordiamo i casi in cui utilità dannose sono finite nell'archivio applicazioni.

Se devi installare applicazioni da una fonte di terze parti, dovresti assicurarti di fidarti della fonte stessa. Infatti, i malware che sfruttano le vulnerabilità del sistema possono apparire solo se ne hai approvato l'installazione. In parole povere, tutto è nelle tue mani.

***

Con il rilascio di , Google ha rilasciato un aggiornamento per Google Play, che include l'antivirus Google Protect integrato. Inoltre, è cambiata l'installazione da fonti sconosciute: ora è possibile assegnare una o più applicazioni da cui il telefono potrà scaricare file. Tutte queste innovazioni indicano che Google sta cercando di proteggere sia gli utenti che il suo sistema operativo.

Tutti i telefoni cellulari supportano la comunicazione vocale e testuale. E oggigiorno, la maggior parte dei dispositivi può fare molto di più. I telefoni cellulari sono diventati parte integrante della vita quotidiana, in gran parte grazie alla loro portabilità, versatilità e al costo relativamente basso. Le stesse qualità li rendono preziosi per i difensori dei diritti umani, che spesso utilizzano gli smartphone per condividere dati sensibili e archiviare informazioni sensibili in modi precedentemente comuni su computer sicuri.

La nostra guida è dedicata principalmente agli smartphone, ai dispositivi Androide E iOS con funzioni di comunicazione mobile, con possibilità di comunicazioni vocali e testuali, spesso con accesso a Internet. L'elenco delle funzioni dello smartphone è in continua crescita: fotocamere, archiviazione di dati digitali, sensori di movimento, ricevitori di geonavigazione (GPS), Wi-Fi, facile accesso a una variegata raccolta di applicazioni. Una parte significativa di questa guida potrebbe applicarsi anche ad altri dispositivi mobili, ad es. caratteristica del telefono(normali dispositivi mobili vecchio stile) e tablet. Questi ultimi sono spesso smartphone grandi e potenti, sebbene non supportino le funzioni di comunicazione mobile.

Cosa imparerai da questa guida?

• I dati importanti stanno diventando più portatili: cosa fare in caso di rischi?
• Perché le comunicazioni mobili vocali e di testo sono particolarmente vulnerabili alla sorveglianza
• Quali misure dovresti adottare per migliorare la sicurezza del tuo smartphone durante il trasferimento e l'archiviazione di dati, lo scatto di fotografie, la visita di siti Web, ecc.
• Come aumentare le tue possibilità di rimanere anonimo (se necessario)

Informazioni generali sui telefoni cellulari

Gli smartphone sono una delle tecnologie più potenti a disposizione della maggior parte delle persone. Questi dispositivi sono dotati di vari sensori, sono quasi sempre a portata di mano e solitamente sono collegati all'una o all'altra rete. In generale, esistono la maggior parte delle minacce alla sicurezza che tipicamente associamo ai computer, oltre a tutta una serie di problemi aggiuntivi che derivano dalla portabilità, dalla ricchezza di funzionalità, dall'architettura di rete non sicura, dal rilevamento della posizione, dall'acquisizione di immagini e così via.

sistema operativo

La maggior parte degli smartphone funziona su due sistemi operativi: Google Androide e Apple iOS. Diverse aziende vendono dispositivi Android. Il loro software viene spesso modificato da sviluppatori e fornitori di servizi. Sperano, e talvolta richiedono, che i proprietari dei dispositivi lavorino loro reti mobili (e a pagamento, ovviamente). Il sistema operativo iOS funziona solo su dispositivi Apple. Rende seriamente difficile avviare applicazioni che non lo sono state approvato Mela.

Uno dei principali fattori che influiscono sulla sicurezza di uno smartphone Android sono gli aggiornamenti regolari del sistema operativo. Alcuni modelli più economici non hanno accesso agli aggiornamenti, quindi non possono correggere gravi bug di sicurezza. Ciò può renderti vulnerabile a codice dannoso e a una varietà di attacchi.

Smartphone marchiati e bloccati

Gli smartphone vengono spesso venduti bloccati. Ciò significa che il dispositivo può funzionare solo nella rete di uno specifico operatore di telecomunicazioni. (Solo con una carta SIM di questo operatore). L'operatore cambia spesso il sistema operativo e installa applicazioni aggiuntive su un telefono bloccato. Inoltre l'operatore può disabilitare alcune funzioni. Il risultato sono app a cui non è possibile rimuovere o negare l'accesso ai dati, inclusi i contatti e le informazioni archiviate.

Pertanto, è più sicuro acquistare un normale smartphone sbloccato senza essere vincolati a un operatore di telecomunicazioni. Sfortunatamente, questi smartphone sono generalmente più costosi.

Impostazioni di sicurezza di base

Lo smartphone dispone di numerose impostazioni che puoi utilizzare per controllare la sicurezza del tuo dispositivo. È importante conoscere queste impostazioni. Puoi leggere ulteriori informazioni su alcune impostazioni e app Android in questa guida:

Installazione, controllo e aggiornamento delle applicazioni

Il modo più semplice (e solitamente più sicuro) per installare un'applicazione su uno smartphone è utilizzare Google Play per Android o App Store per iOS. Accedi al tuo account sul dispositivo e potrai scaricare e installare applicazioni.

Le app Android sono disponibili online in molti posti, ma il nostro consiglio "predefinito" è di non installare app da nessuna parte. Alcuni di essi contengono codice dannoso. Puoi leggere ulteriori informazioni sul malware nella guida su come proteggere i tuoi dispositivi da virus e phishing. Installa applicazioni solo da fonti di cui ti fidi. Tieni presente che individui fidati potrebbero distribuire involontariamente codice dannoso senza saperlo. Le app su Google Play e App Store sono soggette ad alcune revisioni rispettivamente da parte di Google e Apple. Ciò fornisce una certa protezione contro applicazioni completamente dannose.

C'è anche una soluzione per gli utenti Android esperti o per coloro che non vogliono o non possono utilizzare Google Play. Questo F-Droid, una selezione alternativa di programmi che contiene solo FOSS-applicazioni. Se hai bisogno di accedere a F-Droid, puoi installare l'applicazione corrispondente da una fonte attendibile e quindi utilizzarlo per installare altre applicazioni. Puoi anche installare le applicazioni direttamente dai file .apk (Pacchetti Android), se abiliti la funzione installazione di applicazioni sconosciute. Sì, è rischioso, ma se non hai altro modo per installare l'app che desideri, puoi chiedere a qualcuno di cui ti fidi di darti .apk-file sulla scheda di memoria.

Anche le app "ufficiali" a volte si comportano male. Sui dispositivi Android, ciascuna applicazione richiede l'autorizzazione per eseguire determinate azioni. Dovresti prestare attenzione esattamente a quali autorizzazioni richiedono i programmi. Se è qualcosa di illogico, controlla i motivi e considera di non dare il permesso e di eliminare l'app. Se desideri installare un'app per la lettura di notizie e ti viene chiesto di consentirle di inviare i tuoi contatti in rete a terzi, c'è motivo di preoccuparsi. (Alcuni sviluppatori raccolgono elenchi di contatti per la vendita o per l'uso personale a fini di marketing.)

Prova ad aggiornare tempestivamente le app e rimuovi quelle che non usi. Lo sviluppatore può vendere la sua creazione ad altre persone, che modificheranno l'applicazione che hai già installato e vi aggiungeranno codice dannoso.

Mobilità e vulnerabilità dei dati

I cellulari che portiamo con noi ovunque contengono spesso informazioni importanti. La cronologia delle chiamate, la cronologia di navigazione del browser, i messaggi di testo e vocali, le rubriche, i calendari, le foto e altre cose utili possono causare una catena di problemi se il dispositivo su cui sono archiviati viene smarrito o rubato. Devi sapere dove si trovano le informazioni importanti sul tuo cellulare, nonché i dati online a cui puoi accedere automaticamente. Questi dati possono alimentare una minaccia non solo contro il proprietario del dispositivo, ma anche contro chiunque finisca nella rubrica, nei messaggi in arrivo o in un album fotografico.

Quindi hai riflettuto sui rischi e hai acquisito familiarità con le funzionalità di sicurezza e privacy del tuo dispositivo. È ora di iniziare ad adottare misure protettive.

Memorizziamo le informazioni su uno smartphone

Gli smartphone moderni hanno molto spazio di archiviazione. Potrebbe essere facile per qualcuno con accesso fisico al dispositivo recuperare queste informazioni. (Naturalmente ciò dipende anche dal dispositivo stesso).

Crittografia del dispositivo e dei dati in esso contenuti

I moderni dispositivi iOS hanno una crittografia avanzata abilitata per impostazione predefinita (ovviamente è necessario impostare una password complessa). Android supporta anche la crittografia del dispositivo e in genere è possibile attivarla. Non dimenticare di eseguire il backup dei dati dello smartphone prima di crittografare l'intero dispositivo. Ciò tornerà utile in caso di problemi durante il processo di crittografia.

Android consente inoltre di crittografare i dati sulle schede di memoria (ad esempio, microSD), se li usi.

Quando accendi un telefono crittografato e inserisci la password, ottieni l'accesso per leggere e modificare i dati sul dispositivo. Chiunque abbia accesso fisico al tuo telefono quando è acceso e sbloccato può accedere ai tuoi dati. Per avere più sicurezza – ad esempio prima di attraversare una frontiera o passare i controlli di sicurezza in aeroporto – è meglio spegnere completamente il dispositivo.

Naturalmente non ci sono solo i pro, ma anche i contro. Ad esempio, se ritieni di dover effettuare una chiamata urgente, potrebbe essere meglio lasciare il telefono acceso e bloccare semplicemente lo schermo.

Se non riesci a crittografare completamente il tuo dispositivo (o hai bisogno di maggiore sicurezza per singoli file), prova a installare un'app di crittografia. Alcune applicazioni crittografano i propri dati e, ad esempio, OpenKeychain ti consente di crittografare file di terze parti. Utilizzando questa applicazione insieme al programma Posta K-9, puoi inviare e ricevere messaggi crittografati. (Non ci sono analoghi a questo su iOS). App come queste possono aiutarti a proteggere informazioni preziose, ma dovresti comunque prendere in considerazione la crittografia del tuo dispositivo.

È opportuno ridurre al minimo la quantità di dati preziosi archiviati sul tuo dispositivo, soprattutto se non sono crittografati. Alcuni telefoni dispongono di una funzione che consente di non memorizzare la cronologia delle chiamate e dei messaggi SMS. Puoi prendere l'abitudine di eliminare dati importanti dalla cronologia delle chiamate e dei messaggi.

Memorizzazione sicura delle password

Le password possono essere archiviate in un singolo file crittografato se installi l'applicazione FOSS KeePassDroid. L'unico in questa applicazione, ma molto affidabile password principale utilizzato per la protezione tutti gli altri Le password. Questi, a loro volta, possono essere molto lunghi e unici per tutti gli account e non è necessario ricordarli. KeePassDroid ha un generatore di password integrato, comodo da utilizzare quando si creano nuovi account.

Se utilizzi KeePassXC o KeePassX sul tuo computer, come descritto nella guida sulla creazione e archiviazione di password complesse, puoi copiare il tuo database (file .kdbx) su un dispositivo mobile.

Esiste un'app simile per iOS chiamata MiniKeePass.

Il primo passo per proteggere le informazioni sul tuo cellulare è limitare l'accesso al dispositivo. Dovresti tenerlo sempre addosso, tranne in situazioni in cui sussistono rischi particolari. Questo vale sia per le carte SIM che per le schede di memoria. Anche se diffidi dei virus o della sorveglianza avanzata, potrebbe essere più sicuro rimuovere la batteria e tenere lo smartphone con te invece di lasciare il dispositivo incustodito.

Quindi, abilita la crittografia e tieni il tuo smartphone con te. Cos'altro puoi fare per proteggere fisicamente il tuo dispositivo mobile e ridurre i danni in caso di smarrimento o furto?

Passaggi fondamentali

Utilizza sempre un codice di blocco schermo efficace e cerca di non darlo a nessuno. Se hai un telefono semplice con un codice predefinito, modifica il codice.

Non dovresti memorizzare informazioni importanti, inclusi i numeri di telefono, su una carta SIM perché lì non possono essere crittografati.

Eseguire periodicamente il backup dei dati importanti del telefono. Salvali sul tuo computer o su un dispositivo di archiviazione esterno. Conserva i backup in un luogo sicuro, come abbiamo discusso nel capitolo su proteggere i file importanti sul tuo computer. Se disponi di un backup, è più facile ricordare quali informazioni erano presenti sul telefono e, se necessario, ripristinare le impostazioni di fabbrica.

I numeri di telefono sono spesso collegati ad account importanti. Un utente malintenzionato potrebbe aver bisogno del tuo telefono per accedere a questi account o per impersonare te. Alcuni operatori di telefonia mobile consentono al cliente di proteggere il proprio account con un codice PIN o una password per impedire a chiunque di apportare modifiche all'account o rubare il numero di telefono. Se tale funzionalità è disponibile, usala.

Preoccupato per il codice dannoso? Potrebbe avere senso avere un piccolo adesivo che copra temporaneamente la fotocamera del tuo telefono.

A proposito di smarrimento e furto

I dispositivi mobili hanno un IMEI (International Mobile Equipment Identity) di 15 cifre. Questo codice consente di identificare il dispositivo sulla rete. La modifica della scheda SIM non modifica l'IMEI. Il codice è spesso scritto sotto la batteria rimovibile. La maggior parte dei telefoni mostrerà l'IMEI nelle impostazioni e/o quando richiesto *#06#. Annotare l'IMEI. Può aiutarti a dimostrare che sei effettivamente il proprietario del telefono rubato.

Pensa ai pro e ai contro della registrazione del tuo telefono con un operatore telefonico. Se segnali che il tuo telefono è smarrito, il tuo operatore di solito ha la possibilità di disconnettere il telefono. Tuttavia, la registrazione del tuo dispositivo lega ulteriormente la tua identità al tuo telefono.

La maggior parte dei telefoni Android e degli iPhone dispone della funzione Trova il mio telefono integrata. Ti consente di tracciare o disabilitare il dispositivo in caso di furto. Esistono sviluppi software indipendenti per lo stesso scopo. Strumenti come questo comportano un compromesso, ma se ti fidi del proprietario del servizio e del suo software, puoi provare questa opzione.

Cosa fare se è necessario trasferire il dispositivo a un'altra persona

Quando butti via il tuo telefono indesiderato, lo regali o lo vendi a qualcuno, assicurati che non contenga informazioni che normalmente verrebbero archiviate su una carta SIM o una scheda di memoria. Questo consiglio è rilevante anche se il dispositivo non è acceso da molto tempo o non funziona affatto. Puoi sbarazzarti di una carta SIM distruggendola fisicamente. Rimuovere la scheda di memoria dal dispositivo e distruggerla o conservarla in un luogo sicuro. Il modo migliore per proteggere i dati sul telefono è assicurarsi che siano crittografati e quindi ripristinare le impostazioni di fabbrica del dispositivo.

Rivolgiti solo a negozi e officine di riparazione di cui ti fidi. Ciò ridurrà la vulnerabilità dei tuoi dati quando acquisti un dispositivo usato o porti il ​​tuo dispositivo per la riparazione. Se ritieni che qualcuno possa avere le risorse, l'accesso o la motivazione per molestarti e installare codice dannoso per questo scopo (prima di acquistare il telefono), prova a selezionare in modo casuale uno dei rivenditori autorizzati.

Se invii il telefono in riparazione, rimuovi la scheda SIM e la scheda di memoria.

Infrastrutture mobili, sorveglianza e intercettazioni

I telefoni cellulari e le reti cellulari sono ancora meno sicuri di quanto comunemente si creda. Per inviare e ricevere messaggi vocali e di testo, il tuo telefono è sempre in contatto con il più vicino torre cellulare. In questo modo l'operatore conosce - e registra - la posizione del telefono quando è acceso.

Intercettazione di chiamate e SMS

Le reti mobili sono generalmente di proprietà privata di società commerciali. A volte l'intera infrastruttura della rete mobile appartiene allo stesso operatore di telecomunicazioni. Succede che l'operatore rivende le comunicazioni mobili che noleggia da un'altra società. I messaggi di testo SMS non sono crittografati. Le comunicazioni vocali non sono crittografate o lo sono solo debolmente. Entrambi i tipi di comunicazione non sono protetti dal controllo all'interno della rete stessa. Di conseguenza, sia il tuo operatore telefonico che il proprietario del ripetitore cellulare hanno accesso illimitato alle tue chiamate, ai messaggi di testo e ai dati sulla posizione. In molti casi anche il governo ottiene questo accesso, anche quando non possiede l’infrastruttura stessa.

Molti paesi hanno leggi e regolamenti che richiedono agli operatori di telecomunicazioni di registrare e archiviare i messaggi SMS dei clienti. La maggior parte degli operatori, tuttavia, lo fa comunque per il bene dei propri obiettivi aziendali, segnalando e risolvendo possibili conflitti. Alcuni paesi hanno regole simili per le comunicazioni vocali.

Inoltre, il sistema operativo installato su un telefono cellulare potrebbe essere stato originariamente progettato o modificato per un determinato operatore di telecomunicazioni. Di conseguenza, il sistema operativo stesso può contenere funzioni nascoste che rendono il monitoraggio ancora più penetrante. Questo vale sia per i semplici cellulari che per gli smartphone.

Talvolta anche terze parti possono intercettare comunicazioni vocali e di testo. Ad esempio, un utente malintenzionato potrebbe utilizzare un dispositivo poco costoso chiamato Ricevitore IMSI. Se un dispositivo del genere viene posizionato nell'area di ricezione di un telefono cellulare, potrebbe confondere il "catcher" con una vera torre di telefonia mobile. (A volte vengono chiamati "catcher IMSI". Razze- un nome noto tra gli esperti, con il quale questi dispositivi sono posizionati sul mercato per le esigenze delle forze dell'ordine). In molti casi terzi sono addirittura riusciti ad accedere alle risorse della rete mobile mentre si trovavano dall'altra parte del globo. Hanno sfruttato le vulnerabilità in sistema di allarme 7 (Sistema di Segnalazione Numero 7, SS7), un insieme di protocolli per lo scambio internazionale di messaggi vocali e SMS.

Infine, anche se ci si connette a Internet tramite Wi-Fi anziché cellulare, i sistemi operativi su smartphone e tablet incoraggiano gli utenti a condividere i propri dati personali sui social network e sul cloud storage; le persone sono incoraggiate a utilizzare attivamente la geonavigazione globale (GPS) e altre funzioni simili. Questo piace a molti fan di Android e iOS e i dati personali hanno maggiori possibilità di essere trapelati online.

Vuoi proteggere le tue comunicazioni più importanti? Per iniziare, poniti alcune domande:

• Con chi, quando e quanto spesso comunichi?
• Chi altro potrebbe essere interessato a sapere che stai comunicando con questa persona?
• Quanto sei sicuro che il tuo interlocutore sia chi dice di essere?
• Qual è il contenuto delle chiamate e dei messaggi?
• Chi altro potrebbe essere interessato a questo contenuto?
• Da dove ti contatti, dove si trova il tuo interlocutore?

Se le risposte a queste domande ti danno problemi di sicurezza, dovresti considerare di ridurre al minimo i rischi coinvolti. Per fare ciò, potresti dover aiutare il tuo interlocutore a padroneggiare una nuova tecnologia o programma. In alcune situazioni potrebbe essere meglio evitare di utilizzare il cellulare come mezzo di comunicazione.

Anonimato

Proteggere il contenuto delle chiamate e dei messaggi può essere impegnativo. È ancora più difficile rimanere anonimi quando si utilizza un telefono cellulare. In particolare, raramente è possibile nascondere il fatto che si sta comunicando con una persona specifica quando si effettua una chiamata o si invia un SMS. Puoi utilizzare un messenger sicuro con una connessione Internet tramite rete mobile o Wi-Fi, ma come puoi garantire il successo? Molto spesso, il massimo che puoi fare è scegliere quale esattamente da una terza parte sarà in grado di accedere alle informazioni e sperare che questa parte non cooperi strettamente con coloro dai quali desideri proteggere le tue comunicazioni.

Per aumentare il livello di anonimato, le persone a volte preferiscono telefoni usa e getta e conti a breve termine. Funziona in alcune situazioni, ma fare tutto bene non è così facile. La scelta più semplice per entrambe le parti del processo è acquistare telefoni prepagati, usarli per chiamate vocali e messaggi SMS per un periodo molto breve, quindi distruggerli. Tuttavia, i dati non possono essere crittografati. L'efficacia di questo metodo dipende da un elenco abbastanza lungo di condizioni. Eccotene alcune:

• Entrambe le parti acquistano telefoni e carte SIM in contanti.
• Quando lo fanno, nessuno li rintraccia con la presente telefoni.
• Attivano le SIM card senza presentare documenti.
• Rimuovono le batterie dai telefoni quando non sono in uso.
• Possono scambiarsi i numeri di telefono senza attirare troppa attenzione.
• Usano i loro telefoni in luoghi dove solitamente non trascorrono il tempo.
• Quando vanno nei luoghi in cui trascorrono solitamente il tempo, non portano lì i loro telefoni.
• Le tecnologie di riconoscimento vocale non superano le nostre aspettative.

Se tutte le condizioni di cui sopra per uno smartphone prepagato sono soddisfatte, puoi provare a nascondere la connessione tra le due parti effettuando chiamate crittografate. Ma farlo in modo efficace richiede ancora più cura e attenzione, in parte perché gli smartphone e le app di condivisione sicura dei dati richiedono la registrazione di un account. Non ha molto senso utilizzare un telefono "non rilevabile" per accedere a servizi già legati alla tua identità. Puoi creare account di posta elettronica anonimi e account “usa e getta” in altri servizi, ma ciò richiede tempo e concentrazione. Entrambe le parti devono capire cosa sono gli indirizzi IP, le impronte digitali del browser, come utilizzare Tor Browser o Tails, solo per citarne alcuni. Dovranno spendere più tempo e denaro in internet cafè selezionati casualmente senza utilizzare i telefoni reali.

Ascoltando

Il telefono può essere configurato per memorizzare o trasmettere i dati ricevuti da un microfono, una fotocamera o un ricevitore GPS - e il proprietario non ne verrà a conoscenza (vale sia per un semplice telefono cellulare che per uno smartphone). Nella maggior parte degli attacchi si tratta di malware, ma non è da escludere che anche gli operatori di telecomunicazioni siano coinvolti in un'analoga sorveglianza degli apparecchi collegati alle loro reti. Alcuni telefoni possono anche essere accesi da remoto e fatti spiare i loro proprietari, anche se sembreranno spenti.

Se non ti fidi di quella persona, non consentirle l'accesso al tuo telefono. (La violazione di questa regola è un motivo comune per cui il malware entra nei nostri dispositivi.)

Nota: l'utilizzo di un telefono cellulare in pubblico o in un luogo che ritieni possa essere sorvegliato ti rende vulnerabile alle tradizionali tecniche di intercettazione. Inoltre aumenta il rischio che il telefono venga rubato.

Incoraggia coloro con cui comunichi su questioni importanti a iniziare a utilizzare gli stessi programmi e tecniche che usi tu stesso.

Hai un incontro privato e personale? Spegni il telefono, rimuovi la batteria. Per non rivelarlo posto riunione, è meglio farlo prima di andare alla riunione. Se non puoi scollegare la batteria, lascia il telefono in un posto sicuro.

Internet tramite telefono cellulare

L'ID utente in Signal è (per semplicità) il tuo numero di cellulare. Purtroppo questo significa che senza un numero di cellulare valido non potrai utilizzare Signal, anche se preferisci il wi-fi. Inoltre, se desideri contattare qualcuno su Signal, dovrai fornire a quella persona il tuo numero di telefono. Coloro per i quali questo è un problema possono prestare attenzione ad altri messenger con una “buona reputazione”, ad esempio, Filo(Android, iOS).

Le risposte alle seguenti domande ti aiuteranno a scegliere un messenger mobile:

• Cosa dicono gli esperti di sicurezza digitale a riguardo?
• È un programma gratuito? Open Source?
• Supporta la crittografia end-to-end tra due utenti?
• Supporta la crittografia end-to-end nella chat di testo di gruppo?
• Supporta la crittografia end-to-end per le comunicazioni vocali di gruppo?
• La crittografia end-to-end protegge i file trasferiti?
• È possibile impostare i messaggi su "autodistruzione dopo la lettura"?
• Il programma funzionerà con una connessione Internet lenta?
• Chi è lo sviluppatore dell'applicazione, dovresti fidarti di lui?
• Chi è il proprietario del server, qual è la sua politica riguardo all'archiviazione di chiamate e messaggi?
• Puoi utilizzare un account su più dispositivi?
• Sono supportati tutti i principali sistemi operativi?
• È possibile utilizzare un indirizzo email e un nome utente per registrarsi anziché un numero di telefono (che separerà il tuo account dalla tua vera identità)?
• È possibile utilizzare il messenger senza dargli accesso ai contatti sul dispositivo?
• Può essere utilizzato su un dispositivo mobile ma non su un telefono?
• Puoi (o qualcuno di cui ti fidi) gestire il tuo server e comunicare attraverso di esso?

Invio e ricezione di e-mail su uno smartphone

Leggerai email importanti sul tuo dispositivo mobile? Assicurati che la crittografia sia attivata, come spiegato in Nozioni di base sulla sicurezza di Android. (Sugli ultimi modelli di iPhone, la crittografia è attivata per impostazione predefinita; l'unica cosa importante è scegliere una password complessa). Ciò non proteggerà la tua posta fino al destinatario, ma impedirà a qualcuno che tenti di leggerla dopo aver perso/rubato un dispositivo mobile. Potresti trovare utile questa guida su come mantenere private le tue comunicazioni.

Questa guida tratta in particolare GPG-crittografia della posta elettronica su computer Windows, Mac e Linux. È possibile inviare e ricevere posta crittografata anche sui dispositivi Android, ma non senza difficoltà. (Attualmente non esiste alcuna crittografia GPG gratuita per iOS).

La maggior parte degli esperti di sicurezza sconsiglia di archiviare i tuoi file chiave di crittografia segreta ovunque diverso dal computer di lavoro principale. (Inoltre, non portare con sé la chiave). Tuttavia, avrai bisogno di questa chiave per leggere i messaggi crittografati sul tuo dispositivo mobile. Oggi i dispositivi Android sono più sicuri di quanto lo fossero una volta e la tua chiave privata è protetta da una password complessa. Quindi, se tu davvero necessario invia e ricevi dati così importanti sul tuo dispositivo Android e il passaggio a un messenger sicuro non ti soddisfa, puoi installare GPG su di esso.

Per fare questo è necessario:

1. Installa e configura GPG e un'applicazione di gestione delle chiavi, ad esempio, ApriKeychain .
2. Copia la tua chiave segreta sul tuo dispositivo.
3. Installa e configura un'applicazione di posta elettronica compatibile con ApriKeychain, Per esempio, Posta K-9 .

Non solo chiamate e messaggi

I telefoni cellulari sono dispositivi multifunzionali, piccoli computer dotati di propri sistemi operativi e applicazioni scaricabili. I telefoni cellulari forniscono una varietà di servizi. Oggi gran parte di ciò che fai su un computer puoi farlo su uno smartphone. E, naturalmente, ci sono molte cose che puoi fare su uno smartphone, ma non su un computer.

Navigazione nei siti web

Anche i telefoni cellulari più semplici non possono connettersi a Internet, ma al giorno d'oggi sono rari. Se utilizzi un browser sul tuo dispositivo Android per navigare, tra le altre cose, su siti Web con restrizioni, considera l'utilizzo di una rete privata virtuale (VPN) o di un'app Orbot(Versioni Android di Tor Browser).

VPN sul dispositivo Android

Una VPN crea un tunnel crittografato dal tuo dispositivo a un server VPN da qualche parte su Internet. La VPN aiuta a proteggere il traffico in uscita e in entrata. Ciò è particolarmente importante se il traffico passa attraverso una rete locale o nazionale non sicura. Tuttavia, poiché tutto il traffico passa attraverso il provider VPN, può vedere tutto ciò che ora è diventato inaccessibile dalla rete locale o dal provider di accesso a Internet. È importante scegliere un servizio VPN di cui ti fidi e ricordarti di utilizzare HTTPS durante il trasferimento di dati preziosi.

In alcuni paesi, le VPN sono illegali o hanno un accesso limitato. Scopri qual è la situazione nel paese in cui prevedi di utilizzare la VPN. Ricorda che una VPN non nasconde il fatto che stai utilizzando una VPN.

Per utilizzare una VPN, dovrai installare un'applicazione client e creare un account con il provider VPN. Squadra di Risalita offre un client VPN gratuito e open source per Android chiamato Bitmask e supporta il servizio VPN gratuito Riseup Black. (Se hai già un account Riseup Red e sai come impostare manualmente una VPN, puoi utilizzare l'app OpenVPN per Android(Play Store, F-Droid) con il tuo nome utente e password Risveglio Rosso. (Applicazione OpenVPN per Android gratuito e open source).

Tor su un dispositivo Android

Per avere accesso anonimo ai siti, puoi utilizzare un paio di applicazioni Android: Orbot E Orfox. Orbot instrada il traffico Internet attraverso la rete Tor anonima. Orfox è una versione mobile di Firefox che utilizza Orbot e fornisce una protezione aggiuntiva per la tua privacy. Insieme, queste due app ti consentono di bypassare i filtri online e visitare i siti Web in modo anonimo, la stessa cosa che dà Browser Tor per Windows, Mac e Linux.

Puoi saperne di più sull'anonimato e sull'elusione della censura nella guida corrispondente.

Foto e registrazione

Gli smartphone ti consentono di scattare foto, registrare suoni e girare video. Questi sono tutti strumenti potenti per documentare eventi e diffondere informazioni su di essi. La privacy e la sicurezza di coloro che compaiono davanti alla telecamera e nella registrazione devono essere rispettate. Ad esempio, se hai registrato un evento importante e poi il telefono è caduto nelle mani sbagliate, ciò potrebbe causare problemi sia a te che ai soggetti della tua segnalazione. Alcuni consigli su cosa fare per gestire tali rischi:

• Pensa a come puoi caricare in modo sicuro e rapido i file registrati online ed eliminarli dal tuo dispositivo.
• Utilizza gli strumenti per sfocare i volti delle persone nelle tue foto e nei tuoi video e distorcere le voci di coloro che registri.
• Scopri quali programmi e impostazioni puoi utilizzare per sbarazzartene metadati nei file multimediali. Esempi di tali metadati sono le coordinate GPS dei luoghi in cui sono state scattate le fotografie, i parametri della macchina fotografica utilizzata per scattare la foto.

The Guardian Project ha creato e mantiene un'app gratuita e open source chiamata ObscuraCam, che funziona con foto e video per sfocare i volti e rimuovere i metadati.

se tu necessario salvi volti, voci e metadati, quindi è particolarmente importante che il tuo dispositivo sia crittografato. Anche i file che copi dal dispositivo altrove per l'archiviazione o il trasferimento dovrebbero essere crittografati. Spinti da questa idea, i programmatori Progetto Guardiano ha sviluppato l'applicazione Proof Mode, antipode ObscuraCam. Modalità di prova"estrae" il massimo dei metadati dal materiale, che può aiutare a stabilire l'autenticità di un'immagine o di un video. Questi metadati vengono archiviati separatamente dalle immagini e dai video corrispondenti; trasmetterli solo attraverso canali sicuri.

• Collega il telefono al computer solo se sei sicuro che non sia presente codice dannoso sul computer. Per ulteriori informazioni, consulta la nostra guida per proteggere il tuo computer da virus e phishing.
• Proprio come con un computer, fai attenzione quando ti connetti a una rete Wi-Fi senza password.
• Disattiva Wi-Fi, Bluetooth e Near Field Communication (NFC) quando non utilizzi queste funzionalità. Abilitali solo quando necessario e solo per connettersi a reti e dispositivi affidabili. Quando possibile, utilizzare un cavo per trasferire i dati.
da L'intercettazione

La maggior parte dei nostri articoli parla di come hackerare la sicurezza e ottenere l'accesso ai dati. Oggi proveremo a giocare per un'altra squadra, parlando di come proteggere i tuoi dati.

Per chi è scritto questo articolo? Secondo le statistiche, quasi la metà degli utenti non sa nominare il modello dello smartphone che utilizza. Quanti di quelli rimasti sapranno nominare la versione di Android installata sul proprio telefono, per non parlare della versione della patch di sicurezza? Indirizziamo questo testo agli utenti rimanenti. In questo articolo non daremo consigli stanchi su "abilitare il codice di blocco" o "aggiornare all'ultima versione del sistema operativo" (tali consigli suoneranno piuttosto cinici alla luce delle politiche di aggiornamento della stragrande maggioranza dei produttori). Cercheremo invece di fornire una comprensione dell’intera gamma di capacità di “artiglieria pesante” che possono essere utilizzate contro il proprietario del telefono sia dagli aggressori che dalle agenzie di intelligence per estrarre dati.

Sfondo

Siamo stati spinti a scrivere questo articolo semplicemente dall'enorme numero di pubblicazioni in un'ampia varietà di pubblicazioni sullo stesso argomento: come proteggere il tuo smartphone. Gli autori degli articoli che leggiamo ripetono gli stessi consigli che, se seguiti con la massima attenzione, non danno al possessore dello smartphone altro che un falso senso di sicurezza. "Utilizza un codice di blocco efficace", "accendi il sensore di impronte digitali" e l'estremamente cinico "aggiornamento all'ultima versione di Android": il consiglio di per sé è logico, ma completamente, assolutamente insufficiente. È molto raro che i consigli imbattino in una raccomandazione per disabilitare Smart Lock, anch'essa corretta e anche insufficiente.

Che senso ha impostare un codice di blocco lungo e complesso se il tuo smartphone utilizza la crittografia FDE legacy e non hai abilitato la modalità di avvio sicuro? Per molti modelli sono disponibili bootloader che decodificheranno l'intero contenuto del tuo dispositivo anche senza password di forzatura bruta: la crittografia utilizzerà comunque la frase default_password. Disabilitare Smart Lock è un passaggio necessario ma non sufficiente. Sei sicuro della sicurezza della tecnologia di scansione facciale utilizzata nel tuo dispositivo (se il tuo telefono ne è dotato)? Sapevi che semplicemente accedendo al tuo computer puoi estrarre tutte le tue password dal browser, per poi andare semplicemente sul cloud e modificare il codice di blocco del tuo smartphone? (Fortunatamente non funziona per tutti i dispositivi, ma devi conoscere questa possibilità.) Infine, devi essere consapevole che se ricevi la password per il cloud dell'account Google dal tuo computer, nessuno avrà bisogno del telefono stesso: tutti i dati necessari possono essere estratti dal cloud (e, molto probabilmente, ce ne saranno ancora di più lì che nel telefono stesso).

Informazioni sul giusto approccio alla protezione

Da cosa ci proteggeremo esattamente? È impossibile considerare le misure di protezione contro tutte le possibili minacce in un unico articolo. Non esamineremo la protezione da malware e spyware e esamineremo solo brevemente la protezione del tuo account Google. Il nostro impegno principale sarà quello di garantire la sicurezza dei dati durante l'analisi fisica e logica del dispositivo.

Cosa farà la polizia se metterà le mani su uno smartphone? I casi più difficili con cui lavorare per gli esperti sono un telefono diseccitato trovato vicino a un corpo silenzioso. È in tali circostanze che, di regola, inizia la ricerca di tutti i tipi di vulnerabilità nel software e nell'hardware. In situazioni normali, la polizia si reca a casa del sospettato, analizza il computer ed estrae le password cache dai client di posta elettronica e dai browser Chrome/Mozilla/Edge. Quindi è sufficiente accedere al cloud con login e password trovati, dopodiché il resto è banale. In alcuni casi è possibile reimpostare da remoto la password di blocco del telefono (oggi, tuttavia, molti produttori non offrono questa opzione di default).

Le soluzioni Cellebrite hanno funzionalità entusiasmanti, incluso il prodotto UFED Premium recentemente introdotto. È possibile collegare uno smartphone a un dispositivo (attualmente un normale laptop con software preinstallato), con il quale un esperto copierà una sezione di dati e la decrittograferà attraverso una delle vulnerabilità note agli sviluppatori o utilizzando un “decrypting bootloader” (decrittografia bootloader nei termini di Cellebrite) indipendentemente dalla lunghezza della password e dalla disponibilità degli aggiornamenti installati. Per numerosi dispositivi, è supportata la forza bruta dei codici di blocco dello schermo: circa 20 minuti per l'intera gamma di password a 4 cifre.

Dopo aver letto il nostro articolo, sarai più pienamente consapevole delle possibilità di proteggere i tuoi dati e dei rischi che rimarranno anche quando tutto sarà stato fatto correttamente.

Come agirà la polizia?

Se il tuo smartphone è nelle mani della polizia o del controllo di frontiera negli Stati Uniti, cercheranno di costringerti a sbloccare il dispositivo. In caso di successo, ciò che accadrà dopo non dipende da te; Dallo schermo di uno smartphone sbloccato, l'investigatore avrà accesso a:

• A tutti i contenuti di /sdcard inclusi foto e video.
• Posta, corrispondenza nella messaggistica istantanea, testo SMS.
• Un elenco completo delle password salvate in Chrome (spesso puoi trovare lì la password del tuo account Google - a proposito, controlla se è così sul tuo dispositivo).
• Cronologia dettagliata della posizione nel corso di diversi anni.
• Dati di Google Fit. Possono essere esportati.
• Chiamate, contatti.

Il controllo delle frontiere cinesi riceverà informazioni simili. Tuttavia, le guardie di frontiera cinesi si comportano in modo rude ed estremamente negligente: sullo smartphone è installata un'applicazione agente che recupera tutte le informazioni di cui le guardie di frontiera hanno bisogno. La situazione è diventata completamente assurda quando le guardie di frontiera cinesi hanno iniziato a dimenticare in massa di rimuovere la domanda dell'agente. Cari guardie di frontiera cinesi! Non puoi farlo! Si prega di seguire attentamente le istruzioni del servizio e non dimenticare di eliminare l'applicazione dell'agente dal telefono dei turisti dopo aver estratto tutti i dati necessari!

Hackerare il codice di blocco dello schermo

Vorrei davvero scrivere un articolo dettagliato su come e con cosa è possibile hackerare uno smartphone Android bloccato, ma temo che ciò sia impossibile: gli utenti hanno tra le mani migliaia di modelli diversi, basati su dozzine di chipset in centinaia di varianti . Tenendo conto della varietà del firmware, delle versioni di Android stesso e della disponibilità delle attuali patch di sicurezza (lo stesso problema della frammentazione di Android), si è verificata una situazione in cui anche il più grande produttore di prodotti forensi non sa con quali dispositivi funziona il suo complesso . "Prova a connetterti" è la risposta standard alla domanda se il complesso X supporta lo smartphone Y.

Ad esempio, una semplice domanda: è possibile decifrare il codice di blocco di uno specifico modello di smartphone e, soprattutto, è necessario farlo o è possibile farlo in questo modo (lo stesso "bootloader di decrittografia")? Numerosi articoli sulla sicurezza raccomandano all'unanimità di installare un codice di blocco potente, tacendo sul fatto che per circa uno smartphone su due questo è completamente inutile. Come determinare se ha senso perdere la comodità con un codice di blocco complesso o se vale la pena affrontarlo da una prospettiva diversa?

La risposta sta nell'algoritmo di crittografia utilizzato in un particolare dispositivo. Come sai, tutti gli smartphone usciti dalla fabbrica con Android 6 e versioni successive devono crittografare i dati dell'utente al termine del processo di configurazione iniziale. Tuttavia, la crittografia è diversa dalla crittografia. La maggior parte dei dispositivi meno recenti utilizza qualcosa chiamato Full Disk Encryption (FDE). In modalità FDE, i dati sulla partizione utente vengono crittografati utilizzando le credenziali del dispositivo: una chiave di crittografia generata in base a una determinata chiave hardware e alla frase "default_password".

Sì, esatto: "default_password" protegge tutti i tuoi dati. E allora, è andato tutto? Chiunque può prendere e decifrare le informazioni? Non proprio. La chiave di crittografia viene generata all'interno del Trusted Execution Environment (TEE) all'avvio del dispositivo; I dati iniziali prevedono una chiave univoca per ogni dispositivo, che non va oltre il TEE. Se rimuovi il chip di memoria dal telefono e copi le informazioni da esso, non sarai in grado di decrittografare i dati senza la chiave del TEE. Di conseguenza, per decrittografare le informazioni, sarà necessario non solo estrarre i dati dal telefono (ad esempio, tramite la modalità EDL, il cui ruolo sta gradualmente diventando un ricordo del passato), ma anche hackerare TEE o sostituire il bootloader. In linea di principio, tali "bootloader di decrittografia" esistono, ad esempio, su Cellebrite per un numero di modelli, e talvolta per intere famiglie di modelli, uniti da un insieme comune di logica di sistema. Tuttavia, per sfruttare questa opportunità, è necessario utilizzare un complesso speciale che estrarrà i dati.

Anche se il tuo telefono utilizza una protezione FDE obsoleta, puoi proteggere i tuoi dati in modo affidabile. Per fare ciò basta abilitare la modalità di avvio sicuro (è abbastanza semplice: devi prima rimuovere il codice di blocco e poi installarne uno nuovo; se il telefono utilizza FDE, il sistema ti chiederà se abilitare la modalità di avvio sicuro). In questa modalità, la chiave di crittografia verrà nuovamente crittografata con i dati della chiave hardware e il codice di blocco inserito (invece di “default_password”). Questo metodo presenta anche uno svantaggio: il telefono semplicemente non si avvia finché non viene inserito il codice di blocco; se il telefono si riavvia accidentalmente, non sarai nemmeno in grado di rispondere alla chiamata fino al completo avvio del telefono (che richiede un codice di blocco). A proposito, su alcuni modelli la password per l'avvio sicuro potrebbe non corrispondere al codice di blocco dello schermo; Se tale opportunità esiste, vale la pena sfruttarla.

Le carenze della crittografia FDE con Secure Startup vengono completamente eliminate in un nuovo schema di crittografia basato su file chiamato File Based Encryption (FBE). I dispositivi crittografati FBE utilizzano le credenziali dell'utente (codice di blocco) per crittografare la maggior parte delle informazioni, inclusi tutti i dati personali. In questo caso, i file eseguibili dell'applicazione, nonché alcuni database necessari per avviare il dispositivo, verranno crittografati utilizzando le credenziali del dispositivo (ovvero, esclusivamente i dati della chiave hardware). Non esiste una modalità di avvio sicuro quando si utilizza FBE perché non è necessaria.

Per decrittografare i dati da entrambi i dispositivi FDE utilizzando la modalità Avvio sicuro e dai dispositivi FBE, il codice di blocco deve essere violato. Le procedure specifiche differiscono a seconda del modello e della logica del sistema, ma il principio generale è lo stesso: collegarsi ad una porta USB e avviare la procedura di ricerca.

Naturalmente i telefoni dispongono di una protezione integrata contro tali attacchi. Abbiamo già descritto la Qualcomm TrustZone, all'interno della quale opera il Trusted Execution Environment (TEE). Può eseguire solo i cosiddetti “trustlet”, una sorta di micro-applicazioni firmate con una chiave verificata dal TEE stesso. Qui è dove viene implementato il controllo del passcode (tramite il servizio GateKeeper). GateKeeper, a sua volta, limita la velocità di ricerca della password a livello hardware; Non sarai in grado di ordinare rapidamente nemmeno un codice di 4 cifre, ma è possibile ordinare 6 cifre all'infinito. GateKeeper impedisce l'hacking telefonico nelle situazioni in cui è abilitato l'avvio sicuro o viene utilizzata la crittografia FBE.

Un esempio dalla vita. Smartphone Samsung – forse il più popolare tra i dispositivi Android. In tutti i modelli Samsung, rilasciato prima del 2019, utilizza la crittografia FDE legacy. Per molti modelli di smartphone esistono i cosiddetti "bootloader tecnici" che sono "fuoriusciti" con successo dallo stabilimento di produzione. Poiché la stragrande maggioranza degli utenti non è a conoscenza dell'esistenza della modalità protettaAvviare, un bootloader progettato aiuta gli esperti a scaricare il codice in grado di aggirare la password di blocco e decrittografare il contenuto del dispositivo.

Un altro esempio. Durante la manifestazione dell'UFEDPremio Cellebrite codice di blocco per uno smartphone Samsung casualeS8 di uno dei partecipanti alla presentazione è stato aperto in soli 15 minuti.

Moderno sistema di crittografia FBE Sono equipaggiati solo i nuovi modelli Samsung, pubblicato nel 2019. Questi includono, ad esempio, i modelli GalaxyS10 e S10+.

Fattibilità economica della protezione dagli hacker contro l'analisi fisica

Se c'è protezione, ci saranno tentativi di romperla. In particolare, per i processori Qualcomm fino allo Snapdragon 821 compreso, esiste una vulnerabilità, il cui utilizzo consente di avviare il proprio "trustlet" e aggirare il limite di velocità della forza bruta. In realtà, gli sviluppatori di sistemi forensi trattano questa vulnerabilità come un mal di denti: da un lato la vulnerabilità esiste, è un pugno nell’occhio; i clienti lo vogliono. D'altra parte, è molto difficile da usare: per ogni dispositivo è necessario scrivere il proprio codice, selezionare gli offset, testare... Se parliamo dell'iPhone, il numero dei cui modelli attuali si può contare sulla dita di una mano, il supporto per una vulnerabilità di questo livello sarebbe stato implementato ieri. Ma centinaia di modifiche ai chipset utilizzati negli smartphone con Android (e ogni modello per il quale sarà necessario avviare il processo di sviluppo cadrà nelle mani della polizia in singoli esemplari) rendono tale sviluppo economicamente impraticabile.

Per gli smartphone di punta con processori Qualcomm, la capacità di estrarre dati attraverso le vulnerabilità è simile a questa:

• Per i dispositivi più vecchi (fino a Snapdragon 821 incluso) con vulnerabilità note, a volte è possibile decifrare il codice di blocco se Secure Startup non è installato (sono stati scoperti molti metodi).
• Per i dispositivi meno recenti con avvio sicuro abilitato o con crittografia FBE, la velocità di ricerca è limitata da GateKeeper. L'attacco a un dispositivo "freddo" (dopo il riavvio o l'accensione) non viene praticamente implementato, ad eccezione di alcuni modelli popolari (il problema dell'"inafferrabile Joe").
• Per i dispositivi a partire da Snapdragon 835, gli exploit EDL non sono disponibili, l'exploit TEE non è disponibile e anche in rari casi in cui viene utilizzata la crittografia FDE, decrittografare il contenuto della sezione dati è generalmente piuttosto difficile (ma in alcuni casi è possibile, sono già state scoperte delle vulnerabilità).
• Infine, per i nuovi dispositivi (SD835 e successivi) che utilizzano la crittografia FBE, nessun exploit funziona: la chiave di crittografia dipende dalla password e la forza bruta è piuttosto lenta (GateKeeper).

Come proteggere il tuo smartphone dall'hacking del codice di blocco e dall'estrazione fisica dei dati

Per prima cosa devi scoprire quale sistema di crittografia viene utilizzato su un particolare dispositivo. Per fare ciò, esegui il seguente comando tramite ADB:

Shell Adb getprop ro.crypto.type

Se il comando restituisce la parola "file", lo smartphone utilizza la crittografia FBE.

Se utilizzi la crittografia file per file FBE:

• Imposta un codice di blocco a 6 cifre (se il tuo dispositivo lo consente).
• Disabilita la modalità debug USB.

Se utilizzi FDE, abilita la modalità Avvio protetto. Per questo:

• Vai alle impostazioni e rimuovi il codice di blocco corrente.
• Crea un nuovo codice di blocco. Quando inserisci il codice di blocco, il sistema ti chiederà se abilitare la modalità Secure Boot. Conferma la tua richiesta.
• Non dimenticare di disabilitare la modalità Debug USB.

È possibile cambiare il tipo di crittografia da FDE a FBE? In generale, no. Solo alcuni dispositivi Google (come il tablet Pixel C) sono stati in grado di passare da FDE a FBE durante lo sviluppo di FBE. Questo non è possibile per i dispositivi moderni.

Sicurezza Android

Quali consigli danno solitamente gli articoli sulla sicurezza Android? Utilizzare un codice di blocco più complesso o una sequenza più lunga; disabilitare Smart Lock; aggiornare Android; abilitare l'autenticazione a due fattori. Il consiglio sembra logico, ma allo stesso tempo è estremamente superficiale, nello stile di “come smettere di preoccuparsi della sicurezza delle informazioni e iniziare a vivere”. Nel frattempo, per uno smartphone Android su due, la lunghezza del codice di blocco non influisce in alcun modo sulla sicurezza; disabilitare Smart Lock è inutile se l'utente ha attivato (o ha dimenticato di disattivare) la modalità di debug USB e controllare gli aggiornamenti Android è inutile se il produttore del dispositivo ritarda gli aggiornamenti.

1. Codice di blocco. È necessario e preferibilmente non inferiore a 6 cifre. In questo caso, è necessario verificare quale meccanismo di crittografia viene utilizzato nello smartphone: FDE o FBE (questo può essere fatto con il comando sopra descritto tramite adb) e, se FDE, è necessario abilitare la modalità di avvio sicuro Avvio protetto ( per questo è necessario prima rimuovere il codice di blocco e poi crearlo nuovamente, accettando la richiesta del sistema di abilitare l'avvio sicuro).
2. Disabilita la modalità debug USB. Qualsiasi altra azione non ha senso se questa modalità è abilitata.
3. Probabilmente tutti sanno che un bootloader sbloccato è una falla di sicurezza enorme? Non prenderemo nemmeno in considerazione i dispositivi con un bootloader già sbloccato, ma se le impostazioni sviluppatore del tuo telefono hanno un'opzione di sblocco OEM e non intendi sbloccare il bootloader a breve, disabilitala.
4. Se il telefono dispone di un'impostazione della modalità in cui il dispositivo dovrebbe essere disponibile quando collegato a un computer, selezionare la modalità "Solo ricarica". Altrimenti, anche da telefono bloccato, sarà possibile copiare l'intero contenuto di /sdcard, comprese foto e video. Se non esiste tale impostazione, controlla cosa succede quando sei connesso. Di norma, nei dispositivi moderni la modalità Solo ricarica sarà selezionata per impostazione predefinita. Se è così, è tutto in ordine; se Trasferimento file o MTP è selezionato per impostazione predefinita, puoi rinunciare alla sicurezza.
5. Naturalmente, l’ultima versione di Android è buona e sono necessarie patch di sicurezza aggiornate. Il problema è che la stragrande maggioranza dei produttori ritarda incredibilmente gli aggiornamenti, lasciando le vulnerabilità rilevate senza patch per molti mesi (o addirittura anni). Se il tuo telefono non è un fiore all'occhiello attuale, puoi dimenticare gli aggiornamenti rapidi e sopportare le falle di sicurezza. Ma vale comunque la pena controllare gli aggiornamenti.
6. SmartLock è un male assoluto dal punto di vista della sicurezza. Disattiva tutti i tipi di SmartLock, compreso lo sblocco facciale (solo in SmartLock; se il tuo telefono è dotato di scanner stereoscopico con illuminazione a infrarossi, questo consiglio non è rilevante).
7. Allo stesso tempo, disabilita il ritardo del blocco del telefono se configurato (impostazioni Impostazioni > Sicurezza e posizione > Blocco automatico > Immediato).
8. Informazioni sull'installazione da fonti sconosciute. Non dovresti mantenere attivo questo interruttore, rende davvero vulnerabile il telefono. A proposito, in Android 8 non esiste un'impostazione separata; L'autorizzazione viene concessa alle singole applicazioni; l'impostazione può essere controllata tramite la voce Impostazioni di accesso alle app speciali.
9. Non molto tempo fa, sui media sono apparse notizie scioccanti: si è scoperto che una serie di applicazioni iPhone registrano le azioni dell'utente e trasmettono schermate dello schermo, inclusi dati personali, numeri di passaporto e carta di credito, come analisi. Su Android non c'è stato nessuno scandalo: assolutamente qualsiasi applicazione con i permessi Draw su altre app o lanciata come servizio di accessibilità può fare lo stesso. Controlla le categorie appropriate nelle impostazioni e blocca tutte le applicazioni per le quali non hai concesso personalmente queste autorizzazioni.
10. Controlla la voce App di amministrazione del dispositivo. Le applicazioni di questa categoria possono essere utilizzate per modificare in remoto il codice di blocco, bloccare o sbloccare il dispositivo ed eseguire un ripristino delle impostazioni di fabbrica. Se si tratta di Google Trova il mio telefono o di Exchange Admin installato dal datore di lavoro, allora va tutto bene. Controlla che non ci siano elementi non necessari nell'elenco.
11. Abbiamo già scritto delle backdoor realizzate dai produttori. Molti produttori integrano strumenti di analisi nel firmware dei loro telefoni. Di tanto in tanto si scopre che “analytics” significa anche i tuoi contatti con password. In generale, non c'è molto che si possa fare qui. Puoi provare a limitare l'accesso ai dati analitici su Internet (ad esempio, tramite l'applicazione AdGuard, installata, tra l'altro, da fonti di terze parti - dal sito Web dello sviluppatore e non dal Play Store), ma se hai un dispositivo del genere nelle tue mani, tutti i dati possibili sono trapelati da tempo. Un dispositivo del genere non sarà mai sicuro.
12. Infine, sulle applicazioni del Play Store. Molti di loro hanno richiesto (e molto probabilmente hanno ricevuto) i permessi più inaspettati. Ad esempio, l'utente potrebbe fornire all'applicazione Angry Birds l'accesso alla fotocamera, al microfono e ai contatti (perché?), una calcolatrice avanzata - l'accesso alla posizione e una bellissima galleria fotografica - il permesso di leggere e inviare SMS. Vai all'elenco dei permessi dell'applicazione; Per la maggior parte degli utenti, una semplice analisi delle autorizzazioni rilasciate rappresenta una grande sorpresa.
13. Non memorizzare la password del tuo Account Google nel browser Chrome. Lo cercheranno prima.
14. Abilita l'autenticazione a due fattori. Non ci sono commenti; Abbiamo scritto su questo argomento più di una o due volte.

Chiusura ritardata

Un tempo, l'inserimento di un codice di blocco era l'unico modo lento e scomodo per sbloccare lo schermo del telefono. Molti utenti hanno trovato scomodo inserire costantemente una password; hanno abbandonato la protezione in favore della comodità e della velocità. Il blocco ritardato è stata una risposta logica al problema sia da parte di Google che di Apple.

Attivando l'opzione corrispondente, potrai spegnere il display del telefono con un pulsante, riaccenderlo e tornare direttamente alla schermata principale. Il ritardo può essere regolato in base alle proprie preferenze. Devo dire che ritardare il blocco riduce catastroficamente il livello di sicurezza? Situazione tipica: un utente cammina per strada guardando il suo telefono. Si verifica l'arresto, l'utente preme di riflesso il pulsante di spegnimento del display. Tirano fuori il telefono, accendono lo schermo e vanno immediatamente alla schermata principale. Password, codici di blocco, bootloader bloccato, crittografia e molte altre cose non avranno più importanza.

iOS ha un'impostazione simile: Impostazioni > Touch ID e passcode > Richiedi passcode. Il suo scopo è più o meno lo stesso degli smartphone con Android, con una differenza importante: se utilizzi Touch ID o Face ID, nelle versioni moderne di iOS l'unica scelta disponibile sarà Immediato (ovvero blocca immediatamente dopo lo spegnimento dello schermo) . Ma se disabiliti la biometria, lasciando solo il codice di blocco, diventeranno disponibili altre opzioni, tra cui Mai (richiedi un codice di blocco solo dopo il primo avvio e di tanto in tanto in base alle politiche Apple in costante cambiamento). Tieni presente che alcune opzioni potrebbero non essere disponibili se sul tuo dispositivo è installata una policy di sicurezza esterna.

Blocco intelligente

Perché sono tutti così arrabbiati per la funzione Smart Lock? Il fatto è che il suo utilizzo consente di sbloccare il telefono secondo una serie di criteri che non hanno nulla a che fare con la sicurezza. Diamo un'occhiata agli esempi.

Visosbloccare. Lo sblocco facciale nella sezione Smart Lock non ha nulla a che fare con l'autenticazione biometrica. Questo è solo un confronto tra l'immagine dell'utente e una foto scattata con la fotocamera anteriore del dispositivo. Questo tipo di sblocco facciale viene facilmente ingannato da una fotografia piatta. Attenzione: alcuni telefoni dotati della funzione biometrica Face Unlock (ad esempio Xiaomi Mi 8) non avranno questa voce nelle impostazioni; in tali dispositivi, Face Unlock sarà soggetto agli stessi requisiti e regole dello sblocco tramite sensore di impronte digitali. È meglio non utilizzare lo sblocco facciale nella sezione Smart Lock.

Fidatoluoghi. Sblocca automaticamente i dispositivi nelle vicinanze dei luoghi frequentati spesso dall'utente. Se il telefono viene tirato fuori da una tasca vicino casa, un malintenzionato non avrà problemi a sbloccarlo.

Fidatodispositivi. Se è connesso un dispositivo Bluetooth attendibile, il telefono può essere sbloccato automaticamente. Credimi, la polizia non avrà difficoltà a utilizzare il tuo smartwatch o tracker per tale sblocco.

Voceincontro, SU-corporilevamento: opzioni alquanto sperimentali per consentire agli utenti di sbloccare il proprio dispositivo con un codice di blocco meno frequentemente.

Se Smart Lock è così insicuro, perché Android ce l'ha? Smart Lock è una dolorosa eredità dei tempi in cui l'inserimento di un codice o di una sequenza di blocco era l'unico modo per sbloccare il telefono. Alla stragrande maggioranza degli utenti non è piaciuto il fatto che siano stati spesi secondi preziosi per sbloccare il dispositivo (e sbloccare il telefono con i guanti era un'altra operazione); di conseguenza, molti non hanno installato alcuna protezione. Per abituare in qualche modo gli utenti all'impostazione di un codice di blocco, Google ha dovuto abbassare notevolmente l'asticella: sono apparse, ad esempio, opzioni che consentono di ritardare il blocco dello schermo di 10-15 minuti dal momento dell'ultimo sblocco. Smart Lock è della stessa opera. Non vi è alcuna ragionevole necessità né di Smart Lock né di blocco ritardato: i moderni scanner di impronte digitali funzionano un po' più velocemente di un semplice "istantaneo" e lo sblocco facciale ha raggiunto livelli abbastanza elevati di velocità e talvolta (ne parleremo più avanti) di sicurezza.

Sblocco facciale: un passo avanti, due passi indietro

Quanto è sicuro lo sblocco con il volto? Nel caso dell'iPhone tutto è chiaro; utilizzano un sistema con un livello di sicurezza tecnica sufficiente; Anche così, Face ID viene regolarmente criticato.

I produttori installano moduli di sblocco facciale negli smartphone Android, la cui sicurezza varia da "soddisfacente" a "lo stesso Smart Lock, vista laterale". Pertanto, gli smartphone Samsung dispongono di una modalità che combina l'immagine del volto con la scansione dell'iride; Non sarà possibile ingannare un sistema del genere con un modello tridimensionale della testa. Sistemi simili iniziarono ad apparire in alcuni dispositivi di punta di Huawei, Xiaomi e altri. Allo stesso tempo, numerosi dispositivi utilizzano sistemi molto più primitivi, basati su una fotografia della fotocamera frontale o su una foto bidimensionale proveniente da un sensore a infrarossi. È del tutto possibile ingannare tali sistemi, a volte molto semplice. Come giustamente notato nell'articolo “Lo sblocco facciale non è una buona idea”, l'approccio “Il mio telefono può fare tutto ciò che può fare il tuo iPhone - e costa dieci volte meno!” accadrà sempre più spesso.

Un esempio tratto dalla vita o il motivo per cui non dovresti fidarti del produttore. Negli smartphone XiaomiMi8 e Mi8 Pro Per lo sblocco facciale è stato utilizzato un sistema di doppia fotocamera e illuminazione a infrarossi. Il sistema ha funzionato abbastanza rapidamente, fornendo un livello di sicurezza soddisfacente. Nei modelli XiaomiMi9 e Mi9 pro, che sostituì l'ottava serie, un sistema di due fotocamere e illuminazione a infrarossi lasciò il posto a un unico occhio della fotocamera anteriore situato in un ritaglio in miniatura a forma di lacrima. La possibilità di sbloccare lo smartphone tramite il volto è rimasta nel firmware, ma la sua sicurezza è passata da “soddisfacente” a “da evitare a tutti i costi”. Se non sei sicuro di come sia implementato esattamente lo sblocco facciale nel tuo smartphone, disabilita questa funzione nelle impostazioni.

Spicca l’aspetto legale dello sblocco facciale. Negli Stati Uniti sono stati stabiliti numerosi precedenti per regolamentare la capacità della polizia di sbloccare i dispositivi scansionando il volto di un sospetto. Esistono numerosi precedenti positivi (è stata rilasciata l'autorizzazione allo sblocco tramite volto) e negativi (l'autorizzazione non è stata rilasciata o è stata rilasciata illegalmente), grazie ai quali sono stati stabiliti quadri giuridici abbastanza chiari, che gli agenti di polizia nella maggior parte dei casi non oltrepasseranno.

Allo stesso tempo, in Russia abbiamo più volte sentito parlare di casi in cui il telefono “accidentalmente” si è rivolto verso il detenuto, dopodiché si è “sbloccato” da solo. In questi casi è molto difficile dimostrare che il telefono è stato sbloccato in violazione delle norme legali: la polizia russa non è ancora dotata di body camera, come negli Stati Uniti.

Utilizzare o non utilizzare lo sblocco facciale è una questione aperta, e la risposta non si trova solo in campo tecnico; Sta a te decidere comunque.

Questo capitolo è dedicato principalmente ai dispositivi cinesi, nel firmware dei quali sono state scoperte (o non sono state ancora scoperte, ma ce ne sono sicuramente alcune) sorprese. Se non sei un appassionato disposto a passare ore e giorni a leggere forum e ad armeggiare con il firmware, sentiti libero di saltare questa sezione e passare direttamente al capitolo successivo.

Cosa puoi fare se hai un telefono con bootloader sbloccato o una versione cinese flashata da venditori esperti? In questo caso, ovviamente, non c'è bisogno di parlare di sicurezza seria, ma qualcosa si può ancora fare.

La prima e più semplice opzione: hai tra le mani un telefono il cui bootloader è sbloccato (ad esempio dal precedente proprietario). Spesso tali situazioni sono complicate dal fatto che sul telefono è installato un firmware personalizzato, accesso root, partizione di sistema modificata o non è del tutto chiaro cosa sta succedendo all'interno. Nella maggior parte dei casi, è possibile riportare un telefono di questo tipo allo stato di "fabbrica" ​​aggiornandolo con il firmware di fabbrica, dopodiché il bootloader può essere bloccato da fastboot con il comando oem lock. Consigliamo soprattutto di farlo con i dispositivi cinesi, sui quali i venditori esperti spesso (più spesso di quanto si possa immaginare) installano firmware con un'ampia varietà di sorprese. Se poi provi a sbloccare il bootloader con il comando oem sblocca, le chiavi crittografiche e tutti i dati verranno distrutti.

Nota: questa strategia non funzionerà con i recenti telefoni Xiaomi che sono stati aggiornati dalla versione cinese del firmware alla versione “globale” della MIUI. Se blocchi il bootloader su un dispositivo del genere, l'output sarà un "mattone", che può essere molto, molto difficile da ripristinare. Se decidi comunque di provare, crea un account Xiaomi sul tuo telefono e abilita OEM Unlock nelle impostazioni, così in seguito, se qualcosa va storto, puoi utilizzare l'utility Mi Unlock per sbloccare in modo inverso il bootloader.

Cosa succede se il bootloader non può essere bloccato (questo accade spesso su molti dispositivi cinesi)? Quindi sei sfortunato. Tuttavia, se hai comunque acquistato un dispositivo del genere, la sicurezza è probabilmente l'ultimo problema che ti interessa. In teoria, anche su tali dispositivi funzionerà la crittografia, che non consentirà la lettura dei dati proprio così. In pratica, l’hacking di tali dispositivi di solito non pone alcun problema. L'unica cosa che puoi provare a fare è impostare l'avvio sicuro; in questa modalità verrà generata la chiave di crittografia dei dati in base al codice di blocco. Un codice di blocco sufficientemente lungo aumenterà il tempo necessario per il cracking.

Cosa dovresti fare se hai acquistato un telefono che si comporta in modo strano? Se hai il minimo sospetto che ci sia malware nel firmware, ti consigliamo di andare al thread del profilo su w3bsit3-dns.com. È probabile che il problema sia noto e che nel forum siano già presenti istruzioni dettagliate su come rimuovere o bloccare il malware.

Cosa fare se il produttore non rilascia aggiornamenti e componenti dannosi sono saldamente integrati nel firmware? Naturalmente, la cosa intelligente da fare sarebbe sbarazzarsi di un dispositivo del genere, ma nel mondo reale poche persone lo fanno. Pertanto, una raccomandazione: prova a sbloccare il bootloader (peggio di così non può andare) e installa la build ufficiale di Lineage OS sul tuo telefono. Nelle build ufficiali di Lineage (a differenza, ad esempio, di Resurrection Remix) tutto va bene con privacy, crittografia e aggiornamenti via etere. A seconda della versione firmware disponibile per un particolare dispositivo, è possibile utilizzare sia la crittografia FDE che FBE; nel primo caso consigliamo di impostare l'Avvio Sicuro. Se non ci fossero build Lineage o fosse impossibile sbloccare il bootloader, non darei nemmeno un telefono del genere a un bambino.

Se ti portano via il computer

Dopo aver discusso della sicurezza dei tuoi dati su un dispositivo mobile, parliamo di come l'analisi del tuo computer può influire sulla sicurezza dei tuoi dispositivi mobili. Se un esperto ha ottenuto l'accesso al tuo computer e non utilizzi la crittografia dell'intero disco (ad esempio tramite BitLocker), avviando una semplice utility e facendo uno o due clic del mouse, tutti gli accessi e le password di tutti i tuoi account verranno recuperato. Dove? Dal database del tuo browser: Chrome, Mozilla, Edge... Stai utilizzando un gestore di password? Se il tuo sviluppo come sospetto è di qualche interesse, proveranno a trovare una password per il database di archiviazione delle password (qui, tuttavia, il risultato non è garantito).

Cosa succede quando le password vengono recuperate? A seconda dello smartphone che utilizzi, l'esperto avvierà un'altra applicazione che recupererà tutte le informazioni dal cloud di Apple, Google o, ad esempio, Samsung. (Tra parentesi: se hai uno smartphone Samsung, sai cosa è memorizzato esattamente nel cloud corrispondente, anche se non lo hai acceso consapevolmente?)

Se hai un iPhone puoi recuperare dal cloud:

• Backup
• Dati sincronizzati: contatti, note, calendari, segnalibri di Safari, ecc.
• Foto (se la libreria foto di iCloud è abilitata), incl. cancellato di recente
• Registro delle chiamate e cronologia del browser
• Alcuni dati di Maps
• Se scoprono il codice di blocco del telefono o la password del Mac, allora tutte le password "cloud" (portachiavi iCloud) e i dati sanitari (un registro delle attività quotidiane), nonché SMS e iMessage

Se hai uno smartphone Android, tieni presente: Google raccoglie molti più dati di Apple. L'elenco delle informazioni disponibili per il recupero è più lungo:

• Backup e dati delle applicazioni (a proposito, in Android questa categoria memorizzerà i registri delle chiamate, gli SMS e i token di autenticazione per le singole applicazioni)
• I backup in Android 9 e versioni successive verranno crittografati con una password di blocco schermo; Per decrittografarli avrai bisogno di questo codice di blocco. Ma per le versioni precedenti di Android non viene fornita la crittografia del backup
• Dati sincronizzati: calendari, contatti, note
• Password di Chrome (non esiste alcuna protezione aggiuntiva per loro, come in iOS)
• Una storia dettagliata del luogo negli ultimi anni. Forse questo punto sarà il primo a cui prestare attenzione.
• Browser e cronologia delle ricerche. Deve essere studiato.
• Posta Gmail, che può essere utilizzata, ad esempio, per reimpostare le password di altri account

La ricerca nel cloud di Google spesso dà risultati più interessanti che anche l'analisi dello smartphone stesso, perché... I dati vengono raccolti non solo da un telefono specifico, ma anche da tutti gli altri dispositivi (inclusi i computer) in cui l'utente ha effettuato l'accesso al proprio account Google.

Se hai un telefono Samsung, oltre al cloud di Google puoi ottenere qualcos'altro dal cloud di Samsung. Comprendiamo che per molti lettori la presenza del servizio "cloud" di Samsung sarà una sorpresa, e il fatto che risulterà memorizzare alcuni dati (e l'utente è riuscito ad essere d'accordo con questo ad un certo punto) potrebbe essere molto sorprendente . Nel cloud Samsung puoi trovare:

• Backup (è interessante notare che Samsung memorizza non solo i dati delle applicazioni, ma anche gli APK nel cloud)
• Foto (a meno che l'utente non abbia fatto uno sforzo consapevole per disabilitare la sincronizzazione delle foto sul cloud)
• Dati sanitari Samsung
• Backup di orologi e tracker Samsung

Gli utenti degli smartphone Xiaomi (così come di altri dispositivi che eseguono MIUI) hanno la possibilità di sincronizzare i propri dispositivi con Mi Cloud (se lo smartphone è una versione “globale”, le informazioni vengono salvate oltre a quelle salvate nell'account Google) . Nel Mi Cloud puoi trovare quanto segue:

• Backup. Qui è piuttosto scarso: l'APK e le impostazioni del telefono vengono salvati, ma i dati dell'applicazione non vengono salvati.
• Contatti, SMS
• Foto se l'utente ha abilitato la sincronizzazione

Come proteggersi dagli attacchi cloud? I consigli di sicurezza più comuni che vagano da un articolo all’altro si rivelano anche i più inutili. Puoi scegliere una password lunga e complessa, ma il recupero anche della password più lunga dalla memoria integrata di Chrome richiederà gli stessi millisecondi del recupero di una password molto breve. È possibile abilitare l'autenticazione a due fattori, ma può essere facilmente aggirata se un esperto rimuove la scheda SIM dal telefono e la utilizza per ottenere un codice monouso o accede al computer da cui l'utente ha effettuato l'accesso all'account. Inoltre, se il browser web è autorizzato nell'account Google, i cookie contenenti token di autenticazione possono essere recuperati dalla cache: in questo caso non è necessario alcun codice monouso, nessuna password o nemmeno il login. Ciò non significa che l'autenticazione a due fattori sia inutile: è piuttosto efficace contro i tentativi di hacking remoto. È semplicemente impossibile fare affidamento solo su queste misure nel caso del lavoro di esperti competenti.

La protezione multistrato può aiutare.

Innanzitutto, assicurati la sicurezza fisica del tuo computer abilitando la crittografia dell'unità di sistema tramite BitLocker. (A proposito, assicurati che la chiave di crittografia della chiave di ripristino di BitLocker non sia salvata in Active Directory e non sia "trapelata" nel cloud di OneDrive, puoi verificare).

Se vivi in ​​Russia, non sarai in grado di crittografare semplicemente l'unità di sistema. Per abilitare la crittografia, è necessaria almeno un'edizione professionale di Windows e la presenza di un modulo di avvio attendibile hardware TPM 2.0. È nel modulo hardware che deve essere archiviata la chiave di crittografia stessa, con la quale verrà crittografata la partizione. I moduli TPM 2.0 non hanno ricevuto la certificazione FSB; Di conseguenza, tutti i computer venduti nella Federazione Russa non dovrebbero includere questo modulo per impostazione predefinita, anche se è fisicamente saldato alla scheda madre. Opzioni? Se è possibile attivare TPM 2.0 nelle impostazioni del BIOS, farlo e abilitare BitLocker. Se ciò non è possibile, puoi abilitare la crittografia della partizione di sistema utilizzando BitLocker senza modulo hardware. Puoi farlo manualmente modificando i criteri di gruppo di Windows. Dettagli: segui il collegamento.

Il livello successivo di protezione sono le password per gli account cloud. Per i servizi cloud di Google, Apple, Samsung, Xiaomi, utilizzano password univoche che non corrispondono nemmeno parzialmente tra loro, e non sono simili a tutte quelle memorizzate nella memoria del browser. Avvia i tuoi browser preferiti, meno preferiti e meno preferiti e assicurati che la loro memoria non contenga dati degli account sopra elencati. Se utilizzi Chrome, esci dal tuo account Google. Svuota la cache e i cookie del browser, quindi chiudi tutte le finestre. Ecco fatto, per qualche tempo (finché non accedi nuovamente al tuo account Google) sei protetto dal vettore di attacco “cloud”.

L'utilizzo di un sistema di questo tipo avrà un impatto minimo sulla facilità d'uso quotidiano, ma migliorerà significativamente la sicurezza.

Analisi informatica: aspetti giuridici

Quanto sono reali i rischi associati all'analisi computerizzata? Secondo le informazioni fornite dalla polizia stessa, gli esami informatici vengono effettuati raramente. Di norma, la polizia incontra i seguenti ostacoli:

• Ostacoli di natura giuridica: la delibera esistente consente la ricerca e l'analisi delle prove che il detenuto aveva su di sé (ma non dà il permesso di perquisire l'appartamento).
• Limiti temporali: il lavoro dell’esperto è in corso. Nei casi di routine, un esperto non ha un mese, una settimana o addirittura qualche giorno per analizzare in dettaglio tutte le prove disponibili.
• La password di BitLocker è estremamente complessa. Gli attacchi frontali sono destinati a fallire se la polizia non riesce ad estrarre una chiave di crittografia già pronta utilizzando, ad esempio, un attacco FireWire.
• Esame superficiale: in base a tempistiche rigorose, il contenuto del disco rigido viene scansionato alla ricerca di file molto specifici (materiale fotografico e video, corrispondenza, database di messaggistica).
• Anche se viene effettuata un'analisi completa, molto spesso le password necessarie non vengono trovate nella cache del browser.
• Anche se sono disponibili le password necessarie, la “nuvola” del sospettato non dispone di copie di backup o di copie di backup sufficientemente recenti. Anche per iOS, questa è una situazione tipica: se lasci tutte le impostazioni “per impostazione predefinita”, i magri 5 GB di spazio libero nel “cloud” verranno riempiti con foto sincronizzate nel più breve tempo possibile. Non ci sarà più spazio per le copie di backup. Ma per gli utenti Android resterà così: sia i backup che le foto in qualità “standard” non vengono presi in considerazione nella quota già piuttosto generosa di 15 GB.

Conclusione

In questo articolo, abbiamo esaminato in dettaglio i rischi e le impostazioni di sicurezza che vanno ben oltre i consigli standard di “impostare un codice di blocco” e “abilitare l’autenticazione a due fattori”. Ci auguriamo che la comprensione dei rischi associati a determinate azioni e impostazioni ti aiuti a valutare adeguatamente il grado di sicurezza dei tuoi dati e, forse, a rafforzare i punti deboli senza notevoli inconvenienti nel tuo lavoro.