Vad är GrayKey? Ett verktyg som bryter mot iPhone-kryptering och lösenord

Kryptering är en välsignelse för alla som använder en digital enhet. Internet skulle vara en farlig plats utan kryptering 5 Vanliga krypteringstyper och varför du inte borde skapa egna 5 gemensamma krypteringstyper och varför du inte ska göra din egen Är det en bra idé att rulla din egen krypteringsalgoritm? Någonsin undrar vilka typer av kryptering som är vanligast? Låt oss ta reda på. Läs mer, liksom Wi-Fi-åtkomstpunkter och lösenordsskyddade enheter som iPhones.

IPhone är dock inte längre den säkerhet som det en gång var. Amerikanska brottsbekämpande myndigheter använder ett billigt verktyg för att kringgå iPhone-kryptering, vilket drastiskt minskar integriteten och skadar säkerheten.

Här är en djupare titt på det nya GrayKey-verktyget, vad det gör, varför det är farligt, och varför Apple är orolig för det.

Apple vs FBI

Innan vi granskar GrayKey, en liten bakgrundskontext för iPhone-kryptering och försöker att knäcka den.

Kom ihåg San Bernardino iPhone? Efter en terroristattack i San Bernardino tog FBI Apple till domstol. FBI ville att Apple skulle skapa en krypterings bakdörr som skulle låta dem skjuta iPhone-säkerheten för en av de avlidne terroristerna. Naturligtvis vägrade Apple att korrekt säga att när en bakdörr skapades skulle den aldrig bli stängd Varför vi aldrig borde låta regeringen bryta kryptering Varför vi aldrig borde låta regeringen bryta kryptering Att leva med terrorist innebär att vi möter regelbundna uppmaningar till en riktigt löjlig uppfattning : skapa regerings tillgängliga krypterings bakdörrar. Men det är inte praktiskt. Därför är kryptering avgörande för det dagliga livet. Läs mer .

Det israeliska säkerhetsföretaget Cellebrite hittade slutligen ett sätt genom Apples säkerhetsmekanismer med hjälp av en tidigare okänd sårbarhet. Och det fanns inget anmärkning på telefonen. Observera också att Cellebrite-tjänsten vid den tiden kostade 5 000 dollar per enhet och telefonen var tvungen att skickas till sin säkra anläggning.

Blixt fram till 2017. Ett företag som kallas Grayshift visas på marknaden och säljer sin nya produkt: GrayKey. Syftet med GrayKey var oklart tills Thomas Fox-Brewster avslöjade enheten i en Forbes Exclusive, inklusive flera bilder samt en översikt över exakt vad GrayKey iPhone unlocker gör.

GrayKey iPhone Unlocker

Här är vad som är känt om GrayKey iPhone Unlocker hittills.

GrayKey-enheten är en liten, grå låda som mäter fyra inches djupt med två inches lång. Lådan levereras med två Lightning-kablar som sticker ut framsidan för att ansluta två iPhones åt gången.

En iPhone ansluter till GrayKey-enheten i ungefär två minuter, varefter de är frånkopplade men ännu inte knäckta. Den faktiska sprickningstiden varierar beroende på lösenordsstyrkan.

En enkel lösenord tar ungefär två timmar att spricka via brute-force, medan svårare lösenord (sex siffror) kan ta tre dagar eller längre. GrayKey-dokumentationen, som även ses av Malwarebytes, nämner inte sprickningstider för längre kombinationer.

När sprickan hittar enhetens lösenord, kommer telefonen att visa en svart skärm som visar koden med annan enhetsinformation. (Tips för att skapa ett starkt och minnesvärt lösenord. Hur man skapar ett starkt lösenord som du inte kommer att glömma Hur man skapar ett starkt lösenord som du inte kommer att glömma Vet du hur man skapar och kommer ihåg ett bra lösenord? Här är några tips och tricks för att behålla starka, separata lösenord för alla dina online-konton. Läs mer)

GrayKey överför hela iPhone

Upplåsningen visar enhetens lösenord, men det hämtar också hela iPhone-filsystemet till GrayKey-enheten. GrayKey ansluter sedan till ett webbaserat gränssnitt där det är tillgängligt för analys.

Bilden nedan visar resultatet av en knäckt iPhone X. Notera “Hittade lösenord,” den allra senaste “Mjukvaru-version,” och den “iTunes Backup” och “Full filsystem” tillgänglig för nedladdning (inklusive deras SHA256 hash).

GrayKey kostar mycket pengar

GrayKey iPhone Unlocker har två olika versioner.

Den första modellen kostar 15 000 dollar och kräver internetanslutning till jobbet. Därigenom är enheten inbyggd i sitt ursprungliga installationsnät för att säkerställa att GrayKey inte enkelt överförs. Andra rapporter hävdar att den uthålliga Internet-anslutningsmodellen tillåter att endast 300 låser upp och utgår till $ 50 per iPhone.

Den andra modellen kostar $ 30.000 och fungerar offline, utan någon tydlig gräns för antalet användningar av GrayKey-enheten. Enheten kommer förmodligen att fungera tills Apple slutligen räknar ut sårbarheten och lappar den.

Vilka brottsbekämpande organ har en GrayKey?

Medan dessa utan tvekan stora summor pengar kommer budgetmyndighetens budgetar enkelt (eller mirakulöst, beroende på byrået) att sträcka sig för ett verktyg som skapar en helt ny aveny av information. Särskilt en tidigare ouppnåelig för många byråer, åtminstone i sådan en uppenbar lätt kapacitet.

En pågående moderkortundersökning fann att flera olika byråtyper redan hade köpt en GrayKey:

• Lokal polis: Miami-Dade County Police visade att de kanske hade köpt en GrayKey-enhet.
• Regional polis: Maryland State Police och Indiana State Police har utfärdat inköpsformulär för GrayKey-enheter.
• Stadspolisen: Dokument tyder också på att den politiska avdelningen i Indianapolis fick ett citat från Grayshift om GrayKey-enheter.
• Hemlig service: E-postmeddelanden visar att byråer planerar att köpa sex GrayKey-enheter.
• Utrikesdepartementet: Utrikesdepartementets presidium för diplomatisk säkerhet köpte ett pris på 15 000 dollar från Grayshift i mars 2018 enligt offentlig upphandling.
• DEA: Narkotikahanteringsverket utfärdat ett dokument Källor som sökes för en offline GrayKey-enhet.
• FBI: Online offentlig upphandling rekord visar att FBI letar efter att köpa sex GrayKey-enheter.

Om Grayshifts GrayKey fortsätter att tillhandahålla myndigheter med tidigare obestridliga iPhone-data, kommer du sannolikt att se fler agenturupphandlingsformulär också.

IRS är nu en GrayShift-kund - $ 15k inköp av iPhone-hackerens kit https://t.co/lWDLQscSHY

- Thomas Fox-Brewster (@iblametom) 23 juni 2018

Vad gör Apple för att stoppa GrayKey?

Som du kan tänka dig är Apple inte bäst nöjd med att iPhone: s säkerhet är så allmänt bryts. Och inte bara gamla iPhone-vi pratar överst i intervallet enheter som kör några av de senaste versionerna av iOS. Apple kommer inte att sitta och vänta på Grayshift för att hålla sårbarheten öppen.

Istället finns det i den nuvarande iOS 12 offentliga betaen en ny funktion som drastiskt begränsar åtkomsten till Lightning-porten på en låst iPhone. (Fler funktioner som kommer till din iPhone med iOS 12! Vad är nytt i iOS 12? 9 Ändringar och funktioner för att kolla vad som är nytt i iOS 12? 9 Ändringar och funktioner för att checka ut IOS 12 har kommit fram. Läs om de spännande nya funktionerna som är tillgängliga nu på en iPhone eller iPad nära dig. Läs mer)

“Vi ständigt stärker säkerhetsskyddet i alla Apple-produkter för att hjälpa kunder att försvara sig mot hackare, identitetstjuvar och intrång i deras personuppgifter,” en talesman från Apple berättade för reuters. “Vi har största respekt för brottsbekämpning, och vi utformar inte våra säkerhetsförbättringar för att frustrera sina ansträngningar för att göra sina jobb.”

IOS 12 kommer att göra det svårt att göra Lightning port brute-force attacker värdelös genom att inaktivera åtkomst via den rutten efter bara en timme. Det nya USB-begränsade läget stoppar all datakommunikation från en nyansluten enhet efter den 60-minutersperioden, vilket gör att GrayKey är värdelös. De nuvarande inställningarna för USB-begränsat läge har en tidsgräns på en vecka, vilket ger myndigheterna en lång period för att förhoppningsvis tvinga lösenordet.

Hur kan du skydda dig mot GrayKey?

Med tanke på den inkommande uppdateringen till iOS 12 och införandet av begränsningar till USB-begränsat läge finns det bara en sak du kan göra just nu: uppdatera dina lösenord. Du bör alltid använda minst åtta siffror för att hålla telefonen säker. Alternativt, för att verkligen ta bort din iPhone-säkerhet, byt till en längre lösenordsfras.

IOS stöder anpassade numeriska och anpassade alfanumeriska koder med vilken längd som helst. Ett lösenord använder flera ord för att skapa mycket starkare lås Varför passfraser är ännu bättre än lösenord och fingeravtryck Varför passfraser är ännu bättre än lösenord och fingeravtryck Kom ihåg när lösenord inte behövde vara komplicerat? När PIN-kod var lätt att komma ihåg? De dagarna är borta, och riskerna för cyberkriminalitet betyder att fingeravtrycksscannrar är bredvid värdelösa. Det är dags att börja använda lösenord ... Läs mer än din vanliga PIN-kod eller lösenord. Kolla in den extremt relevanta XKCD-serien för mer information:

Det pågående gråområdet av GrayKey

Just nu håller brottsbekämpande myndigheter korten. På ett visst sätt, åtminstone. En iPhone med dålig säkerhet är sårbar. Dock kan den här situationen inte vara länge, om inte Grayshift fortsätter att hitta sårbarheter och lösningar för Apples iPhone-säkerhetsfläckar. Dessutom är GrayKey inte ovanligt.

IP-boxen var en liknande enhet som kunde få tillgång till informationen om låsta iPhones som kör äldre iOS-versioner. Funktionen upphörde med uppdateringen av iOS 8.2, men gav upphov till IP-Box 2. IP-Box 2 är fortfarande allmänt tillgänglig men kräver kunskap om hur man tar bort integrerade kretschips för att placera i enheten.

Det finns också andra konsekvenser. Är iPhone permanent sårbar efter att lösenordsprickningen är klar? Kan iPhone-ägaren använda telefonen som vanligt igen, eller kommer den att behöva bytas ut?

Och slutligen, hur ska myndigheterna bestämma när de ska använda sin GrayKey-enhet? Jag menar, finns det ett definierat protokoll som reglerar enhetslösenbrytning med hjälp av ett tredjepartsverktyg? Behöver de en affidavit, rimlig misstanke, och så vidare?

De pågående konsekvenserna och debatten kring iPhone-lösenordssprickning med hjälp av en GrayKey-enhet fortsätter. Jag är säker på att majoriteten av läsarna förväntar sig att brottsbekämpning ska göra så mycket som möjligt för att skydda offer. Om lösenordsprickning blir en grundläggande princip för medborgerlig säkerhet, litar du på myndigheterna att utöva den kraften vid rätt tidpunkt?

Och skulle du bara öka krypteringsgraden på din enhet? 7 Anledningar till varför du borde kryptera din Smartphone-data 7 Anledningar till varför du ska kryptera din Smartphone-data Krypterar du din enhet? Alla stora smartphones operativsystem erbjuder kryptering av enhet, men ska du använda den? Det är därför smarttelefonkryptering är värt, och påverkar inte hur du använder din smartphone. Läs mer för att motverka deras ansträngningar?

Utforska mer om: Kryptering, iPhone, Smartphone Security.