Digitālā bunkura būvniecība pret slēptu bezklikšķa spiegprogrammatūru

Kad bija pēdējā reize, kad jutāties patiesi drošs, ka jūsu tālrunis klausās tikai jūs? Pašreizējā apdraudējumu vidē tradicionālais padoms "neklikšķiniet uz aizdomīgām saitēm" šķiet gandrīz dīvains, līdzīgi kā ieteikums izvairīties no lietus, stāvot zem vienas lapas viesuļvētras laikā. Mēs esam iegājuši bezklikšķa (zero-click) ekspluatācijas laikmetā, kur sarežģīta spiegprogrammatūra var kompromitēt ierīci bez jebkādas lietotāja mijiedarbības.

Kā cilvēks, kurš gadiem ilgi ir sazinājies ar avotiem pa šifrētiem kanāliem un analizējis APT (Advanced Persistent Threat) kampaņu paliekas, esmu redzējis, kā ir nācies attīstīties mobilo ierīču drošības arhitektūras līmenim. Uzbrucēji — bieži vien valsts atbalstītas vienības vai privātas izlūkošanas firmas — uztver jūsu viedtālruņa operētājsistēmu kā atrisināmu mīklu. Lai saglabātu drošību, mums jāpārtrauc domāt par drošību kā par vienu slēdzeni pie durvīm un jāsāk to uztvert kā virkni izturīgu, savstarpēji saistītu aizsardzības mehānismu.

Klusās kompromitēšanas arhitektūra

Lai saprastu aizsardzību, mums vispirms jānovērtē uzbrukuma virsma. Tradicionālajai ļaunprogrammatūrai bija nepieciešams piegādes mehānisms, parasti pikšķerēšanas e-pasts vai ļaunprātīga tīmekļa vietne. Tomēr bezklikšķa spiegprogrammatūra, piemēram, Pegasus vai Predator, mērķē uz tiem pakalpojumiem, kas padara mūsu tālruņus "viedus". Šie uzbrukumi bieži izmanto ievainojamības tajā, kā tālrunis apstrādā datus — īsziņu, neatbildētu WhatsApp zvanu vai pat kalendāra uzaicinājumu.

No tehniskā viedokļa šie ekspluati parasti ir vērsti uz multivides parsēšanas bibliotēkām vai Just-In-Time (JIT) kompilatoriem, ko izmanto pārlūkprogrammās un ziņapmaiņas lietotnēs. Kad jūsu tālrunis saņem īpaši izstrādātu failu, sistēma mēģina izveidot priekšskatījumu. Ja šajā renderēšanas procesā ir atmiņas korupcijas kļūda, uzbrucējs iegūst iespēju izpildīt kodu. Proaktīvi runājot, nozare virzās uz šo procesu izolēšanu (sandboxing), taču mūsdienu koda sarežģītība nozīmē, ka kļūdas ir neizbēgamas.

Iedomājieties savu tālruni kā augstas drošības objektu, kur katru piegādāto sūtījumu atver robots dzelzsbetona telpā. Bezklikšķa ekspluats ir kā sūtījums, kurā ir ķīmiska gāze, kas var izsūkties cauri robota blīvēm un sasniegt galveno ventilācijas sistēmu. Attiecīgi mūsdienu mobilo funkciju mērķis ir nostiprināt šo telpu vai, dažos gadījumos, vispār pārtraukt sūtījumu pieņemšanu.

Perimetra nostiprināšana ar Lockdown Mode

Tiem, kuriem ir lielāks risks tikt mērķētiem — žurnālistiem, aktīvistiem vai uzņēmumu vadītājiem — Apple ieviesa funkciju, kas kalpo kā radikāls pretpasākums: Lockdown Mode (Bloķēšanas režīms). Tas nav iestatījums parastam lietotājam, taču tā ir visspēcīgākā aizsardzība, kas pašlaik pieejama patērētāju ierīcēs.

Ieslēdzot Lockdown Mode, jūs pēc būtības samazināt sava iPhone uzbrukuma virsmu līdz absolūtajam minimumam. Tas atspējo sarežģītas tīmekļa tehnoloģijas, piemēram, JIT kompilāciju pārlūkprogrammā Safari, bloķē lielāko daļu ziņojumu pielikumu, izņemot attēlus, un neļauj ierīcei izveidot savienojumu ar vadu piederumiem, kad tā ir bloķēta. No galalietotāja viedokļa tīmeklis var šķist nedaudz lēnāks un dažas funkcijas nedarbosies, taču drošības ieguvums ir ievērojams.

Pēc konstrukcijas Lockdown Mode pret katru ienākošo datu paketi izturas ar īpašu piesardzību. Tas ir digitālais ekvivalents VIP kluba apsargam pie katrām iekšējām durvīm, kurš pārbauda apliecības pat tad, ja jau esat iegājis ēkā. Tas slēdz tieši tos ceļus, uz kuriem paļaujas bezklikšķa ekspluati, lai iegūtu pamatu sistēmas kodolā.

Virzība uz postkvantu aizsardzību ziņapmaiņā

Viena no slēptākajām kompromitēšanas metodēm notiek šifrētās ziņapmaiņas lietotnēs. Lai gan galiekārtu šifrēšana (E2EE) aizsargā jūsu ziņojumu konfidencialitāti no pakalpojumu sniedzējiem, tā ne vienmēr aizsargā pašu ierīci, ja lietotnes parsēšanas dzinējs ir kompromitēts.

Apple nesenā PQ3 protokola ieviešana pakalpojumam iMessage atspoguļo sistēmisku maiņu tajā, kā mēs domājam par ilgtermiņa datu integritāti. PQ3 ir postkvantu kriptogrāfijas protokols, kas izstrādāts, lai būtu izturīgs pret nākotnes datoriem, kas spēs uzlauzt pašreizējos šifrēšanas standartus. Taču šodienas apdraudējumiem vēl svarīgāk ir tas, ka tas ietver mehānismu biežai atslēgu nomaiņai (re-keying).

Gadījumā, ja notiek ielaušanās un viena atslēga tiek kompromitēta, sistēma automātiski pāriet uz jaunu atslēgu, ierobežojot datu apjomu, ko uzbrucējs var atšifrēt. Šī granulētā pieeja nodrošina, ka pat tad, ja slēptam iebrucējam izdodas pārtvert daļu no jūsu saziņas, viņš nevar saglabāt piekļuvi bezgalīgi. Tiem no mums, kuri paļaujas uz Signal avotu aizsardzībai, mēs redzam līdzīgu filozofiju: metadatu minimizēšana un nodrošināšana, ka atslēgas tiek apstrādātas decentralizēti, prom no servera sasniedzamības.

Android daudzslāņu aizsardzība un Private Space

Android pusē aizsardzības stratēģija bieži vien ir vairāk saistīta ar izolāciju un specializētas aparatūras izmantošanu. Google "Advanced Protection Program" ir kritiski svarīgs rīku kopums augsta riska lietotājiem, kas pieprasa fizisku drošības atslēgu izmantošanu pieteikšanās procesā un nodrošina padziļinātu ienākošo failu skenēšanu.

Līdz ar Android 15 izlaišanu, "Private Space" (Privātā telpa) ieviešana piedāvā jaunu veidu, kā izolēt jutīgas lietojumprogrammas. Iedomājieties neplīstošu digitālo seifu jūsu tālrunī. Lietotnes, kas ievietotas Private Space, ir paslēptas no pārējās sistēmas, tām ir savi atsevišķi paziņojumi, un tās tiek apturētas, kad seifs ir aizslēgts.

Raugoties uz apdraudējumu ainavu, šīs funkcijas darbojas kopā, lai izveidotu padziļinātas aizsardzības stratēģiju. Lai gan neviena funkcija nav "burvju nūjiņa", tās kopā palielina izmaksas uzbrucējam. Katra barjera, ko mēs uzstādām, liek ļaundarim izmantot dārgāku un retāku nulles dienas (zero-day) ievainojamību, lai tiktu cauri.

Periodiskas restartēšanas spēks

Viens no visvairāk nenovērtētajiem pretpasākumiem pret mūsdienu spiegprogrammatūru ir vienkārša ierīces restartēšana. Daudzi sarežģīti spiegprogrammatūras rīki nav pastāvīgi (non-persistent). Tā kā pastāvīguma sasniegšanai (izdzīvošanai pēc restartēšanas) ir nepieciešama sāknēšanas ķēdes ekspluatācija — ko spēcīgi aizsargā aparatūras nodrošināti drošie anklāvi — daudzi uzbrucēji izvēlas saglabāt savu ļaunprogrammatūru ierīces operatīvajā atmiņā (RAM).

Līdz ar to, restartējot tālruni, jūs efektīvi izskalojat "digitālo drudzi" no sistēmas. Savā praksē es iesaku katru dienu restartēt ierīci ikvienam, kurš strādā ar jutīgu informāciju. Tas ir mazprasīgs, bet augstas ietekmes ieradums, kas var pārtraukt slēptu infekciju, pirms tai ir iespēja eksfiltrēt ievērojamu datu apjomu.

Turklāt gan iOS, gan Android ir uzlabojuši savu tiesu medicīnisko redzamību. Tādas funkcijas kā Safety Check operētājsistēmā iOS ļauj lietotājiem ātri revidēt, kam ir piekļuve viņu atrašanās vietai un lietotņu datiem. Regulāra uzbrukuma virsmas novērtēšana, pārskatot, kurām lietotnēm ir mikrofona vai kameras atļaujas, ir būtiska veselīgas drošības pozīcijas sastāvdaļa.

Praktiski soļi jūsu mobilās drošības auditam

Papildus atjauninājumu instalēšanai, kam vienmēr jābūt prioritātei, ir vairāki manuāli soļi, kas jums jāveic, lai nodrošinātu ierīces izturību. Mēs bieži aizmirstam, ka mēs esam cilvēka ugunsmūris, un mūsu konfigurācijas izvēles ir tikpat svarīgas kā inženieru rakstītais kods Cupertino vai Mountain View.

Pirmkārt, auditējiet savas ziņapmaiņas lietotnes. Atspējojiet automātisko saišu un pielikumu priekšskatījumu, ja lietotne to atļauj. Tas neļauj tālrunim automātiski parsēt potenciāli ļaunprātīgus datus brīdī, kad pienāk ziņojums.

Otrkārt, izmantojiet aparatūras nodrošināto drošību, kas jau ir jūsu kabatā. Izmantojiet fizisku drošības atslēgu (piemēram, YubiKey) saviem galvenajiem Google vai Apple ID kontiem. Tas uzbrucējam padara eksponenciāli grūtāku neautorizētu piekļuvi jūsu mākoņa dublējumkopijām, kur bieži glabājas jūsu ziņojumu kopijas.

Treškārt, esiet piesardzīgi pret "ēnu IT" (Shadow IT) savā personīgajā ierīcē. Mēs bieži lejupielādējam trešo pušu tastatūras vai utilītprogrammas, neapsverot to piekļuvi datiem. Tās var būt ekspluatējami vārti uz jūsu jutīgāko saziņu. Pieturieties pie būtiskākā un izdzēsiet visu, ko neesat lietojis pēdējo trīsdesmit dienu laikā.

Drošības pozīcijas stiprināšana

Kiberdrošības pasaulē mēs bieži sakām, ka aizstāvjiem ir jābūt taisnība katru reizi, savukārt uzbrucējam ir jābūt taisnība tikai vienu reizi. Šī asimetriskā realitāte var būt biedējoša. Tomēr, izmantojot specializētās funkcijas, kas iebūvētas mūsdienu viedtālruņos, mēs mainām izredzes sev par labu.

Mums ir jāatkāpjas no reaktīva domāšanas veida un jāvirzās uz proaktīvu. Drošība nav stāvoklis, ko jūs sasniedzat; tas ir nepārtraukts pilnveidošanās process. Neatkarīgi no tā, vai tā ir Lockdown Mode iespējošana pirms ceļojuma uz augsta riska zonu vai vienkārši stingru MFA prasību ieviešana jūsu kontiem, katram solim ir nozīme.

Jūsu tūlītējais aicinājums uz rīcību ir šāds: dodieties uz sava tālruņa iestatījumiem tieši tagad un veiciet privātuma auditu. Pārskatiet savu atrašanās vietas kopīgošanu, pārbaudiet, kurām lietotnēm ir piekļuve jūsu vietējam tīklam, un, ja strādājat augsta riska profesijā, nopietni apsveriet, vai Lockdown Mode nevajadzētu būt daļai no jūsu ikdienas digitālajām bruņām. Negaidiet pārkāpumu, lai saprastu, ka jūsu perimetrs bija caurlaidīgs.

Avoti:

• NIST Special Publication 800-213: IoT Device Cybersecurity Guidance
• MITRE ATT&CK Framework: Mobile Matrix (T1511 - Universal Cross-Site Scripting)
• Citizen Lab: Research on Zero-Click Exploits and Pegasus Spyware
• Apple Security Engineering and Architecture (SEAR) Documentation
• Google Android Security Bulletins and Advanced Protection Program Specifications

Atruna: Šis raksts ir paredzēts tikai informatīviem un izglītojošiem nolūkiem. Tas sniedz vispārīgus norādījumus par drošības funkcijām un neaizstāj profesionālu kiberdrošības auditu, tiesu medicīnisko analīzi vai īpašu incidentu reaģēšanas pakalpojumu. Drošības konfigurācijas jāpielāgo individuālajiem riska profiliem.