Старший брат следит за тобой. Как защитить себя в цифровом мире

TrustZone

TrustZone – это изолированная защищенная среда. Благодаря TrustZone, реализующей на устройствах принцип двух «миров» – Secure World и Normal World, на смартфонах и планшетах запускаются сразу две операционные системы: безопасная TEE (Trusted Execution Environment) OS (Secure World) и расширенная Rich OS (Normal World)[909]. Эти операционные системы и приложения в них функционируют независимо друг от друга. Сначала загружается TEE OS, в которой запускаются специальные доверенные приложения, трастлеты, и хранятся особенно важные данные, такие как биометрические отпечатки и ключи шифрования, а затем загружается так называемая гостевая система, Rich OS, например iOS или Android. Несмотря на сложность реализации TrustZone, атаки на TEE OS вероятны: это может привести к перехвату управления устройством и несанкционированному доступу к приватной информации[910],[911],[912].

Если скопировать данные из памяти телефона, то расшифровать их без ключа из TrustZone не удастся. Злоумышленнику потребуется или взломать TEE OS, или подменить загрузчик, о чем речь шла выше. Для рядового преступника это крайне сложная операция, но такие организации, как, к примеру, компания Cellebrite, имеют инструменты для взлома целого ряда моделей мобильных устройств, а иногда – и целых семейств моделей с одинаковым набором системной логики. Комплексы компании Cellebrite используются спецслужбами и компаниями по всему миру, в том числе и в России[913].

Можно устранить уязвимость в виде неизменной фразы «default_password» и тем самым усложнить вероятность доступа к данным, если включить режим безопасного запуска (Secure Startup). В этом случае вместо «default_password» будет использоваться код блокировки, который вводит пользователь. Для владельца смартфона недостаток метода состоит в том, что смартфон до своей полной загрузки будет запрашивать код блокировки, т. е. если устройство случайно перезагрузится, то не сможет принимать/совершать вызовы, отправлять сообщения и т. п., пока пользователь не введет код блокировки.

Недостатки алгоритма FDE с режимом безопасного запуска устранены в пофайловой схеме шифрования (FBE). Устройства с поддержкой FBE используют код блокировки для шифрования большей части информации, в том числе всех персональных данных. При этом файлы, необходимые для загрузки устройства, шифруются с помощью только аппаратного ключа, поэтому режим безопасного запуска при использовании FBE не нужен. Для расшифровки данных с устройств с FDE в режиме безопасного запуска и FBE злоумышленник может попытаться взломать код блокировки методом перебора. Но для защиты от подобных атак скорость перебора паролей ограничивается на аппаратном уровне; быстро перебрать даже код из 4 цифр не получится, а 6 цифр можно перебирать до бесконечности. Но здесь играет роль другой фактор: подавляющее большинство пользователей устройств с FDE не знают о существовании режима безопасного запуска и/или не используют его (хотя бы потому, что это неудобно), поэтому злоумышленникам не понадобится взламывать код блокировки и они смогут расшифровать содержимое устройства с помощью стороннего загрузчика[914].