Little PIN, little PIN, let me in! 2015-05

Android

iOS

Brute force

GMail auth

OSX/iTunes

Recovery mode

• Tentativi limitati

• rischio di blocco "irrevocabile"

• Con Jailbreak

• Elcomsoft iOS Forensic Toolkit, TransLock

• Senza Jailbreak

• iPhone 3GS e 4, iPad1, iPod Touch 3G e 4G

• Avvio in recovery mode e passaggio alla modalità DFU (Device Firmware Upgrade)

• è possibile, senza alterare il firmware, caricare ed eseguire un agente software che esegue il brute force senza limitazioni

• in circa venti minuti si esauriscono le possibilità per un comune PIN a 4 cifre

• IP Box: con e senza jailbreak

adb over USB

Information leak

• Se debug attivo!

• Con privilegi di root:

• adb shell su

• adb backup -apk -all -f nomefile.ab

• adb push di tool e agent (inclusi unlock)

• adb forward

• adb shell screenrecord

• p2p-adb

• il juice jacking evoluto ;-)

• Se il telefono è spento o se non c'è altro da fare che spegnerlo

• Dipendente dal costruttore!

• Le recovery di default sono minimali e non prevedono privilegi di root

• Possono però essere "aggiornate" da SD o tramite adb sideload

• Le patch così applicate possono essere temporanee

• Le recovery partition custom sono invece più potenti, ma richiedono cautela

• Alto rischio brick...

• Necessità di procedura collaudata

• Avvio indipendente dal sistema operativo residente, con privilegi di root e senza PIN

Siri

• lettura contatti

• sms in entrata

• mail in entrata

iTunes/Xcode services

• camera reel, video, recording

• podcast, books, iTunes media

• dati applicativi dei software di terze parti

• Dopo N tentativi di inserimento del PIN falliti, il device potrebbe richiedere autenticazione con account Google

• anche a telefono offline!

• password catturabile da altre fonti

• modificabile d'autorità?

• cellulare online!

• connessione wifi filtrata

• autenticazione a 2 fattori?

• Installazione app da remoto

• cellulare online!

• connessione wifi filtrata

• installazione da Google Play di Screen Lock Bypass

• app che sfrutta il metodo disableKeyguard() dell'API di KeyguardManager

• Se si dispone di un sistema OSX o Windows accoppiato al device

• Backup in chiaro da analizzare

• Backup cifrati da forzare senza limiti

• Crack del Keychan

• iCloud e token degli applicativi

• Certificati di lockdown!

• iOS 8 cambia qualche regola...

• Accoppiamento preventivo?

(juice jacking)

• Accesso ad iCloud?

• con iCloud Control Panel loggato, Elcomsoft Phone Password Breaker

• Autenticazione a due fattori?

• Supporto diretto da Apple?

adb over USB

Avvio in Recovery Mode

Flash recovery partition

• Se debug attivo!

• Senza privilegi di root:

• AntiGuard (adb install e unlock da adb shell)

• escalation a root :-)

• privilegi temporanei (fino al reboot)

• AFPhysical/NowSecure Forensics, Cellebrite UFED

• push dei tool in /dev o /proc

• privilegi permanenti

• persistent exploit o custom ROM

• Recovery mode root mediante flashing di custom recovery partition

• Fastboot

• Protocollo per caricare recovery partition quando il device è in bootloader mode

• Non richiede USB Debug attivo

• Boot loader protection?

• S-ON: sicurezza attiva, protocollo inibito

• S-OFF: sicurezza disattiva, protocollo attivo

• "fastboot oem unlock" potrebbe causare il wipe del device...

• Exploit per ottenere S-OFF :)

• Flash & Reboot :)

• Samsung ODIN -> Download Mode

• JIG Cable -> Factory Mode -> Download Mode

• Heimdal

• Motorola RSDLite

• sbf_flash

Hardware

Soluzioni hardware

BlackBerry

• JTAG

• Flasher box

• Chinex

• Chip off

• FROST

• Numero di tentativi limitato

• Reset a tentativi esauriti

• La cifratura è applicata per file

• Cifratura contatti facoltativa

• Modalità di cifratura:

• Device password

• Device key

• Device password AND device key

• Se c'è una scheda SD che contiene materiale cifrato con la password utente, è attaccabile senza limiti

• Elcomsoft PPB

• Altrimenti chip off...

Chip Off

JTAG

FROST

NFI

• Joint Test Action Group: standard per i test dei PCB (Printed Circuit Board)

• La maggior parte dei PCB ha una test access port (TAP) che consente di interfacciarsi alla CPU

• Richiede documentazione tecnica del costruttore o un buon reversing

• p.e. dal produttore delle flasher box :)

• Consente di tentare:

• Dump memorie NAND

• Scalata a privilegi di root

• Drop del passcode

Il cold boot attack portato contro Android:

https://www1.informatik.uni-erlangen.de/frost

È una recovery da caricare via fastboot, per cui è una soluzione software, ma richiede una certa... manipolazione dell'hardware ;)

• crack del PIN

• verifica della crittografia su filesystem

• recupero delle chiavi crittografiche dalla RAM

• decrypt delle partizioni

• dump integrale della Ram via USB

• Un passo prima della disperazione

• Ultima risorsa specialmente se il device è danneggiato

• Procedura invasiva:

• il cellulare viene smontato

• le NAND flash dissaldate dal PCB

• i chip vengono ripuliti e posizionati in un lettore

• viene estratto il dump binario

• Necessità di laboratorio attrezzato

• Scarsissimo margine d'errore

• Necessità di documentazione del costruttore, solitamente riservata

Esempio

Metodi comuni

http://www.forensicswiki.org/wiki/JTAG_Samsung_Galaxy_S4_%28SGH-I337%29

NFI

Crack del passcode

Windows Phone

Smudge attack

• Tentativi limitati

• Guadagnare tentativi illimitati :-)

• acquisizione SSD, eMMC

• rimozione o esposizione su USB/adb

• cattura file cifrati (BlackBerry)

• cattura file in chiaro

• dati applicativi

• materiale per dizionari

• Backup locali e cloud sync

• Tentativi illimitati

• Santa pazienza

• USB HID

• Arduino, Tensy3, Rubber Ducky, Merduino

• p.e., 5 pin ogni 30 secondi = 16.6h max

• IP Box

• Robot attack!

Work-around & Exploit

• Se il passcode è derivato da Exchange, dipende dalle policy aziendali

• reset to factory

• lock up, wait, special phrase, reset

• Se scelto dall'utente

• ogni 5 fail, blocco per 2^n minuti

• OneDrive sync?

• Dump fisico mediante exploit sul software della batteria! (12-17%)

• Metodi fisici

• by-pass del passcode

http://cryptome.org/isp-spy/iphone-spy5.pdf

• sottrazione del passcode

http://niiconsulting.com/checkmate/2014/04/how-to-bypass-the-android-phone-pattern-lock

• reset del passcode

http://forum.xda-developers.com/showthread.php?t=2620456

• sottrazione dati

• sottrazione dei token di sessione

http://thehackernews.com/2014/03/hacking-facebook-user-access-token-with.html

Finger forging

• TouchID (iPhone 5s, 6, 6+)

• Samsung Galaxy S5

• Motorola, Fujitsu, whatever...

Prevenzione

Robot attack

Garmin

Se il telefono non è bloccato, prevenire il blocco

• Verificare la presenza di PIN

• Se presente, non toglierlo

• Aumentare il delay

• Attivare USB Debug e Stay awake

• Collegare cavo USB

• Attenzione al touch screen!

• Isolamento

• Air mode (anche a telefono bloccato)

• Rimozione SIM

• Faraday bag

• Spegnimento

• possibile anche in lock

• perdita dati volatili

• richiesta di PIN al riavvio?

Tre soli modi per rimuovere il lock:

• Inserire il PIN

• tentativi illimitati

• Resettare il device

• Non lo fa l'utente,

lo deve fare Garmin

• Eseguire il boot entro 50m dalla security location

• Il dispositivo può essere ingannato, ma conviene?

Davide 'Rebus' Gabrini

Rivolto cose, reverso gente

www.tipiloschi.net

Little PIN, little PIN, let me in!