Signal mengolok-olok polisi – TKP

Perusahaan yang membacakan ponsel untuk pasukan polisi di seluruh dunia saat ini sedang diejek oleh para ahli teknologi. Sebuah entri BBC mengklaim bahwa Cellebrite telah meretas aplikasi enkripsi Signal. Sementara itu, Signal: Cellebrite UFED, yang kepolisian Belanda-nya bekerja – dan Institut Forensik Belanda (NFI) – menanggapi dengan sangat buruk sehingga tidak benar-benar menghasilkan data yang dapat diandalkan.

Pintu Sematkan Tweet

Signal adalah aplikasi yang digunakan banyak warga dunia untuk saling menelepon dan mengirim SMS. Aplikasi ini sangat dihargai di komunitas teknis karena metodologinya (tidak seperti kasus Encro atau Sky, misalnya) bersifat publik, transparan, dan pengkodean PGP tidak dapat dipecahkan.

Celebright Dia adalah rekan setia pasukan polisi di banyak negara. Perusahaan Israel sedang menganalisis ponsel yang disita dari tersangka untuk polisi. Kantor Kejaksaan kemudian menggunakan informasi ini dalam file kriminal, dan hakim menghukum para tersangka (sebagian) atas dasar ini.

Tidak

Dia Dia Laporan BBC Tentang Signal pada bulan Desember menyebabkan kehebohan tetapi ternyata menipu, disalahartikan oleh Cellebrite (yang menghapus berita dari blognya sendiri, Cermin).

CEO Signal, Moxie Marlinspike Seolah disengat tawon, dia menjawab: “Tidak, Cellebrite tidak bisa” memecahkan enkripsi sinyalnya “. Menulis Dia ada di blognya. Selain itu, Cellebrite tidak memecahkan apa pun, hanya menyerap informasi dari ponsel.

Moxie Marlinspike belum bekerja dengan Cellebrite. Peretasan telah dimulai. minggu ini Diterbitkan Itu adalah hasil yang memalukan dari Killebright. Garis miring utama Sapi perah Van Cellebrite – UFED – berisi lebih dari seratus kerentanan.

Lebih buruk lagi, ketika ponsel terhubung dengannya, tidak ada pernyataan yang dapat dibuat tentang keandalan laporan perangkat.

Truk

Marlinspike menulis bahwa itu adalah “kebetulan yang luar biasa ”:

Secara kebetulan, tas Cellebrite jatuh dari truk hari itu saat saya sedang berjalan.

Segera kejutan itu menghantam Marlinspike. Juga karena Cellebrite mengatakan itu menghasilkan “kecerdasan digital” untuk “dunia yang lebih aman.”

Karena hampir semua kode Cellebrite ada untuk menganalisis input yang tidak dapat dipercaya yang dapat diformat secara tidak terduga untuk memanfaatkan kerusakan memori atau kerentanan lainnya dalam perangkat lunak analisis, Anda mungkin berharap Cellebrite sangat berhati-hati.

Tapi UFED tidak aman.

Perangkat lunak pada perangkat belum diperbarui sejak 2012, menurut Signal. Ini membuat setiap Cellebrite kerugian total dari sudut pandang keamanan, menurut Marlinspike:

Kami menemukan bahwa dimungkinkan untuk menjalankan kode acak pada perangkat Cellebrite hanya dengan memasukkan file yang diformat khusus tetapi tidak berbahaya ke dalam aplikasi pada perangkat yang kemudian dihubungkan ke Cellebrite dan dipindai. Hampir tidak ada batasan kode yang dapat dieksekusi.

Tidak ada komputer lama yang bisa diretas. Tapi itu jauh lebih buruk:

Dimungkinkan untuk menjalankan kode yang tidak hanya mengubah laporan Cellebrite yang dihasilkan dalam pemindaian ini, tetapi juga semua laporan yang dihasilkan di masa lalu dan masa depan yang dilaporkan oleh Cellebrite dari semua perangkat yang dipindai sebelumnya dan semua perangkat yang dipindai di masa mendatang dalam Metode apa pun (menyisipkan atau menghapus teks dan email, gambar, kontak, file, atau data lain), tanpa perubahan yang dapat dideteksi pada stempel waktu atau kesalahan checksum. Faktanya, ini bisa terjadi secara sewenang-wenang, dan ini akan mempertanyakan integritas data di Cellebrite Reports dengan serius.

Dan laporan otoritatif, itulah maksud pengadilan – jika semuanya berjalan dengan baik.

Sekarang ini diketahui, siapa pun dapat mengatur telepon mereka sedemikian rupa sehingga saat petugas polisi mencolokkan kabel Cellebrite, perangkat UFED menjadi gila atau mengubah atau menghapus informasi di telepon mereka. (Teks berlanjut di bawah iklan)

Putus asa

Marlinspike mencatat bahwa dari sudut pandang keamanan, status UFED Cellebrite tidak ada harapan.

Sampai Cellebrite dapat secara akurat memperbaiki semua kerentanan dalam perangkat lunaknya dengan sangat percaya diri, satu-satunya solusi yang harus dilakukan oleh pengguna Cellebrite adalah tidak memindai perangkat keras.

Bahkan memperbarui dengan lebih dari seratus tambalan program bukanlah jaminan, kata Marlinspike. Jadi berhentilah menggunakan Cellebrite UFED.

Marlinspike mengatakan dia bersedia mengungkapkan kepada Cellebrite kerentanan spesifik yang sekarang diketahui Signal tentang mereka, dan bahwa mereka mungkin tidak merencanakan diri mereka sendiri, tetapi dengan satu syarat:

Jika mereka melakukan hal yang sama dengan semua kerentanan yang mereka gunakan dalam ekstraksi fisik dan layanan lain untuk pemasok masing-masing sekarang dan di masa depan.

Perangkat Lunak Apple

Sebagai bonus, Marlinspike menyatakan bahwa Cellebrite ternyata mencuri program ekstraktor iPhone milik Apple.

Tampaknya tidak mungkin bagi kami bahwa Apple akan melisensikan Cellebrite untuk mendistribusikan kembali file DLL Apple dan memasukkannya ke dalam produknya sendiri, jadi ini dapat menimbulkan risiko hukum bagi Cellebrite dan penggunanya.

Pengacara Apple dikenal karena kemampuan mereka yang terbatas untuk meluruskan masalah hukum properti.

Marlinspike tidak menyembunyikan bahwa dia sangat membenci Cellebrite karena mereka juga menjual perangkat lunak dan perangkat kerasnya ke sistem yang tidak terlalu dekat dengan hak asasi manusia, seperti Belarus, Rusia, Venezuela, China, dan militer. Di Myanmar.

Signal juga membuat videonya:

Posting blog terbaru kami mengeksplorasi potensi kerentanan hak cipta Apple dan pelanggaran hak cipta di Cellebrite:

“Memanfaatkan kerentanan Cellebrite UFED dan Penganalisis Fisik dari perspektif aplikasi”https://t.co/DKgGejPu62 pic.twitter.com/X3ghXrgdfo

– Sinyal (signalapp) 21 April 2021