Глава компании Signal
обнаружил, что разработки Cellebrite
написаны очень небрежно и пообещал, что «красивые файлы» помешают извлекать
данные с устройств с установленным мессенджером Signal.
Проблемы в известном ПО
Глава компании Signal, разрабатывающей
одноименный защищенный мессенджер, Мокси
Марлинспайк (Moxie Marlinspike) заявил, что инструменты для извлечения данных
компании Cellebrite полны уязвимостей, допускающих в том числе запуск произвольного кода.
Израильская компания Cellebrite выпускает
программные средства для анализа и извлечения информации из мобильных устройств
под iOS и Android. Основными клиентами
этой компании являются правительства государств и правоохранительные органы. Таким
образом, Signal
и Cellebrite по
определению находятся по разные стороны баррикад.
В декабре 2020 г. Cellebrite объявила, что ее
разработка Physical Analyzer
позволяет извлекать данные из мессенджера Signal. И вот теперь Марлинспайк наносит ответный удар.
В своем блоге глава Signal написал, что
разработки Cellebrite осуществляют целенаправленный парсинг (анализ) данных из непроверенных
источников. Если вводные данные некорректно отформатированы, это может вызвать
разрушение целостности памяти с последующим запуском произвольного кода.
По словам Марлинспайка,
он ожидал, что инструменты Cellebrite должны обладать надежной защитой от подобного. Но
ее не обнаружилось.
«Изучая UFED и Physical Analyzer (разработки Cellebrite; — прим. CNews), мы обнаружили, что собственной безопасности ПО Cellebrite уделяет очень мало внимания. Стандартная защита
от эксплойтов не реализована, возможностей для эксплуатации — уйма», — отметил Марлинспайк.
Сам он является опытным исследователем безопасности и квалифицированным
криптографом.
Вдобавок, в исходниках ПО
Cellebrite обнаружился
устаревший и незащищенный опенсорсный код, хотя исправляющие уязвимость патчи
давно уже доступны.
Безвредный с виду файл
По словам Марлинспайка, в
системе, на которой работают продукты Cellebrite, может быть запущен произвольный код, если она
производит парсинг специально подготовленного, но по существу безвредного файла
на сканируемом устройстве.
«Например, добавив в
приложение на сканируемом устройстве специально сформатированный, но не
содержащий вредоносного содержимого файл, можно заставить запустить код,
который приведет к произвольному изменению содержимого отчетов Cellebrite, причем не только
для данного устройства, но и для всех последующих сканирований. Изменения могут
быть любыми — вплоть до добавления или удаления текста, электронной почты,
фотографий, контактов и других файлов, причем без каких-либо заметных изменений
во временных метках или контрольных суммах», — написал Марлинспайк,
продемонстрировав возможность взлома UFED.
Кроме этого, Марлинспайк
обнаружил, что инсталлятор инструмента для анализа пакетов в разработках Cellebrite содержит пакеты MSI с цифровой подписью,
выпущенной Apple. Эти пакеты, по-видимому, выдраны из инсталлятора iTunes 12.9.0.167 под Windows; они содержат DLL-файлы, которые помогают программе Cellebrite взаимодействовать
с устройствами под iOS и извлекать данные из них.
Хотя публикация
Марлинспайка никак не отвечает нормам ответственного раскрытия информации об
уязвимостях, глава Signal пообещал сообщить все подробности Cellebrite, но только если та раскроет информацию об
уязвимостях, которые эксплуатируются для извлечения данных, и будет делать то
же самое и впредь. Едва ли в Cellebriteвоспримут этот ультиматум всерьез.
Кроме того, Марлинспайк
пообещал добавить в будущие версии Signal некие файлы, которые будут обладать
«эстетическими достоинствами», не добавляя ничего к функциональности самого
приложения. «Они просто очень хорошо выглядят, а эстетика для программного
обеспечения очень важна», — написал Марлинспайк.
Но если данные «красивые»
файлы будут отформатированы нужным образом, у клиентов Cellebrite возникнут большие проблемы с доверием к
результатам сканирования устройств, на которых установлен Signal.
«Иными словами, Signal будет оснащен “закладками”
против попыток сканировать устройства с ним посредством разработок Cellebrite, — говорит Дмитрий Кирюхин, эксперт по
информационной безопасности компании SEC Consult Services. — Не удивлюсь, если и другие разработчики
мобильных защищенных мессенджеров последуют этому примеру, хотя, конечно, долго
такая защита не продержится: Cellebrite вряд ли
станет затягивать с устранением уязвимостей».
