Clever Geek Handbook

あなたのiPhoneはずおも安党ですかiOSの脆匱性ず秘密のパッセヌゞの抂芁



ナヌザヌデヌタは亀枉チップではありたせん。 Appleは、iPhoneの所有者に恣意的なデヌタ収集の機䌚を求めおいるFBIやその他の法執行圓局ず絶え間なく戊うこずで、評刀を築くために倚倧な努力を費やしおきたした。



2016幎、Appleは、FBIがSan BernardinoシュヌタヌのiPhoneのロックを解陀できるように、iOSの防埡を匱めるこずを拒吊したした。 Syed Faroukのスマヌトフォンを抌収し、4桁のPINコヌドで10回逃したため、法執行官はスマヌトフォンをブロックしたした。次に、FBIは、セキュリティコヌドをブルヌトフォヌスするこずができる特別なOSをAppleが䜜成するこずを芁求したした...





圓初、事態はAppleに有利にはならず、カリフォルニア州の米囜地方裁刀所は法執行機関の偎に立った。 Appleは䞊蚎し、赀いテヌプが始たり、䌚議の結果、FBIの䞻導でこれに関する裁刀は終了したした。



結局、連邊政府は、むスラ゚ルの民間デゞタル法医孊䌚瀟であるCellebriteを、100䞇米ドル以䞊で手に入れたした。ちなみに、スマヌトフォンには䜕も芋぀かりたせんでした。



奇劙なこずに、4幎埌、歎史はほが正確に繰り返されたした。 2020幎1月、誰もがだけでなく、りィリアムバヌ米囜怜事総長は、2019幎12月にフロリダ州ペンサコヌラの海軍空軍基地での撮圱䞭に䜿甚された2台のiPhoneのコンテンツに調査員がアクセスできるように支揎するよう䌚瀟に䟝頌したした。圓然のこずながら、Appleは別の拒吊を受けたした。



どちらの堎合も、Appleからの情報の1回限りの転送ではなかったこずを匷調する䟡倀がありたす。これは問題ありたせん。䌚瀟は、法執行機関からの公匏および承認された芁求を䜿甚しお、メタデヌタ、バックアップをiCloudから転送したす。この拒吊は、没収されたスマヌトフォンのロックを解陀できる特別なiOSファヌムりェアであるナニバヌサルマスタヌキヌを䜜成しお提䟛するずいう芁求に応えられたす。



この状況が、Appleの経営陣ず個人のCEOであるTim Cookからの最倧の反察を匕き起こしたす。圌らは、良性の裏口は存圚せず、あり埗ないず合理的に信じおおり、モバむルプラットフォヌムの包括的な保護は最初の新鮮さです。良い手にあるロックピックはすぐに疑わしい人の手にあるロックピックになり、おそらくそれは最初の日からそこにあるでしょう。

そのため、iOSには法執行機関向けに䜜成された特別な抜け穎がないこずがわかりたした。これは、iPhoneが䟵入やデヌタ盗難の圱響を受けないこずを意味したすか



BootROMの脆匱性checkm8



2019幎9月末に、axi0mXずいうニックネヌムを持぀情報セキュリティ研究者が、A5-A11チップを搭茉したほがすべおのAppleデバむスの゚クスプロむトコヌドをGithubに公開したした。芋぀かった脆匱性の特城は、ハヌドりェアレベルであり、セキュアブヌトBootROM、別名SecureROMの保護メカニズムに隠されおいるため、゜フトりェアの曎新で排陀できないこずです。





Appleの



WWDC2016プレれンテヌションのiOSブヌトモデル。コヌルドブヌト䞭、SecureROMは読み取り専甚メモリから最初に実行されたす。読み取り専甚メモリはアプリケヌションプロセッサで最も信頌できるコヌドであるため、チェックなしで実行されたす。これが、iOSパッチがここで無力である理由です。たた、特別なキヌの組み合わせが抌されたずきに、SecureROMがUSBむンタヌフェむスを介したデバむスのリカバリモヌドデバむスファヌムりェアアップデヌトぞの移行を担圓するこずも非垞に重芁です。





iOSをDFUモヌドに切り替えたす。



Use-after-Freeの脆匱性は、メモリが解攟された埌に参照するずきに発生したす。これは、プログラムのクラッシュ、予枬できない倀、たたはこの堎合のようにサヌドパヌティのコヌドの実行などの䞍快な結果に぀ながる可胜性がありたす。



たず、悪甚メカニズムを理解するには、システム回埩モヌドがどのように機胜するかを理解する必芁がありたす。スマヌトフォンがDFUモヌドに入るず、初期化時にI / Oバッファヌが割り圓おられ、DFUぞの芁求を凊理するためのUSBむンタヌフェむスが䜜成されたす。むンストヌルパッケヌゞ0x21、1がUSBコントロヌル転送ステヌゞでUSBむンタヌフェむスを介しお到着するず、DFUコヌドは、アドレスずブロックサむズを決定した埌、I / Oバッファデヌタをブヌトメモリ領域にコピヌしたす。





USB制埡転送セットアップパケットの構造。



USB接続は、ファヌムりェアむメヌゞがロヌドされおいる限りアクティブのたたであり、その埌は正垞に終了したす。ただし、DFUモヌドを終了するための異垞なシナリオもありたす。このため、コヌドbmRequestType = 0x21、bRequest = 4に埓っおDFU䞭止信号を送信する必芁がありたす。同時に、デヌタバッファぞのポむンタのグロヌバルコンテキストずブロックサむズが保持されるため、解攟埌䜿甚の脆匱性ずいう兞型的な状況が発生したす。



Checkm8は基本的に、DFUプロセスの解攟埌䜿甚の脆匱性を悪甚しお、任意のコヌドの実行を蚱可したす。このプロセスにはいく぀かの段階がありたすが、最も重芁なものの1぀はheap feng shuiずしお知られおいたす。これは、脆匱性の悪甚を容易にするために特別な方法でヒヌプをシャッフルしたす。





macOSでコマンド./ipwndfu-pを実行したす。



実際には、iPhoneをDFUモヌドにしお、単玔な./ipwndfu-pコマンドを実行するこずになりたす。 Pythonスクリプトのアクションの結果、䞍正アクセスでスマヌトフォンのファむルシステム党䜓のロックが解陀されたす。これにより、サヌドパヌティの゜ヌスからiOS゜フトりェアをむンストヌルできたす。したがっお、攻撃者ず法執行官は、盗たれた、たたは抌収されたスマヌトフォンのすべおのコンテンツにアクセスできたす。



幞いなこずに、サヌドパヌティの゜フトりェアをゞェむルブレむクしおむンストヌルするには、Apple電話ぞの物理的なアクセスが必芁です。さらに、再起動埌、すべおが元の堎所に戻り、iPhoneは安党になりたす。これはいわゆるいわゆるです。぀ながれたゞェむルブレむク。スマヌトフォンが囜境で持ち去られお戻っおきた堎合は、運呜をもう䞀床誘惑しお再起動しない方がよいでしょう。



iCloudずほが安党なバックアップ



ペンサコヌラでの銃撃戊をめぐるFBIずアップルの最埌の察立で、同瀟は容疑者の電話からiCloudバックアップを法執行官に匕き枡したずすでに䞊で述べた。FBIが錻を䞊げなかったずいう事実は、ロックされたiPhoneずは異なり、このデヌタが研究に非垞に適しおいたこずを瀺唆しおいたす。



これが孀立したケヌスであるず信じるのは玠朎です。2019幎の前半だけでも、調査員はAppleスマヌトフォンナヌザヌの玄6,000の本栌的なiCloudバックアップに1,568回アクセスできたした。州からの芁求の90。構造、䌚瀟はiCloudからいく぀かのデヌタを提䟛し、同期間に玄18千のそのような芁求がありたした。



これは、2幎前にAppleがiCloudバックアップの゚ンドツヌ゚ンド暗号化をナヌザヌに提䟛するプロゞェクトを静かに廃止した埌に可胜になりたした。これはFBIからの圧力を受けお行われたずいう蚌拠がありたす。ただし、パスワヌドを忘れたためにナヌザヌが自分のiCloudデヌタにアクセスできない状況を回避したいずいう願望が拒吊の動機であるず考える理由もありたす。



法執行機関やナヌザヌずの劥協の結果、iCloudのどのデヌタが確実に隠されおいるのか、どれがたあたあなのかがはっきりしないずいう混乱が生じおいたす。少なくずも、゚ンドツヌ゚ンドの暗号化は次のカテゎリに適甚されるず蚀えたす。



  • ホヌムデヌタ。
  • 医療デヌタ。
  • ICloudキヌチェヌン保存されたアカりントずパスワヌドを含む。
  • 支払いデヌタ。
  • 蓄積された語圙QuickTypeキヌボヌドiOS v.11が必芁。
  • 䞊映時間。
  • Siriデヌタ。
  • Wi-Fiパスワヌド。


メッセヌゞ を含むその他のものは、Appleの埓業員や管蜄圓局によっお読み取られる可胜性がありたす。



ハヌドりェアレベルでの新しい脆匱性



1週間前、䞭囜の開発チヌムPangu Teamは、今回はSEPSecure Enclave Processorチップで臎呜的な誀動䜜を発芋したず報告したした。A7-A11プロセッサを搭茉したすべおのiPhoneが危険にさらされおいたす。



SEPは文字通り重芁な情報を保存したす。これらには、暗号化機胜、認蚌キヌ、バむオメトリクス、およびApplePayプロファむルが含たれたす。RAMの䞀郚をアプリケヌションプロセッサず共有したすが、他の郚分TZ0ず呌ばれるは暗号化されおいたす。





SEPブヌトシヌケンス。



SEP自䜓は、消去可胜な4MB AKFプロセッサコアおそらくApple Kingfisher、特蚱番号20130308838です。䜿甚されるテクノロゞヌはARMTrustZone / SecurCoreに䌌おいたすが、Apple KFコア党般、特にSEP専甚のコヌドが含たれおいたす。たた、静的にナヌザヌデヌタを保護するために、A9以降のチップでUIDキヌを生成する責任もありたす。



SEPには独自のブヌトROMがあり、SecureROM / BootROMず同様に、曞き蟌み保護されおいたす。぀たり、SEPROMの脆匱性は、同じ䞍快で修埩䞍可胜な結果を​​もたらしたす。 SEPROMホヌルを䞊蚘のcheckm8゚クスプロむトず組み合わせるこずにより、I / Oマッピングレゞスタを倉曎しお、メモリ分離保護をバむパスできたす。実際には、これにより、攻撃者はロックを解陀せずに電話をロックできたす。







Panguハッカヌは、TZ0レゞスタの内容を制埡するメモリコントロヌラのバグを悪甚できるこずを実蚌したした。圌らは圌らの発芋をAppleに売るこずを望んで、すべおの詳现ず゜ヌスコヌドを開瀺しなかった。



すでに私たちに知られおいる情報セキュリティ研究者axi0mXは、checkm8の堎合のように、SEPROMの脆匱性はスマヌトフォンぞの物理的なアクセスによっおのみ悪甚される可胜性があるずTwitterに曞いおいたす。より正確には、TZ0レゞスタの内容を操䜜する可胜性は、SecureROM / BootROMに穎が存圚するかどうかに䟝存したす。これは、iPhoneを通垞起動した埌は、TZ0レゞスタの倀を倉曎できないためです。SoC A12 / A13を搭茉した新しいiPhoneモデルは、新しい脆匱性の圱響を受けたせん。



䜿甚材料







More articles:


All Articles