アクセスエリア：スマートフォンのロックを解除する30の方法。パート1

彼らの仕事では、コンピューターフォレンジックは、スマートフォンのロックをすばやく解除する必要がある場合に定期的に遭遇します。たとえば、電話からのデータは、ティーンエイジャーの自殺の理由を理解するために調査によって必要とされます。別のケースでは、彼らはトラックの運転手を攻撃する犯罪グループの足跡をたどるのを助けるでしょう。もちろん、かわいい話もあります。両親がガジェットのパスワードを忘れてしまったことや、赤ちゃんの最初の一歩を描いたビデオがありますが、残念ながら、その数はほんのわずかです。しかし、彼らはまた、問題への専門的なアプローチを必要とします。この記事では、Group-IB Computer ForensicsLaboratoryのスペシャリストであるIgorMikhailovが、フォレンジックの専門家がスマートフォンのブロックを回避する方法について説明します。

: , . — , . , . , .

したがって、デバイスに含まれるユーザー情報へのアクセスを制限する最も一般的な方法は、モバイルデバイスの画面をロックすることです。そのようなデバイスが法医学研究所に入ると、そのようなデバイスのUSBデバッグモードをアクティブにすることができないため（Androidデバイスの場合）、専門家のコンピューターがこのデバイスと対話するための許可を確認することができないため（Appleモバイルデバイスの場合）、操作が困難になる可能性があります。その結果、デバイスのメモリ内のデータにアクセスできなくなります。



米国のFBIが、カリフォルニアの都市サンベルナルディーノでのテロ攻撃の参加者の1人であるテロリストSyed FaroukのiPhoneのロックを解除するために多額の支払いをしたという事実は、モバイルデバイスの画面の通常のロックが専門家によるデータの抽出をどれだけ妨げているかを示しています。[1]

モバイルデバイスの画面ロック解除方法

通常、モバイルデバイスの画面をロックするために以下が使用されます。

1. シンボリックパスワード
2. 画像パスワード

また、SmartBlockテクノロジーメソッドを使用して、多数のモバイルデバイスの画面のロックを解除できます。

1. 指紋ロック解除
2. フェイスアンロック（FaceIDテクノロジー）
3. 虹彩認識装置のロックを解除する

モバイルデバイスのロックを解除するソーシャルメソッド

純粋に技術的な方法に加えて、PINコード、または画面ロックのグラフィックコード（パターン）を見つけたり、克服したりする方法は他にもあります。場合によっては、ソーシャルメソッドは技術的なソリューションよりも効果的であり、既存の技術開発に遅れをとっているデバイスのロックを解除するのに役立ちます。



このセクションでは、技術的手段の使用を必要としない（または限定的で部分的な使用のみを必要とする）モバイルデバイスの画面のロックを解除する方法について説明します。

社会的攻撃を実行するには、ロックされたデバイスの所有者の心理学を可能な限り深く研究し、彼がパスワードまたはグラフィックパターンを生成および保存する原理を理解する必要があります。また、研究者は一滴の運が必要になります。



パスワードの推測に関連する方法を使用する場合は、次の点に注意する必要があります。

• Apple . , ;
• Android Root of Trust, , 30 , .

1: c

奇妙に思えるかもしれませんが、デバイスの所有者に尋ねるだけでロック解除パスワードを見つけることができます。統計によると、モバイルデバイスの所有者の約70％が喜んでパスワードを提供しています。特にそれが研究時間を短縮し、それに応じて所有者が自分のデバイスをより早く取り戻す場合。所有者にパスワードを尋ねることができない場合（たとえば、デバイスの所有者が死亡した場合）、または所有者がパスワードの開示を拒否した場合、パスワードは近親者から取得できます。原則として、親戚はパスワードを知っているか、可能なオプションを提案することができます。



保護に関する推奨事項：電話のパスワードは、支払いを含むすべてのデータのユニバーサルキーです。話したり、送信したり、メッセンジャーで書いたりするのは悪い考えです。

方法2：パスワードをのぞく

所有者がデバイスを使用するときに、パスワードをスパイすることができます。パスワード（シンボリックまたはグラフィック）を部分的にしか覚えていない場合でも、これにより可能なオプションの数が大幅に減り、パスワードをすばやく見つけることができます。



この方法のバリエーションは、所有者をキャプチャし、画像パスワードを使用してデバイスのロックを解除するCCTV記録の使用です[2]。 5回の試行でAndroidパターンロックをクラックする[2]で説明されているアルゴリズムは、ビデオ録画を分析することにより、画像パスワードのオプションを提案し、数回の試行でデバイスのロックを解除することを可能にします（通常、これには5回以下の試行が必要です）。著者によると、「画像のパスワードが複雑になるほど、推測しやすくなります」。



保護の推奨事項：パターンを使用することはお勧めできません。英数字のパスワードをのぞくのは非常に困難です。

方法3：パスワードを見つける

パスワードは、デバイスの所有者の記録（コンピューター上のファイル、日記、文書にある紙片）に記載されています。人が複数の異なるモバイルデバイスを使用していて、それらが異なるパスワードを持っている場合、これらのデバイスのバッテリーコンパートメントやスマートフォンの本体とケースの間のスペースに、パスワードが書かれた紙切れが見つかることがあります。





保護に関する推奨事項：パスワード付きの「ノートブック」を保管しないでください。ロック解除の試行回数を減らすためにこれらのパスワードがすべてfalseであることがわかっていない限り、これは悪い考えです。

方法4：指紋（スマッジ攻撃）

この方法では、デバイスのディスプレイにある手の汗痕を識別できます。それらは、デバイス画面を軽い指紋パウダー（特別な法医学パウダーの代わりに、ベビーパウダーまたは化学的に不活性な白またはライトグレー色の微粉末を使用できます）で処理するか、デバイス画面を斜めの光線で見ることで確認できます。手形の位置を分析し、デバイスの所有者に関する追加情報（たとえば、彼の生年月日を知る）を持っていると、テキストまたは画像のパスワードを推測することができます。これは、スマートフォンのディスプレイの脂肪層が定型化された文字Zのように見える方法です。





セキュリティの推奨事項：前述したように、疎油性コーティングが不十分なガラスと同様に、画像のパスワードはお勧めできません。

方法5：人工指

デバイスを指紋でロック解除でき、研究者が所有者の手形のサンプルを持っている場合、所有者の指紋の3次元コピーを3Dプリンターで作成し、デバイスのロックを解除するために使用できます[3]。





生きている人の指をより完全に模倣するために（たとえば、スマートフォンの指紋センサーがまだ熱を検出しているとき）、3Dモデルを生きている人の指に付けます（寄りかかります）。



デバイスの所有者は、画面ロックパスワードを忘れた場合でも、自分の指紋を使用してデバイスのロックを解除できます。これは、所有者がパスワードを提供できない特定の場合に使用できますが、それでも研究者がデバイスのロックを解除するのを喜んで支援します。



研究者は、モバイルデバイスのさまざまなモデルで使用されるセンサーの世代に注意する必要があります。古いモデルのセンサーは、必ずしもデバイスの所有者のものではなく、ほとんどすべての指でトリガーできます。それどころか、最新の超音波センサーは非常に深くはっきりとスキャンします。さらに、最新のサブスクリーンセンサーの多くは、画像の深さをスキャンできない単なるCMOSカメラであるため、だましやすくなっています。



保護の推奨事項：指の場合は、超音波センサーのみ。しかし、あなたの意志に反して指を置くことはあなたの顔よりもはるかに簡単であることを忘れないでください。

方法6：「ダッシュ」（マグアタック）

この方法は英国の警察によって説明されています[4]。容疑者を密かに追跡することで構成されています。容疑者が電話のロックを解除した瞬間、民間の服を着たエージェントが所有者の手から電話を引き出し、専門家に渡されるまでデバイスを再びロックすることを許可しません。



防衛勧告：彼らがあなたに対してそのような措置をとるつもりなら、それは悪いことだと思います。しかし、ここでは、偶発的なブロッキングがこの方法の価値を下げることを理解する必要があります。また、たとえば、iPhoneのロックボタンを繰り返し押すとSOSモードが起動し、さらにFaceIDがオフになり、パスワードコード要件がオンになります。

方法7：デバイス制御アルゴリズムのエラー

専門リソースのニュースフィードでは、デバイスで特定のアクションが実行されると、画面のロックが解除されるというメッセージを見つけることがよくあります。たとえば、一部のデバイスのロック画面は、着信時にロックを解除できます。この方法の欠点は、特定された脆弱性が、原則として、メーカーによって迅速に排除されることです。



2016年より前にリリースされたモバイルデバイスのロックを解除するア​​プローチの例は、バッテリーの消耗です。バッテリーが少なくなると、デバイスのロックが解除され、電源設定を変更するように求められます。この場合、セキュリティ設定のあるページにすばやく移動して、画面ロックを無効にする必要があります[5]。



保護に関する推奨事項：デバイスのOSをタイムリーに更新することを忘れないでください。サポートされなくなった場合は、スマートフォンを変更してください。

方法8：サードパーティプログラムの脆弱性

デバイスにインストールされているサードパーティアプリケーションで特定された脆弱性により、ロックされたデバイスのデータへのアクセスが全体的または部分的に提供される可能性もあります。



このような脆弱性の例は、Amazonの主な所有者であるJeffBezosによるiPhoneデータの盗難です。未知の人物によって悪用されたWhatsAppメッセンジャーの脆弱性により、デバイスのメモリ内の機密データが盗まれました[6]。



研究者は、このような脆弱性を使用して、ロックされたデバイスからデータを抽出したり、ロックを解除したりするという目標を達成できます。



セキュリティに関する推奨事項： OSだけでなく、使用するアプリケーションプログラムも更新する必要があります。

方法9：企業の電話

企業のモバイルデバイスは、企業のシステム管理者がロックを解除できます。たとえば、企業のWindows Phoneデバイスは、企業のMicrosoft Exchangeアカウントにリンクされており、管理者がロックを解除できます。企業のAppleデバイスには、MicrosoftExchangeと同様のモバイルデバイス管理サービスがあります。その管理者は、企業のiOSデバイスのロックを解除することもできます。さらに、企業のモバイルデバイスは、モバイルデバイスの設定で管理者が指定した特定のコンピューターにのみ接続できます。したがって、会社のシステム管理者と対話しないと、そのようなデバイスを調査員のコンピューター（または法医学データ抽出用のソフトウェアとハ​​ードウェアの複合体）に接続することはできません。



セキュリティの推奨事項： MDMは、セキュリティの点で良い面と悪い面の両方があります。MDM管理者は、いつでもデバイスをリモートでリセットできます。いずれにせよ、企業のデバイスに機密性の高い個人データを保存しないでください。

方法10：センサーからの情報

デバイスのセンサーから受信した情報を分析することにより、特別なアルゴリズムを使用してデバイスのパスワードを推測できます。Adam J. Avivは、スマートフォンの加速度計によって取得されたデータを使用して、そのような攻撃の可能性を示しました。研究の過程で、科学者は43％のケースでシンボリックパスワードを、73％でグラフィックパスワードを正しく決定することができました[7]。



セキュリティの推奨事項：さまざまなセンサーを追跡するための許可を与えるアプリケーションに細心の注意を払ってください。

方法11：フェイスアンロック

指紋の場合と同様に、FaceIDテクノロジーを使用してデバイスのロックを解除できるかどうかは、特定のモバイルデバイスで使用されているセンサーと数学装置によって異なります。このように、「Gezichtsherkenning op smartware niet altijd veilig」[8]の中で、研究者たちは、所有者の写真をスマートフォンのカメラに表示するだけで、調査中のスマートフォンの一部のロックが解除されることを示しました。これは、ロック解除に1台のフロントカメラのみが使用され、画像深度データをスキャンする機能がない場合に可能です。 YouTubeで多くの注目を集める出版物やビデオが掲載された後、Samsungはスマートフォンのファームウェアに警告を追加することを余儀なくされました。フェイスアンロックサムスン：





より高度なスマートフォンモデルは、マスクまたは自己学習デバイスを使用してロックを解除できます。たとえば、iPhone Xは特別なTrueDepthテクノロジーを使用しています[9]。2台のカメラと赤外線エミッターを使用するデバイスのプロジェクターは、着用者の顔に30,000ポイント以上のグリッドを投影します。このようなデバイスは、マスクを使用してロックを解除できます。マスクの輪郭は、着用者の顔の輪郭を模倣しています。 IPhoneロック解除マスク[10]：





このようなシステムは非常に複雑で、理想的な条件（所有者の自然な老化、感情の表現、疲労、健康などによる顔の形の変化）では機能しないため、常に自己学習する必要があります。したがって、他の人がロック解除されたデバイスを目の前に持っている場合、その人の顔はデバイスの所有者の顔として記憶され、将来的にはFaceIDテクノロジーを使用してスマートフォンのロックを解除できるようになります。



保護に関する推奨事項：「写真」によるロック解除は使用しないでください。本格的なフェイススキャナー（AppleのFaceIDおよびAndroidデバイス上のアナログ）を備えたシステムのみを使用してください。



主な推奨事項は、カメラを見ることではなく、目をそらすことです。片方の目を閉じても、顔に手を当てているように、ロックを解除するチャンスは劇的に低下します。さらに、顔によるロック解除（FaceID）の試行は5回のみで、その後はパスワードを入力する必要があります。

方法12：リークを使用する

漏洩したパスワードのデータベースは、デバイスの所有者の心理を理解するための優れた方法です（ただし、研究者がデバイスの所有者の電子メールアドレスに関する情報を持っている場合）。上記の例では、電子メールアドレスを検索すると、所有者が使用する2つの類似したパスワードが返されました。パスワード21454162またはその派生物（たとえば、2145または4162）は、モバイルデバイスのロックコードとして使用できると想定できます。（リークのデータベースで所有者の電子メールアドレスを検索すると、モバイルデバイスのブロックを含め、所有者が使用できた可能性のあるパスワードが表示されます）。





保護の推奨事項：積極的に行動し、リークに関するデータを追跡し、リークで気付いたパスワードを迅速に変更してください！

方法13：デバイスをロックするための一般的なパスワード

原則として、所有者から没収されるモバイルデバイスは1つではなく、複数です。多くの場合、そのようなデバイスは約12個あります。この場合、脆弱なデバイスのパスワードを推測して、同じ所有者から押収された他のスマートフォンやタブレットに適用してみることができます。



モバイルデバイスから抽出されたデータを分析する場合、そのようなデータはフォレンジックプログラムに表示されます（多くの場合、さまざまなタイプの脆弱性を使用してブロックされたデバイスからデータを抽出する場合でも）。





UFEDフィジカルアナライザープログラムの作業ウィンドウの一部のスクリーンショットでわかるように、デバイスはかなり珍しいPINコードfgklでロックされています。



他のユーザーデバイスを無視しないでください。たとえば、モバイルデバイスの所有者のコンピュータのWebブラウザのキャッシュに保存されているパスワードを分析することにより、所有者が遵守したパスワード生成の原則を理解できます。NirSoft [11]のユーティリティを使用して、コンピュータに保存されているパスワードを表示できます。



また、モバイルデバイスの所有者のコンピュータ（ラップトップ）には、ロックされたAppleモバイルデバイスへのアクセスに役立つロックダウンファイルがある場合があります。この方法については後で説明します。



セキュリティの推奨事項：どこでも異なる一意のパスワードを使用してください。

方法14：一般的なPINコード

前述のように、ユーザーは通常、電話番号、銀行カード、PINコードなどの一般的なパスワードを使用します。この情報は、提供されたデバイスのロックを解除するために使用できます。



他のすべてが失敗した場合は、次の情報を使用できます。研究者が分析を行い、最も人気のあるPINコードを見つけました（指定されたPINコードはすべてのパスワードの26.83％をカバーしています）[12]：



このPINコードのリストをブロックされたデバイスに適用すると、約26％の確率でブロックを解除できます。



セキュリティの推奨事項： PINを上の表と照合し、一致しない場合でも、2020年には4桁が小さすぎるため、とにかく変更してください。

方法15：一般的なグラフィックパスワード

上記のように、デバイスの所有者がロックを解除しようとしているCCTVカメラからのデータがある場合、5回の試行からロック解除パターンを選択できます。さらに、標準のPINコードがあるのと同じように、ブロックされたモバイルデバイスのロックを解除するために使用できる典型的なパターンもあります[13、14]。



単純なパターン[14]：





中程度の難易度のパターン[14]：





複雑なパターン[14]：









一部のモバイルデバイスでは、画像コードに加えて、追加のPINコードが設定される場合があります。この場合、グラフィックコードを取得できない場合、研究者は間違ったグラフィックコードを入力した後、ボタンDop.PINコード（PINコードはオプション）をクリックして、PINコードを取得しようとすることができます。



セキュリティの推奨事項：グラフィックキーはまったく使用しないことをお勧めします。

方法16：英数字のパスワード

デバイスが英数字のパスワードを使用できる場合、所有者は次の一般的なパスワードをロックコードとして使用できます[16]。

• 123456
• パスワード
• 123456789
• 12345678
• 12345
• 111111
• 1234567
• 日光
• qwerty
• わたしは、あなたを愛しています
• 王女
• 管理者
• ようこそ
• 666666
• abc123
• フットボール
• 123123
• モンキー
• 654321
• ！@＃$％^＆*
• チャーリー
• aa123456
• ドナルド
• password1
• qwerty123

セキュリティの推奨事項：サービス文字と大文字と小文字が異なる複雑で一意のパスワードのみを使用してください。上記のいずれかのパスワードを使用しているかどうかを確認してください。使用している場合は、より信頼性の高いものに変更してください。

方法17：クラウドまたはローカルストレージ

ロックされたデバイスからデータを取得することが技術的に不可能な場合、法医学の専門家は、デバイス所有者のコンピューターまたは適切なクラウドストレージでバックアップを検索できます。



多くの場合、Appleスマートフォンの所有者は、スマートフォンを自分のコンピューターに接続しているときに、現時点でデバイスのローカルバックアップまたはクラウドバックアップを作成できることに気づいていません。



GoogleとAppleのクラウドストレージは、デバイスからのデータだけでなく、デバイスによって保存されたパスワードも保存できます。これらのパスワードを抽出すると、モバイルデバイスのロックコードを推測するのに役立ちます。



iCloudに保存されているキーチェーンから、デバイスバックアップの所有者が設定したパスワードを抽出できます。これは画面ロックPINと一致する可能性が高いです。



法執行機関がGoogleとAppleに連絡すると、企業は利用可能なデータを転送できます。データはすでに法執行官の手に渡っているため、デバイスのロックを解除する必要性が大幅に減少する可能性があります。



たとえば、ペンソコンでのテロ攻撃の後、iCloudに保存されているデータのコピーがFBIに転送されました。 Appleの声明から：

「2019年12月6日の最初のFBIリクエストから数時間以内に、調査に関連する幅広い情報を提供しました。12月7日から14日まで、6つの追加の法的問い合わせを受け取り、iCloudバックアップ、アカウント情報、複数のアカウントのトランザクションなどの情報を提供しました。



私たちはすべての要求に即座に、多くの場合数時間以内に応答し、ジャクソンビル、ペンサコーラ、ニューヨークのFBIオフィスと連絡を取りました。調査の要請により、数ギガバイトの情報が得られ、調査員に引き渡されました。」[17、18、19]

セキュリティの推奨事項：暗号化されていない状態でクラウドに送信するものはすべて、使用される可能性があります。

方法18：Googleアカウント

この方法は、Androidオペレーティングシステムを実行しているモバイルデバイスの画面をロックする画像パスワードを削除するのに適しています。この方法を使用するには、デバイス所有者のGoogleアカウントからユーザー名とパスワードを知っている必要があります。 2番目の条件：デバイスがインターネットに接続されている必要があります。



間違った画像パスワードを連続して数回入力すると、デバイスはパスワードを回復するように要求します。その後、ユーザーアカウントにログインする必要があります。これにより、デバイス画面のロックが解除されます[5]。



さまざまなハードウェアソリューション、Androidオペレーティングシステム、および追加のセキュリティ設定により、この方法は多くのデバイスにのみ適用できます。



研究者がデバイス所有者のGoogleアカウントのパスワードを持っていない場合、そのようなアカウントからパスワードを回復するための標準的な方法を使用して、その回復を試みることができます。



調査の時点でデバイスがインターネットに接続されていない場合（たとえば、SIMカードがブロックされている、または十分なお金がない場合）、そのようなデバイスは次の手順を使用してWi-Fiに接続できます。

• 「緊急通報」アイコンを押す
• ダイヤル*＃*＃7378423＃*＃*
• サービステスト-Wlanを選択します
• 利用可能なWi-Fiネットワークに接続する[5]

保護に関する推奨事項：可能な限り2要素認証を使用することを忘れないでください。この場合、SMSコードではなく、アプリケーションにバインドすることをお勧めします。

方法19：ゲストアカウント

Android 5以降を実行しているモバイルデバイスでは、複数のアカウントが存在する可能性があります。追加アカウントのデータにアクセスするために、PINまたはグラフィックコードロックがない場合があります。切り替えるには、右上隅にあるアカウントアイコンをクリックして、別のアカウントを選択する必要があります。





追加のアカウントの場合、一部のデータまたはアプリケーションへのアクセスが制限される場合があります。



保護に関する推奨事項：ここでOSを更新することが重要です。最新バージョンのAndroid（9以降と2020年7月のセキュリティパッチ）では、Guestアカウントは通常機能を提供しません。

方法20：専門サービス

モバイルデバイスのロックを解除し、そこからデータを抽出するサービスの提供など、特殊なフォレンジックプログラムの開発に関与する企業[20、21]。これらのサービスの機能は素晴らしいです。それらを使用して、AndroidおよびiOSデバイスの上位モデル、およびリカバリモードにあるデバイス（誤ったパスワードの試行回数を超えた後にデバイスが切り替わる）のロックを解除できます。この方法の欠点は、コストが高いことです。



Cellebrite Webサイトのスニペットで、データを取得できるデバイスについて説明しています。デバイスは、開発者ラボ（Cellebrite Advanced Service（CAS））でロック解除できます[20]：





このようなサービスの場合、デバイスは会社の地域（または本社）オフィスに提供する必要があります。専門家のお客様への出発が可能です。原則として、画面ロックコードを解読するには1日かかります。



セキュリティの推奨事項：強力な英数字のパスワードを使用し、デバイスを毎年変更する以外に、自分自身を保護することはほとんど不可能です。



ここに続く： グループIBラボラトリーのパート2



PSエキスパートが、デジタルフォレンジックアナリストトレーニングコースの一環として、コンピューターフォレンジックサイエンティストの作業におけるこれらのケース、ツール、およびその他の多くの有用なトリックについて話します。..。5日間または高度な7日間のコースを修了すると、卒業生はより効果的に法医学研究を実施し、組織内のサイバーインシデントを防止できるようになります。



PPS Group-情報セキュリティ、ハッカー、APT、サイバー攻撃、詐欺師、海賊に関するIBの最もホットなテレグラムチャンネル。ステップバイステップの調査、Group-IBテクノロジーを使用した実際の事例、および被害者にならないための推奨事項。接続！