Details iPhone-unlocker GrayKey openbaar gemaakt
Vorige week werd bekend dat het bedrijf Grayshift claimt de nieuwste iPhones te kunnen ontgrendelen en details over het gebruikte apparaat zijn nu openbaar gemaakt. Een anonieme bron deelde de informatie met anti-malwarebedrijf Malwarebytes.
De GrayKey, zoals de unlocker heet, is een klein kastje met twee uitstekende lightning-kabels. Het is mogelijk om twee iPhones tegelijkertijd aan te sluiten. De toestellen worden twee minuten aan de GrayKey gehangen en daarna losgemaakt. Op dat moment is de passcode nog niet gekraakt. Enige tijd later laten de telefoons een zwart scherm zien met de passcode, alsmede andere informatie.
De exacte tijd kan verschillen. De anonieme bron liet aan Malwarebytes weten dat het proces zo'n twee uur in beslag nam. Volgens de documentatie van Grayshift kan het tot drie dagen duren om een 6-cijferige passcode te kraken. De tijd voor lange passphrases wordt niet genoemd. Ook uitgeschakelde telefoons zijn volgens de documentatie te ontgrendelen.
Nadat het toestel is ontgrendeld wordt de inhoud van het bestandssysteem gedownload naar het GrayKey-apparaat. Daarvandaan zijn de bestanden via een webgebaseerde interface op een aangesloten computer te benaderen en voor verdere analyse te downloaden. De volledige, onversleutelde inhoud van de keychain kan ook worden gedownload. Uit een screenshot dat Malwarebytes kreeg blijkt dat de GrayKey met iOS 11.2.5 werkt, wat waarschijnlijk de laatste versie was toen het screenshot werd gemaakt.
Versies
Er zijn twee versies van de GrayKey. De eerste optie van 15.000 dollar werkt alleen met een internetverbinding en is beperkt tot het netwerk waar het de eerste keer wordt ingesteld. Het is niet op andere netwerken te gebruiken. Daarnaast is deze versie maximaal 300 keer te gebruiken. De tweede optie kost 30.000 dollar en vereist geen internetverbinding. Tevens kan het een onbeperkt aantal keren worden gebruikt om toestellen te ontgrendelen, totdat Apple de kwetsbaarheden verhelpt waar de unlocker gebruik van maakt. Wat deze kwetsbaarheden precies zijn is nog altijd onbekend. Het offline-model vereist wel een token-gebaseerde tweefactorauthenticatie.
Iedereen die wat van computers afweet weet ook dat in principe alles te kraken is, ook BSD varianten.
Ik vraag me wel af waarom dit soort apparatuur en niet hoeft te zijn voor Android devices, zijn die zoveel makkelijker te kraken dat er geen extra hardware voor nodig is?
Dat je niets te verbergen hebt DAT hoeft niemand te weten, dat is privacy!
Zou je even je NAW gegevens incl. BSN nummer en bankrekeningnummers hier willen posten?
Zou je even je NAW gegevens incl. BSN nummer en bankrekeningnummers hier willen posten?
Lijkt me vrij evident dat de kwetsbaarheid die ze gebruiken niet de passcode gelijk uit de secure enclave kan hengelen, maar dus wel dat ze de limiet op het aantal keer proberen kunnen omzeilen.
Deze werkt dus door een Jailbreak te gebruiken om hun crack tool te installeren op de telefoon, die vervolgens zo snel mogelijk alle combinaties probeert (op een slimme manier ook met veel gebruikte patronen e.d.). Nu is het zo dat de secure enclave de code checkt, en dit kost elke keer een tiende van een seconde geloof ik, maar blijkbaar weten ze het tellertje van het aantal probeersels te omzeilen.
Dit is een slim product die een Jailbreak combineert met een kwetsbaarheid om de teller te omzeilen en vervolgens een forensische image functie heeft. Gouden tool als je het mij vraagt. Zullen ze wel flink geld mee verdienen.
Dit is een slim product die een Jailbreak combineert met een kwetsbaarheid om de teller te omzeilen en vervolgens een forensische image functie heeft. Gouden tool als je het mij vraagt. Zullen ze wel flink geld mee verdienen.
Waarschijnlijk wel winst, maar goud ? De klanten zijn vermoedelijk nationale politiediensten/forensische laboratoria (oftewel, een paar per land - ik denk niet dat elk sheriff's department ervoor in de markt is) . Ze hebben minimaal één concurrent . En elke klant die een beetje oplet weet dat de tool min of meer goed is tot één of twee iOS updates .
De ontwikkelkosten zullen fors zijn - zullen we gokken op vijf a tien hackers/developers met een silicon valley salaris ?
Voor mensen met de relevante skillset concurreer je toch in die markt.
Als je 100 devices voor 30K verkoopt, heb je 3M. Dan kun je inderdaad die 10 hackers een serieus salaris betalen . Je hebt ook nog management / sales mensen met een travel budget, waarschijnlijk een fancy kantoor , en wat support engineers die de klanten helpen het ding te installeren.
Natuurlijk veel aannames, maar als primair product schat ik het als 'mooie winst' - maar geen bakken met geld .
Zou je even je NAW gegevens incl. BSN nummer en bankrekeningnummers hier willen posten?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.