Насколько безопасна блокировка шаблона?

53

Недавно у меня украли телефон. Он был заменен, я изменил свои пароли, телефонная компания отключила связь для украденного ... Я думаю, что я в значительной степени безопасен, насколько я могу.

Тем не менее, это заставило меня задуматься. Насколько безопасна блокировка шаблона? У моего телефона была блокировка шаблона, поэтому я предполагаю, что это означает, что обычный пользователь не может его поднять и что-либо сделать.

Но если бы у кого-то было все время в мире и некоторые технические ноу-хау, они могли бы обойти это?

Или телефон можно использовать только в том случае, если человек стирает его и начинает все сначала?

Примечание 1: я знаю, что данные на SD-карте - это отдельная проблема, я просто интересуюсь телефоном и его внутренне сохраненными данными.

Примечание 2: я видел другие вопросы о восстановлении пароля через учетную запись Google, но человек, который забрал мой телефон (предположительно), не имеет возможности сбросить мой шаблон таким образом, поэтому я считаю, что этот вопрос отдельный вопрос.

security

— интервьюер
источник

4

Как уже было сказано, когда ваше оборудование попадает в чужие руки, все ставки отменяются - практически нет защиты от достаточно квалифицированного и мотивированного хакера.

— Мартин Тапанков

1

Без указания того, насколько ценным является содержимое вашего телефона, на такой вопрос невозможно ответить. Когда вы спрашиваете «Насколько безопасны?», Вы имеете в виду: «Насколько безопасны» для вашего ребенка, для вашего соседа, для профессионального программиста, для гуру Android или для спецслужб? Общие вопросы требуют общих ответов.

— Мартин Тапанков

3

@MartinTapankov: Верно. Таким образом: Вообще говоря, бояться абсолютных крайностей возможности нереально и ненужно. Нужно ли указывать, что я не международный шпион, чтобы получить прямой ответ?

— Спрашивающий

1

Вообще говоря, если человек не украл ваш телефон с конкретными намерениями получить ваши данные, то он, вероятно, не заботится об этом. Даже если бы они знали, как это обойти. Как правило, они больше заинтересованы в оборудовании. Конечно, если они обойдут это, взглянут и увидят что-то действительно соблазнительное, тогда у вас могут быть проблемы.

— Джим Маккит

24

Вам даже не нужно много технических знаний, как взломать большинство телефонов с сенсорным экраном. Недавно был опубликован официальный документ о безопасности механизмов блокировки сенсорного экрана (и в частности блокировок шаблонов) и о проникновении в эти устройства с использованием сальных пятен на экране, чтобы получить код разблокировки.

8 Заключение
В этой статье мы исследовали пятна, используя остатки масла на устройствах с сенсорным экраном. Мы исследовали возможность захвата таких пятен, сосредоточив внимание на его влиянии на структуру пароля смартфонов Android. Используя фотографии, снятые при различных положениях освещения и камеры, мы показали, что во многих ситуациях полное или частичное восстановление рисунка возможно, даже при незначительном «шуме» от симуляции использования приложения или искажениях, вызванных случайным контактом с одеждой. Мы также обрисовали в общих чертах, как злоумышленник может использовать информацию, полученную в результате неконтролируемой атаки, чтобы повысить вероятность угадывания шаблонов пользователя. ...

Размашистые атаки на сенсорных экранах смартфонов (PDF)

Остальную статью тоже стоит прочитать.

— GAThrawn
источник

Это то, что я упомянул выше, но я не могу найти бумагу в настоящее время.

— Леандрос

1

@DaveMG Я думаю, что «разнообразие освещения и положения камеры» на самом деле было просто для того, чтобы они могли воспроизводимым образом воспроизводить, как вы держите телефон на солнце и меняете его угол до тех пор, пока все пятна не станут четкими. Тем не менее, они также внесли небольшие изменения в контраст и улучшили цвет на некоторых фотографиях, чтобы в некоторых случаях их было легче увидеть (хороший пример - рисунок A6). Лично я думаю, что, хотя это маловероятно, подобные вещи гораздо более вероятны, чем случайный вор, использующий средства отладки ADB для проверки внутренней памяти телефона.

— GAThrawn

1

@DaveMG Посмотрите на эту работу о том, как получить PIN-коды с ATm, используя ИК: nakedsecurity.sophos.com/2011/08/17/…

— Peanut

@GAThrawn Если вы читаете эту статью, то, если вы ее прочитаете, они на самом деле не используют этот реалистичный сценарий атаки. «Мы основали нашу симуляцию использования на телефонном приложении»; Если вы посмотрите на картинку, они не очень-то ее использовали для прокрутки вверх и вниз для начала, и для меня, по крайней мере, телефонное приложение на самом деле одно из наименее используемых.

— арахис

18

Это небезопасно в зависимости от нескольких случаев * .

Вот пример эксплойта, который может сделать хакер или пользователь выше среднего (с помощью инструмента adb и телефона, подключенного к ПК): -

Код для взлома шаблона Эксплойт 2

^{****** Может применяться только на рутованных устройствах. (хотя не всем командам adb требуется root) «Отладка по USB» также должна быть установлена перед использованием инструмента adb *. Но, как было сказано ранее, некоторые устройства также могут быть подключены через ADB. На самом деле, опытный хакер может также найти лазейки для получения доступа к внутренним данным. (возможно даже найти способ использовать adb без опции отладки usb)}

Блокировка Android Pattern также имеет много глюков, делающих его относительно небезопасным. Вот пример ..

Хотя упомянутые выше эксплойты и некоторые глюки могут быть исправлены Google в следующих версиях, блокировка шаблона остается блокировкой шаблона. то есть его можно рассматривать как простой надежный путь к использованию пользовательского интерфейса андроида. Блокировка шаблона не шифрует содержимое телефона. Это не остановит хакера от игры с использованием оболочки adb. Он может просматривать внутреннюю память телефона и т. Д. С помощью инструмента adb, который бесплатно предоставляется в Android SDK

Кроме того, внутренняя память в значительной степени скомпрометирована, так как могут быть другие способы монтировать или читать ее.

Все, что я могу сказать на данный момент, было бы лучше, если вы отключите «отладку по USB», если вам это не нужно, в качестве дополнительной меры безопасности.

— Ирфан
источник

2

Я не понимаю, где хакер будет вводить это. Разве им не нужно получать доступ через USB, и для этого им не нужно было бы предоставлять доступ с устройства? Или это выполняется какой-то загрузкой восстановления или чем-то?

— Спрашивающий

1

Это работает только, если телефон рутирован. (Просто хочу сказать)

— Леандрос

1

@Dave: Это также не будет работать, если отладка по USB отключена, поскольку блокировка не позволит вам получить доступ к настройке, чтобы включить его. Однако, если у вас есть телефон с поддержкой рутирования и отладки, это работает (и в вашем случае кажется, что это не относится).

— eldarerathis

3

@DaveMG: Теоретически, злоумышленник может попытаться получить root права на ваше устройство, adbесли включена отладка. Полагаю, удастся ли им это будет зависеть от конкретного устройства и версии Android, я полагаю, поскольку некоторые из них имеют легко эксплуатируемые уязвимости (например, Gingerbreak ), а другие нет.

— eldarerathis

1

Этот метод не работает! Строка lock_pattern_autolockоленья кожа существует. Просто мои 2 цента

— Леандрос

8

По крайней мере, на большинстве телефонов вы можете просто удерживать клавишу / клавиши регулировки громкости, чтобы перейти к быстрой загрузке / восстановлению. Оттуда можно легко получить ADB-соединение, даже если у вас нет отладки USB, и доступ к внутренней памяти. Оттуда даже можно получить root права на телефон, чтобы можно было редактировать внутренние файлы и отключать блокировку, как предложено Power-Inside. Все это можно сделать за несколько минут!

— varesa
источник

Удерживая клавишу громкости / клавиши во время загрузки, вы можете перейти к быстрой загрузке / восстановлению, как я уже сказал. Я считаю, что это дает вам мгновенный доступ к ADB. Вы можете даже получить root (по крайней мере, большинство телефонов) оттуда

— varesa

Телефоны делают это немного по-другому. На galaxy 2 вам, кажется, приходится удерживать громкость и дома.

— Вареса

1

Шаблон не очень безопасен, потому что вы можете просто сделать очистку данных в процессе восстановления. И ты в телефоне. Кроме того, шаблон часто можно увидеть на экране, потому что вы проводите каждый раз, когда разблокируете свой телефон, этот шаблон.

— Leandros
источник

2

восстановление и формат всегда доступны на афаике, но постер больше озабочен доступностью его внутренних данных"..I'm just wondering about the phone and it's internally stored data."

— Irfan