Forensik-Tool von ElcomSoft liest sichere Instant Messaging-App „Signal“ aus

Posted by PM-Ersteller - 29/08/19 at 02:08:21 p.m.

ElcomSoft aktualisiert Elcomsoft Phone Viewer (EPV), ein einfach zu bedienendes forensisches Tool für den schnellen Zugriff auf Informationen aus lokalen und mobilen iOS-Backups.

EPV kann ab sofort Chat-Verläufe von „Signal“ entschlüsseln und anzeigen; Signal ist eine der weltweit sichersten Messenger-Apps. Darüber hinaus ist EPV in der Lage, lokale iOS-Backup-Passwörter wiederherzustellen, die für die Screen Time-Funktion und zur Beschränkung der Bildschirmzeiten eingerichtet wurden

Selbst wenn die Signal-Datenbank aus dem iPhone-Dateisystem-Image extrahiert wurde, gestaltet sich der Zugriff auf Signal-Daten als äußerst schwierig. Denn Signal verwendet eine benutzerdefinierte Verschlüsselung. Der binäre Verschlüsselungs-Code wird auf hoher Schutzebene im iOS-Schlüsselbund gespeichert.

In seiner aktuellen Version 4.60 ist Elcomsoft Phone Viewer in der Lage, Signal-Datenbanken von iPhones auszulesen. Hierzu muss das Elcomsoft iOS Forensic Toolkit verwendet werden, um eine physische Erfassung am Gerät durchzuführen (Dateisystem und Schlüsselbund). Sobald die Datenbank entschlüsselt ist, können Forensik-Experten per Elcomsoft Phone Viewer auf Konto-Informationen, Anruflisten, Chat-Verläufe und Anhänge des Benutzers zugreifen.

„Signal ist eine unglaublich sichere, plattformübergreifende Instant Messaging-App, und ist mit mittlerweile über einer halben Million Benutzer sehr beliebt“, erklärt Vladimir Katalov, CEO von ElcomSoft. „Es ist schwierig, eine Signal-Datenbank zu knacken, denn die Daten werden nicht in der Cloud synchronisiert und selbst bei verschlüsselten lokalen Backups wird die Datenbank nicht angezeigt“, so Katalov weiter.

Screen Time-Passwort (iOS 12)

Mit Screen Time können Nutzer ab iOS 12 steuern, wie viel Zeit sie mit ihrem iPhone oder iPad verbringen wollen. iOS 12 verwendet Screen Time ebenfalls, um Privatsphäre-Einstellungen vorzunehmen. Forensik-Experten können nur auf wenige iPhone- oder iPad-Informationen zugreifen, sobald ein Passwort für die Screen Time (Bildschirmzeit) aktiviert ist und Einschränkungen hinsichtlich Privatsphäre und Datenschutz vorgenommen wurden.

Elcomsoft Phone Viewer kann in der aktuellsten Version 4.60 Screen Time-Passwörter anzeigen, wenn diese vorhanden sind. Hierzu extrahiert EPV das Screen Time-Passwort aus dem Schlüsselbund. Ein lokales (iTunes-)Backup mit einem bekannten Passwort wird hierzu benötigt.

Einschränkungs-Codes (iOS 7 bis iOS 11)

Ältere iOS-Versionen hashen Einschränkungs-Codes mit einem starken pbkdf2-hmac-sha1-Algorithmus. Obwohl eine Vielzahl mehrfacher Wiederholungen (Iterationen) zum Schutz des Hashs verwendet wird, kann Elcomsoft Phone Viewer einen Brute-Force-Angriff auf das Kennwort durchführen, wenn das iCloud-Backup geöffnet ist. Möglich ist dies, aufgrund der festen Länge von nur vier Passwort-Ziffern. Sobald EPV die Sicherung vollständig lädt, ist der Einschränkungs-Code vollständig wiederhergestellt.

Zur Wiederherstellung des Einschränkungs-Codes wird Folgendes benötigt: ein lokales Backup (iTunes) ohne Passwort oder mit einem bekannten Passwort, oder ein Cloud-Backup. Einschränkungs-Codes können ebenfalls aus dem iOS-Dateisystem-Image extrahiert werden (physische Erfassung).

Über Elcomsoft Phone Viewer

Elcomsoft Phone Viewer ist ein schnelles und leicht bedienbares Tool, mit dem Forensiker Informationen analysieren können, die mit ElcomSoft-Tools und Erfassungs-Tools von Drittanbietern extrahiert wurden. Experten können iOS-Backups und synchronisierte Daten anzeigen und entschlüsseln, den Inhalt von iCloud-Backups analysieren und Dateisystem-Images durchsuchen, die von iOS-Geräten ausgelesen wurden. Mit der Exportfunktion können Experten die forensische Untersuchung mit einem Forensik-Produkt ihrer Wahl fortsetzen.

Systemanforderungen

Elcomsoft Phone Viewer unterstützt Windows 7, 8, 8.1 sowie Windows 10. Die Mac-Version unterstützt macOS X 10.8 und höher. Elcomsoft Phone Viewer funktioniert ohne Apple iTunes-Installation. Windows-Nutzer müssen iCloud für Windows installieren, Mac-Benutzer müssen macOS 10.11 oder neuer ausführen.

Verantwortlicher für diese Pressemitteilung:

Elcomsoft Co. Ltd.
Frau Olga Koksharova
Zvezdnyi blvd. 21
129085 Moskau
Rußland

fon ..: +7 495 9741162
web ..: http://www.elcomsoft.de
email : sales@elcomsoft.de

Pressekontakt:

Prolog Communications GmbH
Herr Achim Heinze
Sendlinger Str. 24
80331 München

fon ..: +49 89 800 77-0
web ..: http://www.prolog-pr.com
email : elcomsoft@prolog-pr.com

Elcomsoft iOS Forensic Toolkit: Der forensische Dosenöffner für iOS 12-Daten

Posted by PM-Ersteller - 25/02/19 at 01:02:25 p.m.

ElcomSoft hat ein umfangreiches Update des iOS Forensic Toolkit (EIFT) veröffentlicht, einem forensischen Tool zum Auslesen von Daten aus den Apple-Mobilgeräten iPhone, iPad und iPod Touch.

Die aktuelle Version 5.0 fügt den Support für die forensische Daten-Extraktion einer Vielzahl von Apple-Geräten hinzu, auf denen iOS 12 inklusive iOS 12.1.2 läuft. Das Tool extrahiert hierzu den Inhalt des Dateisystems und entschlüsselt Kennwörter sowie Authentifizierungs-Informationen, die im iOS-Schlüsselbund gespeichert sind. Für den Low-Level-Zugriff auf das Dateisystem von iOS 12-Geräten verwendet EIFT die neueste Generation von Rootless-Jailbreaks, die Anfang Februar 2019 veröffentlicht wurden.

Zum ersten Mal ist iOS Forensic Toolkit nicht auf einen eigenständigen Jailbreak angewiesen, um auf das Dateisystem zuzugreifen. Stattdessen verwendet das Toolkit einen Rootless-Jailbreak (‚rootlessJB‘), der einen deutlich geringeren Platzbedarf als traditionelle Jailbreaks hat. Rootless-Jailbreaks besitzen zudem den Vorteil, dass sie im Gegensatz zu klassischen Jailbreaks nur einen geringfügigen forensischen Fußabdruck auf dem betroffenen Gerät hinterlassen. Herkömmliche Jailbreaks führen nämlich Schritte aus, um das Dateisystem erneut bereitzustellen und den Inhalt der Systempartition zu ändern, wodurch das Gerät nur schwer in den unveränderten Zustand zurückkehren kann. Daher eignen sich klassische Jailbreaks aus forensischer Sicht nur eingeschränkt.

Über einen Rootless Jailbreak erhält man Low-Level-Zugriff, was bedeutet, dass man nicht wie bei einem klassischen Jailbreak auf das ‚Root‘- oder ‚/‘-Verzeichnis zugreifen kann, sondern auf das ‚/var‘-Verzeichnis. Derzeit wird der Rootless-Jailbreak auf den meisten Geräten unterstützt, auf denen iOS 12 ausgeführt werden kann.

„Wir erwarten, dass die Anzahl der iOS 12-Geräte, die den Rootless-Jailbreak unterstützen, im Laufe des Jahres weiter zunimmt“, sagt Vladimir Katalov, CEO von ElcomSoft.

Umfangreiche Extraktions-Möglichkeiten für iOS 12

Elcomsoft iOS Forensic Toolkit 5.0 ermöglicht Forensik-Experten die physische Extraktion von Daten aus einer Vielzahl von Apple-Geräten, auf denen alle Versionen von iOS 12 bis einschließlich iOS 12.1.2 ausgeführt werden. Das Toolkit ermöglicht das Extrahieren des Dateisystems für alle unterstützten Geräte und entschlüsselt den iOS-Schlüsselbund, um auf gespeicherte Kennwörter und Authentifizierungs-Informationen zuzugreifen.

Die physische Erfassung bietet im Vergleich zu allen anderen Erfassungsmethoden zahlreiche Vorteile, da der Zugriff auf geschützte Teile des Dateisystems ermöglicht wird und Daten extrahiert werden, die nicht mit der iCloud synchronisiert oder in lokalen Sicherungen enthalten sind. Die physische Erfassung im Speziellen ist die einzige Methode, um auf Schlüsselbund-Elemente zuzugreifen, die auf die höchste Schutzklasse abzielen.

Hierzu hat ElcomSoft ein Verfahren zum Extrahieren und Entschlüsseln geschützter Schlüsselbund-Objekte entwickelt, das im Vergleich zur logischen oder Cloud-Extraktion eine weitaus größere Beweismenge liefert. Zu den ausschließlich durch physische Extraktion verfügbaren Schlüsselbund-Elementen gehören Kennwörter zum Sichern von Apps sowie Authentifizierungs-Token für E-Mail-Konten, Online-Dienste und soziale Netzwerke, die niemals in die iCloud hochgeladen oder in Systemsicherungen gespeichert werden.

Über die Dateisystemextraktion erhält man vollen Zugriff auf Anwendungs-Sandboxen und alle Systembereiche. Zu den ausschließlich über die Dateisystem-Extraktion verfügbaren Daten zählen: heruntergeladene E-Mail-Nachrichten, Chat-Datenbanken und Daten von Zwei-Faktor-Authentifizierungs-Apps, Systemprotokolle und detaillierte Standortdaten.

„iOS Forensic Toolkit öffnet Tür und Tor zu ziemlich allem, was ein Benutzer auf einem iOS 12-Gerät abgespeichert“, sagt Katalov stolz über die neue Version des Toolkits.

Weitere Informationen zum neuen Datenerfassungs-Prozess und zum Rootless Jailbreak finden Sie auf dem ElcomSoft-Blog: https://blog.elcomsoft.com/2019/02/physical-extraction-and-file-system-imaging-of-ios-12-devices/

Informationen zu Preisen und den Systemanforderungen von Elcomsoft iOS Forensic Toolkit finden Sie hier: https://www.elcomsoft.de/eift.html

Verantwortlicher für diese Pressemitteilung:

Elcomsoft Co. Ltd.
Frau Olga Koksharova
Zvezdnyi blvd. 21
129085 Moskau
Rußland

fon ..: +7 495 9741162
web ..: http://www.elcomsoft.de
email : sales@elcomsoft.de

Pressekontakt:

Prolog Communications GmbH
Herr Achim Heinze
Sendlinger Str. 24
80331 München

fon ..: +49 89 800 77-0
web ..: http://www.prolog-pr.com
email : elcomsoft@prolog-pr.com