Jak się nie dać zhakować Pegasusowi – porady i rekomendacje

dodał 13 stycznia 2022 o 21:51 w kategorii Info  z tagami: • • •
Jak się nie dać zhakować Pegasusowi – porady i rekomendacje

Czy można skutecznie zapobiegać infekcji (lub jej skutkom) za pomocą jednego z najbardziej wyrafinowanych narzędzi do inwigilacji? Nie jest to proste zadanie, ale wobec potencjału nadużyć Pegasusa warto zrobić przegląd możliwych rozwiązań.

Wiedza przedstawiona poniżej oparta jest o publicznie dostępne informacje na temat sposobu działania narzędzi takich jak Pegasus, głównie raporty Citizen Lab i Amnesty International. Nie możemy obiecać, że skutecznie zapobiegnie infekcji lub ograniczy jej skutki, ale wiele poniższych rekomendacji ma ogólnie pozytywny wpływ na bezpieczeństwo danych przetwarzanych na smartfonie. Jeśli zatem nie czujecie się celem Pegasusa, lektura (i wdrożenie) też nie zaszkodzi. Czekamy też na wasze propozycje – na pewno nie wyczerpaliśmy katalogu pomysłów.

Nie chcę czytać całości, dajcie streszczenie

  • używaj telefonu z Androidem, model spoza listy 20 najpopularniejszych, wyprodukowany nie dawniej niż 6 miesięcy temu,
  • dbaj o aktualizacje oprogramowania,
  • regularnie restartuj telefon (przynajmniej raz dziennie),
  • nie zostawiaj telefonu bez opieki,
  • używaj szyfrowanych komunikatorów,
  • raczej dzwoń niż pisz,
  • jeśli piszesz, włącz znikające wiadomości,
  • linki od nieznajomych otwieraj na komputerze.

Chcesz wiedzieć więcej? Przeczytaj artykuł, a już za ok. 2 tygodnie odbędzie się mój wykład na żywo (i oczywiście sesja Q&A) poświęcona wszystkiemu, co wiem o Pegasusie. Zapraszam do rejestracji (uwaga, dostęp będzie płatny – ale osoby zapisane oprócz linka do płatności dostaną także najlepszy możliwy kod rabatowy). Więcej szczegółów o planowanej treści wykładu znajdziesz na końcu artykułu.

Lepiej nie być celem

Najlepszą poradą jest nie być celem Pegasusa. Liczba licencji, którą dysponuje CBA, prawdopodobnie pozwala na równoczesny podsłuch 20-30 osób. Bycie poza listą 30 najciekawszych osób z punktu widzenia służb w Polsce powinno pomóc w uniknięciu infekcji. Nie jest to jednak porada dla wszystkich – są osoby, które (chcąc lub nie chcąc) na tej liście się jednak znajdą.

Gdy Android wygrywa z iOS-em

Wiemy, że infekcja telefonu musi opierać się o opracowaną przez producenta Pegasusa metodę ataku. Metoda ta w większości przypadków musi być opracowana dla konkretnego zestawu urządzenie + wersja oprogramowania. Rachunek ekonomiczny oznacza, że dużo łatwiej będzie zaatakować popularny model telefonu niż model niszowy. Z drugiej strony nie może być to model przestarzały, z oprogramowaniem sprzed paru lat – tam szansa na istnienie znanych błędów jest dużo większa. Rekomendujemy zatem:

  • Androida (wszystkie współczesne iPhone’y są zapewne obsługiwane przez producenta Pegasusa),
  • model z ostatnich 6 miesięcy, ale spoza top 20 najpopularniejszych telefonów na świecie,
  • dbanie o natychmiastowe instalowanie aktualizacji,
  • wymianę na nowy, gdy tylko skończy się dostępność aktualizacji oprogramowania.

Co ciekawe, wszystkie udokumentowane przypadki infekcji Pegasusem w ostatnich 3 latach dotyczą iPhone’ów. Nie znamy żadnego dowodu wskazującego, by ktokolwiek znalazł po roku 2018 Pegasusa na Androida (istniejące np. na GitHubie repozytoria zawierają starsze przykłady). Nie znaczy to oczywiście, że takiego nie ma – ale może być znacznie rzadziej używany i trudniej wykrywalny.

Ograniczenie tego, co da się przechwycić

Jeśli już zostaniemy ofiarą Pegasusa, to pamiętajmy, że operator narzędzia ma dostęp do dwóch kategorii informacji:

  • tego, co już zgromadziliśmy na urządzeniu do momentu infekcji,
  • tego, co na urządzenie trafi w trakcie trwania infekcji.

Jak zminimalizować obie kategorie? Oczywiście najlepiej nie robić zdjęć, nie wysyłać e-maili, nigdzie nie jeździć (historia lokalizacji) i do nikogo nie pisać / dzwonić – ale przecież do tego właśnie potrzebujemy telefonu. Polecamy zatem poufne treści przekazywać w sposób nie zostawiający ich treści na urządzeniu. Możemy to osiągnąć na dwa sposoby:

  • przekazując je głosowo (w ramach szyfrowanych połączeń w komunikatorach),
  • używając funkcji znikających wiadomości w szyfrowanych komunikatorach (Signal, wkrótce także WhatsApp).

Zaletą znikających wiadomości jest to, że po odczytaniu znikają one z urządzenia nadawcy i odbiorcy. Wadą znikających wiadomości jest to, że po odczytaniu znikają one z urządzenia nadawcy i odbiorcy. Poufność ma swoją cenę.

Niestety, jeśli nasz telefon jest już zainfekowany, to pisane i odbierane wiadomości mogą być na bieżąco zapisywane przez Pegasusa – nawet jeśli po chwili znikną z naszego telefonu, to może być za późno. Tu z pomocą przychodzi nam kolejny akapit.

Reboot na ratunek

Wiemy, że przynajmniej w latach 2019-2021 Pegasus nie potrafił przetrwać restartu na iPhonie. To oznacza, że jeśli wyłączyliśmy telefon i włączyliśmy go ponownie, mamy chwilę, dopóki operator ponownie nie zarazi telefonu, by np. nawiązać rozmowę telefoniczną lub wysłać znikającą wiadomość. Ile trwa ta chwila? Nie wiemy, ale skoro operator musi dokonać reinfekcji „ręcznie” (świadczy o tym podawana w raporcie Citizen Labu liczba reinfekcji telefonu senatora Brejzy – w ciągu 6 miesięcy było to „tylko” ponad 30 reinfekcji i następowały w odstępie kilku dni po sobie, więc raczej nie były automatyczne), to zapewne jest to w najgorszym wypadku kilka minut, a w najlepszym kilka dni.

Tryb samolotowy nie wystarcza

Czy przejście w tryb samolotowy to dobry pomysł na poufne spotkania z telefonem w kieszeni? Niekoniecznie, ponieważ oprogramowanie szpiegowskie może być tak skonfigurowane, by w momencie aktywowania trybu samolotowego np. włączyć mikrofon i nagrać następną godzinę dźwięków wokół urządzenia, a następnie po powrocie do trybu zwykłej pracy wysłać nagranie operatorowi. Lepiej telefon w takiej sytuacji wyłączyć.

Antyporady

Spotykamy często inne, niezbyt mądre porady dotyczące zabezpieczenia przed Pegasusem. Najczęstsze to:

  • używaj Nokii – bez sensu, ponieważ albo nie ma na nim szyfrowanych komunikatorów (a rozmowy i SMS-y służby mogą podsłuchiwać bez Pegasusa, dużo prościej),
  • używaj starego smartfona – bez sensu, ponieważ jego oprogramowanie ma najprawdopodobniej sporo błędów, przez które można zhakować telefon,
  • osobny, ukryty telefon do poufnej komunikacji – bez sensu, ponieważ służby są w stanie szybko ustalić posiadane przez ofiarę telefony, czy to poprzez źródła osobowe, czy dzięki fałszywym stacjom bazowym,
  • częsta zmiana telefonu – bez sensu, jak wyżej oraz mało praktyczne, chyba że możecie sobie pozwolić na używanie codziennie innego numeru telefonu,
  • używanie komunikatora „wykrywającego Pegasusa” – bzdura, komunikatory tak się reklamujące najwyżej wykrywają istnienie na telefonie aplikacji przejmującej uprawnienia i stosunkowo łatwo je w tej kwestii oszukać,
  • używanie komunikatora „odpornego na Pegasusa” – bzdura, Pegasus może podsłuchać dowolny komunikator, a to, że setek komunikatorów nie obsługuje domyślnie, świadczy jedynie o tym, że są one niezbyt popularne (twórca Pegasusa może dopisać odpowiedni moduł na zamówienie klienta),
  • używanie dedykowanych urządzeń, telefonów działających tylko w ramach swojej własnej sieci (nie tylko Catel, ale także np. oferty „dla przestępców” jak An0m) – mało praktyczne, bo albo niewygodne, albo okazuje się, że całą usługę świadczyło FBI.

Zapobieganie infekcji

Czy możemy w ogóle zapobiec infekcji telefonu? Wiemy o co najmniej czterech głównych metodach infekcji Pegasusem. Nie wiemy, czy wszystkie są nadal stosowane, ale dwie pierwsze na pewno były swojego czasu dostępne, a dwie kolejne są na pewno używane obecnie:

  • dostęp fizyczny do urządzenia,
  • bliskość fizyczna i przejęcie połączenia GSM,
  • atak zdalny wymagający interakcji użytkownika,
  • atak zdalny bez interakcji użytkownika.

Dostęp fizyczny

Obrona przed dostępem fizycznym wydaje się prosta – nie należy zostawiać telefonu bez opieki. Obejmuje to jednak także brak np. możliwości kąpieli morskich lub na basenie, brak możliwości wstępu do niektórych obiektów czy poddawania się niektórym zabiegom i badaniom (zostawienie telefonu w domu nie rozwiązuje problemu – chyba że ktoś zaufany przejmuje opiekę nad urządzeniem). Jak zatem minimalizować ryzyko? Polecamy, oprócz rekomendacji z wcześniejszych punktów:

  • długi PIN (minimum 6, lepiej 8 cyfr lub liter),
  • stosowanie biometrii do zabezpieczenia dostępu,
  • minimalizacja sytuacji, gdy spuszczamy telefon z oka.

Atak przez podstawioną sieć GSM

Wiemy, że jedną z metod infekcji było użycie tzw. jaskółki – fałszywej stacji bazowej, z którą w postaci walizki lub jadącego za nami samochodu podążają za ofiarą agenci. Fałszywa stacja bazowa przejmuje połączenia naszego telefonu i przeprowadza atak wstrzyknięcia własnych komunikatów, skutkujących infekcją urządzenia. Aby minimalizować ryzyko, polecamy, oprócz rekomendacji z wcześniejszych punktów:

  • wyczulenie na obecność osób / pojazdów w okolicy.

Atak zdalny wymagający interakcji użytkownika

Jednym z często używanych wektorów ataku były wiadomości (przekazywane np. za pomocą WhatsAppa czy iMessage), zawierające linka z krótkim opisem. Miał on zachęcić ofiarę do odwiedzenia danego adresu, pod którym czyhał już atak na przeglądarkę ofiary. Widzieliśmy głosy mówiące „użytkownik jest sam sobie winny, że kliknął w linka”. Ale zaraz, do czego niby służą linki, jak nie do klikania?

Trudno zarzucać dziennikarzowi piętnującemu działania autokratycznego reżimu, który otrzymuje wiadomość od anonimowego informatora z linkiem do „wykradzionych materiałów” lub innego wycieku, mającego szkodzić władzy. Wiele doświadczenia, samodyscypliny i umiejętności technicznych wymaga zapoznanie się z każdym przesłanym linkiem tylko w bezpiecznym środowisku. Wiele osób nie posiada w ogóle komputera, używając do wszystkiego telefonu – tu trudno już w ogóle rekomendować cokolwiek, oprócz wyjątkowej ostrożności w interpretacji wiadomości od anonimowych / nieznanych nadawców. Polecamy zatem:

  • tam, gdzie to możliwe, unikać klikania na telefonie w linki otrzymywane od nieznanych lub potencjalnie wrogich numerów,
  • jeśli to możliwe, podejrzane linki kopiować i otwierać na komputerze, w izolowanym środowisku wirtualnym.

Atak zdalny bez interakcji użytkownika

Tu, oprócz porad z pierwszych akapitów, nie mamy niestety żadnych lepszych pomysłów. Aktualizacje oprogramowania nie pomogą na błędy typu 0-day (nieznane producentowi w momencie ataku). Jedyną potencjalnie skuteczną metodą obrony jest używanie nietypowego modelu telefonu, obniżające szanse, że gotowy atak istnieje w arsenale producenta.

Wykrywanie Pegasusa

To dość skomplikowana kwestia, którą najlepiej wyjaśnił Wojtek Reguła w artykule opublikowanym wczoraj w naszym serwisie. Polecamy jego lekturę.

Chcesz wiedzieć więcej?

Już wkrótce (za ok. 2 tygodnie) odbędzie się mój wykład na żywo (i oczywiście sesja Q&A) poświęcona wszystkiemu, co wiem o Pegasusie:

  • historia Pegasusa w Polsce – kto, kiedy, od kogo kupił, jakiej używał infrastruktury, skąd mamy pewność, że jest używany,
  • historia najbardziej bulwersujących nadużyć,
  • analiza funkcji Pegasusa w oparciu o ulotki producenta, pozwy Facebooka i Apple oraz oferty składane innym krajom,
  • infrastruktura używana do przeprowadzania ataków,
  • przykłady linków z ataków,
  • rozwinięcie wątku obrony,
  • metody wykrywania obecności na telefonie,
  • analiza znanych ataków / exploitów,
  • historia producenta i jego obecnych problemów,
  • konkurencja Pegasusa – Candiru, Predator.

Udział w wykładzie będzie płatny. Jeśli chcesz poznać termin, cenę i kod dający najwyższy rabat ze wszystkich dostępnych, zapisz się na tej stronie. Jak tylko będę miał gotowe slajdy (a już produkuję), ustalę termin i wyślę powiadomienie wraz z linkiem do rejestracji. Nagranie wykładu będzie oczywiście dostępne – ale tylko tylko dla jego uczestników.

Podobne wpisy