О механизмах блокирования Android-устройств — 2

О механизмах блокирования Android-устройств — 2

Предыдущая статья о  механизмах блокирования Android-устройств содержала анализ механизмов блокирования, характерных для платформы Android. Механизмы, известные как «Pattern Lock» и «Password Lock» были также рассмотрены в статье Forensics FocusОба механизма могут быть использованы в качестве способов обхода защитных механизмов Android-устройств при криминалистическом исследовании.

Механизм блокировки «Pattern Lock» представляет собой множество жестов, которые обладатель устройства может совершить для его разблокировки. Такое множество содержит 895824 комбинаций возможных жестов. Как было сказано в прошлой статье, набор перемещений между 9 точками при создании пароля-жеста, представляет всего лишь числовую комбинацию, но все же это лучше, чем 4-значный PIN-механизм. Такая числовая комбинация программно обычно выглядит как строковая последовательность «1→2→3→4→5→6→7» с отсчётом от нуля в шестнадцатеричном (hex) виде, т.е. «0х00→0х01→0х02→0х03→0х04→0х05→0х06». Однако, при хранении этой комбинации используется  хеш-значение от шестнадцатеричного представления, получаемое при применении алгоритма SHA1, например «0×82 0×79 0x0A 0xD0 0xAD 0xEB 0×07 0xAC 0x2A 0×78 0xAC 0×07 0×03 0x8B 0xC9 0x3A 0×26 0×69 0x1F 0×12». Итоговый результат (хеш-значение) хранится в файле «/data/system/gesture.key».

Механизм блокировки «Password Lock», основан на применении пользователем набора, состоящего из цифр, букв и специальных символов, количество комбинаций которых на порядки больше, чем в «Pattern Lock» Поэтому создание словаря может не дать эффективного решения задачи обхода механизма. Со стороны платформы подход к хранению и размещению пользовательского парольного файла здесь ничем не отличается от описанного выше способа хранения. Итоговый результат (хеш-значение), полученный от применения алгоритма SHA1, хранится в файле «/data/system/pc.key».

Так как указанный файл расположен в папке «data/system» во внутреннем хранилище устройства, а не на карте памяти, то, по умолчанию, к нему нет прямого доступа. Чтобы к нему добраться, потребуются утилита ADB, права root на доступ к файловой системе и активированная опция «USB Debugging mode». Получив возможность взаимодействовать с обоими файлами «gesture.key» и «pc.key», можно осуществлять замену файлов на заранее подготовленный файл с известным паролем или набором жестов, либо же удалить эти файлы, сняв таким образом защиту устройства.

Специалистами «Forensic Focus» было потрачено всего несколько минут, чтобы получить словарь всех комбинаций для обхода механизма «Pattern Lock» от 1234 до 987654321. Сам словарь можно скачать по ссылке.

Юрий Чемёркин
Исследователь
ЗАО «Перспективный Мониторинг»