Cellebrite dicht enkele door Signal aangetroffen kwetsbaarheden in hacktool

Cellebrite heeft enkele kwetsbaarheden in zijn Physical Analyzer-software gedicht, die overheden kunnen gebruiken om data aan iPhones te onttrekken. Het ontwikkelteam achter Signal ontdekte kwetsbaarheden in de hackingtools van het Israëlische bedrijf Cellebrite.

Cellebrite publiceerde een update die enkele van de ontdekte kwetsbaarheden zou verhelpen. Volgens release notes van Cellebrite die 9to5Mac kon inkijken zal de data-ontginning op iPhones voortaan niet meer via de Physical Analyzer-software lopen, maar via de universal forensic extraction devices die het bedrijf maakt. Deze ufeds zouden op hun beurt de ontgonnen data laten analyseren door de Physical Analyzer-software.

Eén van de medewerkers van het Signal-ontwikkelteam kwam naar eigen zeggen toevallig in het bezit van de hackingtool. Dat is te lezen op de blogpagina van het bedrijf, waar ontwikkelaar Moxie Marlinspike vorige week zijn bevindingen omschreef. Hij legde uit dat het team verrast werd door de vele kwetsbaarheden die het aantrof in de software van Cellebrite waaronder het gebruik van verouderde dynamic link libraries.

Het team claimt bijgevolg dat het aan de hand van een klein softwarebestand de resultaten van de Physical Analyzer-software makkelijk kan manipuleren, alsook de computer waarop de software draait kan infecteren zodat toekomstige en al uitgevoerde data-analyses gemanipuleerd kunnen worden. Signal hintte erop dat het dit softwarebestand, en variaties hierop, zou gaan opnemen in een toekomstige versie haar chatapplicatie en om daarmee haar gebruikers naar eigen zeggen te beschermen tegen de hackingtools van het Israëlische bedrijf.

Reacties (43)

De eerste zaak gebaseerd op de resultaten van die hack heeft zich al aangedient: https://gizmodo.com/signa...g-grief-for-th-1846773797

Precies, dit was het nieuws vandaag. Niet bovenstaand plempsel. Slimme advocaten zijn nu alle cases aan het herzien waarbij de politie gebruik gemaakt heeft van cellebrite. Volgens mij omdat die kastjes lek als een mandje waren en daarmee de resultaten uit die apparaten betwist kunnen worden.

Het zou betwist kunnen worden, zeker, maar voor veel zaken maakt het uiteindelijk natuurlijk niet zoveel uit. Bij forensische opsporing is het natuurlijk heel belangrijk om je methodes te waarborgen en kunnen verantwoorden. Want stel je voor dat de vingerafdruk die jij hebt gevonden door een wankele methode misschien NIET van de verdachte zou kunnen zijn...

Maar als er op een bepaalde telefoon zeer belastend materiaal wordt gevonden... Ik noem maar chatlogs met ernstige besprekingen, ik noem maar foto's van gestolen waar of kinderporno of wat dan ook. Dan kan de gebruikte methode om dat belastend materiaal te vinden misschien onbetrouwbaar zijn maar leg dan maar aan de rechter uit hoe het materiaal er wel op komt en waarom het niet van de verdachte is als de telefoon bewezen eigendom (en gebruiksvoorwerp) van de verdachte is.

Dus volgens mij valt het allemaal nog wel mee met deze "hack".

De vraag is wat bedoeld wordt met 'op telefoon gevonden'. De blog geeft aan dat het mogelijk is om de output van cellebrite te manipuleren. Niet alleen de output van een telefoon met signal, maar ook van telefoons die daarna worden uitgelezen. Ofwel de output van cellebrite hoeft niet identiek te zijn met de bestanden op de telefoon.

Wat van gevolgen dit voor de rechtgang heeft durf ik niet te zeggen. Een veroordeling met alleen celebrite data lijkt me nu ook niet voldoende (bv een chatlog met 'ik heb de bank overvallen') maar is het nu nog steeds gerechtvaardigd om een huiszoeking te doen op basis van celebrite data? Is bewijs die in het verleden is verkregen door een dergelijke huiszoeking nog steeds bruikbaar?

Deze resultaten zouden er toe moeten leiden dat de juridische waarde van een Cellebrite uitdraai van het toestel van een verdachte omlaag gaan of misschien zelfs wel niets waard wordt.

Er zal verschillend per eerdere zaak gekeken moeten worden of de gegevens van het toestel de "damning evidence" was, of dat dat in andere zaken zat.

Als de Cellebrite uitdraai van het toestel van de verdachte het belangrijkste bewijs is in een zaak, dan verwacht ik dat deze "nieuwe kennis" (mits het op een of andere manier ook bewezen kan worden, er vanuit gaande dat dit artikel op basis van constateringen van Signal niet genoeg is) wel de kans geeft om een zaak om te gooien.

Off topic:
Het is uit het beginsel al best raar dat zo'n uitdraai als feitelijk kan worden aangediend, zonder dat er voor de verdedigende partij een mogelijkheid is die op waarheid en betrouwbaarheid te toetsen.

Op de een of andere manier is het Ars Technica gelukt om een week eerder met een diepgaander artikel te komen.

Daarin wordt toegelicht waarom het allemaal niet meevalt met deze 'hack':

.. it’s possible to execute code that modifies not just the Cellebrite report being created in that scan, but also all previous and future generated Cellebrite reports from all previously scanned devices and all future scanned devices in any arbitrary way (inserting or removing text, email, photos, contacts, files, or any other data), with no detectable timestamp changes or checksum failures.

Maar de originele blogpost is net zo goed het lezen waard!

By a truly unbelievable coincidence, I was recently out for a walk when I saw a small package fall off a truck ahead of me (...)

om af te sluiten met

In completely unrelated news, upcoming versions of Signal will be periodically fetching files to place in app storage.

Daarom is deze hack wel degelijk van belang, en valt het dus niet mee met deze 'hack'. En wel vanwege de regel:

Het team claimt bijgevolg dat het aan de hand van een klein softwarebestand de resultaten van de Physical Analyzer-software makkelijk kan manipuleren, alsook de computer waarop de software draait kan infecteren zodat toekomstige en al uitgevoerde data-analyses gemanipuleerd kunnen worden.

Dus je opmerking:

maar leg dan maar aan de rechter uit hoe het materiaal er wel op komt en waarom het niet van de verdachte is als de telefoon bewezen eigendom (en gebruiksvoorwerp) van de verdachte is.

Is heel simpel te weerleggen. De resultaten kunnen gemanipuleerd worden, dus het materiaal kan door een andere partij zijn toegevoegd aan het resultaat. Dat maakt het materiaal direct onbetrouwbaar en onbruikbaar als de aanklager niet kan bewijzen dat dat niet zo is (en als er dus een bewezen kwetsbare versie van de software is gebruikt zal dat lastig zijn).

Het is dus niet alleen dat de gebruikte methode onbetrouwbaar is, ook de resultaten (en toekomstige resultaten die dat apparaat genereert) zijn onbetrouwbaar want die kunnen gemanipuleerd zijn. Manipuleren wil niet enkel zeggen dat er data kan ontbreken, er kan ook (belastende) data toegevoegd worden aan het resultaat. De vergelijking met een vingerafdruk is daarom niet zo geschikt naar mijn mening. Of een vingerafdruk overeenkomt met die van een verdachte is bij twijfel eenvoudig opnieuw vast te stellen, of een resultaat van deze tool gemanipuleerd wordt zal heel wat lastiger vast te stellen zijn. Deze hack maakt het dus bij wijze van spreken mogelijk 'een onjuiste vingerafdruk achteraf op het bewijs te plaatsen'.

Het gevaar is wanneer we informatie verkrijgen op een minder legale wijze, hoe kun je zeker zijn dat deze informatie echt is. Zelfs al is deze legaal, zouden partijen die dit soort tools verkopen 100% open source moeten zijn zodat de verdachte in de gelegenheid is om in te zien dat deze informatie daadwerkelijk correct wordt verzameld. Het verzamelen van data met een zwarte doos en een berg kabels zonder dat je weet of deze zwarte doos ook data manipuleert is laakbaar op z'n minst.

En dit is het probleem met de overheid die zijn werk ethisch verantwoord dient te doen en dit uiteindelijk niet doet. Hoe weet ik in het extreme geval zoals Encrochat dat die data niet gemanipuleerd is? In de goede oude tijd plantte de politie een zakje met cocaine in jou zak, waarom zouden ze dit niet nu weer doen maar dan digitaal?

Sowieso begrijp ik niet dat de chain of evidence niet veel beter bewaakt wordt. Er bestaat dus een computer waar data van verschillende gekraakte telefoons op worden bewaard? En die afzonderlijke satasets kunnen deze pc misschien beinvloeden? Een beetje cybersecurityspecialist zou toch op z'n minst voor elke kraak de machine volledig schoonmaken en de originele, geverifieerde versie van de Cellebrite software installeren. Anders is later toch nooit meer na te gaan welke software de data allemaal is gepasseerd, en dus mogelijk beinvloed?

Dat is ook wat mij zo sterk lijkt aan het artikel, dat alle andere rapporten benaderd kunnen worden. Het lijkt mij heel sterk dat een forensische kopie überhaupt aangepast kan worden.

Nouja, zonde van die criminelen die vrijuit gaan, maar wel goed dat overheden die dit soort tools gebruiken nu het deksel op de neus krijgen.

Van inlichtingendiensten snap ik het wel, maar die hebben geen juridische checks. Ben ik het trouwens ook niet mee eens maar dat is nou eenmaal zo. Bovendien leidt hun werk meer tot informatievergaring en niet direct of straffen (of zou dit zo moeten zijn in elk geval).

Maar voor de politie vind ik het aankopen van gestolen data of gebruik van niet open hackingtools zonder duidelijke werking, gewoon echt te kort door de bocht. De integriteit van de bewijslast komt me zo te veel onder spanning te staan. De stap naar een tool die voor een X bedrag het 'gewenste' bewijs levert is te klein. Vooral omdat dit eigenlijk altijd gesloten tools zijn waarvan de werking niet geverifieerd kan worden (vanwege het bedrijfsgeheim van de maker)

Ik vind dat op zijn minst de gevonden data (het belastende materiaal) op een andere manier geverifieerd zou moeten worden om gebruikt te worden. Zodat zeker is dat het echt zo is zonder dat er mee gerommeld is. Zoals Moxie heeft aangetoond is dat helemaal niet iets dat onmogelijk is. Zeker niet voor een staats- of groot-zakelijke partij met veel middelen.

Dus met andere woorden: Sta het toe als inlichtingenvergaring maar niet als bewijsvoering. Net als een tip bijvoorbeeld: Dat kan tot een spoor leiden maar is geen bewijs op zich. Tenzij de tool echt alleen wordt gebruikt om de telefoon te unlocken maar de informatie er niet mee vergaard wordt. Dat was hier wel het geval.

[Reactie gewijzigd door GekkePrutser op 29 april 2021 00:22]

Jammer dat de meeste mensen geen slimme advocaten kunnen betalen.

Goed om te zien dat advocaten hier ook gebruik van maken. Geen verdachte mag wat mij betreft veroordeeld worden aan de hand van closed-source applicaties en/of geheime algoritmen.

Iets wat hier natuurlijk ook een gevoelig onderwerp is aangezien de belastingdienst duidelijk niet mijn mening deelt.

Opmerkelijk is het volgende in die blog post van Signal:

In completely unrelated news, upcoming versions of Signal will be periodically fetching files to place in app storage. These files are never used for anything inside Signal and never interact with Signal software or data, but they look nice, and aesthetics are important in software. Files will only be returned for accounts that have been active installs for some time already, and only probabilistically in low percentages based on phone number sharding. We have a few different versions of files that we think are aesthetically pleasing, and will iterate through those slowly over time. There is no other significance to these files.

Wat houdt dit eigenlijk in, maar vooral, waarom 'terzijde' genoemd in die blog post? 'Because it looks nice and "aesthetics are important in" blog posts too?'
Oh en uit welke film kwam die UFED clip?

[Reactie gewijzigd door 86ul op 28 april 2021 19:26]

Dat is natuurlijk niet terzijde. Er wordt geïmpliceerd dat ze op willekeurige telefoons van Signal gebruikers de eerder besproken bestanden zullen plaatsen die het Cellebrite systeem kunnen hacken en compromitteren.
Mogelijk heeft hun advocaat geadviseerd niet letterlijk te schrijven dat ze dat van plan zijn. In sommige jurisdicties wordt daar niet al te vriendelijk tegenaan gekeken.

Hierdoor staat, vanaf nu, iedereen die zich wil verdedigen door te stellen dat Cellebrite zo lek is als een mandje, en dat de resultaten onbetrouwbaar zijn, een stuk sterker. Zelfs als Cellebrite beweerd alle bugs te hebben opgelost zal er twijfel blijven bestaan. Slechte software en een slechte ontwikkelcultuur veranderen nou eenmaal niet van het ene op het andere moment. Bovendien, software zonder bugs bestaat niet.

Die toegenomen twijfel zal er voor zorgen dat veel meer advocaten bezwaar tegen door Cellebrite geleverd forensisch materiaal zullen aantekenen. Ook is te verwachten dat verdedigingen in rechtszaken toegang tot de Cellebrite hardware, software en source code zullen eisen om zelf de merites van het forensisch proces te kunnen controleren. Door de aangetoonde onbetrouwbaarheid van Cellebrite zullen rechters meer geneigd zijn dit toe te staan en dan stuit justitie op het probleem dat ze waarschijnlijk alleen een gebruikscontract met Cellebrite hebben, maar expliciet niet het recht op toegang tot de source code. En als ze die wel hebben, dan is er zeker een geheimhoudingsplicht waardoor het lastig wordt de source code als bewijsmateriaal in een rechtszaak te gebruiken. Want dat is het laatste wat Cellebrite wil.

[Reactie gewijzigd door locke960 op 28 april 2021 21:22]

Dit terzijde is juist waar het om draait en is regelrecht (nerd) humor. De Tweakers redactie lijkt dit niet goed begrepen te hebben. Tweakers beweert:

Signal zal dit softwarebestand, en variaties hierop, opnemen in toekomstige versie haar chatapplicatie en wil daarmee haar gebruikers naar eigen zeggen beschermen tegen de hackingtools van het Israëlische bedrijf.

Signal zegt dit niet en suggereert ook niet dat ze haar gebruikers wil beschermen tegen Cellebrite. Signal zegt in haar eerdere relaas wel dat het met eenklein bestandje heel simpel is om bv. de Cellebrite downloads te wissen. Signal vertelt daarop dat ze zelf "gewoon wat leuk uitziende bestandjes" gaan toevoegen aan de Signal app, gewoon, omdat het kan. Signal zegt nergens dat deze bestandjes wat code zouden kunnen bevatten waar de Cellebrite tool mee onderuit gaat.

Logisch dat wij er in lezen dat Signal in die bestandjes best wel eens wat code zou kunnen plaatsen om Cellebrite het leven zuur te maken. Maar Signal beweert dit zelf niet. Tweakers wel en zelfs heel stellig, maar op basis waarvan?

Klinkt mij in de oren dat ze op poëtische wijze de gebruikers van hacktools willen melden dat hun tool niet de gewenste informatie opgeleverd heeft, behalve nutteloze data.

Ik denk bij wijze van grap om Cellebrite een hak te zetten.

En: https://www.imdb.com/title/tt0113243

Oh en uit welke film kwam die UFED clip?

Is dat die film?

Het grootste probleem is hier dat er dus een file op een telefoon te plaatsen is die ervoor zorgt dat elk oud rapport en toekomstig rapport van Cellebrite gemodificeerd kan worden, wat dus alle output van hun ongeldig verklaart, want je weet ook niet of je compromised bent.

Dat hangt er vanaf hoe je het bekijkt. Als iemand jou telefoon probeert in de gaten te houden dan kan je daar via deze fouten zelf controle over krijgen. Dan is dat voor jou dus eerder een oplossing tegen dat in de gaten houden.

Met Celebrite wordt je telefoon niet in de gaten gehouden, maar het is effectief een cloning device, waarbij de inhoud van je telefoon (fysieke toegang is echt vereist) gekopieerd en eventueel decrypted kan worden.

Het is niet te traceren.
Persoon A zet een malafide file op z'n telefoon en infecteert Cellebrite bij een crimineel onderzoeksinstituut.
Persoon B wordt gearresteerd om iets heel anders en de telefoon wordt geanalyseerd door hetzelfde onderzoeksinstituut.

Elk bewijs mbt Persoon B is nu niet meer geldig, omdat de waarheid niet meer getoetst kan worden. Let wel, dit is ook al het geval nu, omdat de kwetsbaarheid er in zit en men niet kan garanderen dat ze niet geinfecteerd zijn.

Dit kan dan betekenen dat:
- een onschuldig ten onrechte als schuldige wordt gezien
- een schuldige ten onrechte als onschuldige wordt gezien

Lijkt me een vrij ernstige zaak.

Exact, wat het dus compleet onbetrouwbaar maakt - zeker voor vergaren juridisch bewijs.

Maar niet alle output wordt ongeldig verklaart. Als je al veroordeeld bent in Amerika wegens wat er op je telefoon stond, dan is het aan jou om aan te tonen dat je telefoon hier last van had en niet meer aan de overheid om aan te tonen dat hun methode correct was.

Nou... deze kwetsbaarheid zit er al even in, wat dus maakt dat je je vragen kan stellen bij de geldigheid van het bewijs. Een goeie advocaat zal nu vragen of de aanklager kan garanderen of het bewijs, als dat het enige bewijs was, sluitend was. De bewijslast ligt niet andersom he?

Een beetje alsof je erachter komt alsof een bepaald sporenonderzoek helemaal niet betrouwbaar was een paar jaar later.

Sorry, maar is dit niet al redelijk verouderd nieuws? Werd vorige week al uitgebreid over bericht op diverse media platforms. Zo ook al op 22 april op Security.nl https://www.security.nl/p...rensische+tool+Cellebrite

Toentertijd had ik inderdaad de blogpost gesubmit in de queue, echter helaas niet geplaatst toen het echt nog actueel was. Kwetsbaarheid is naar verluidt inmiddels zelfs (eindelijk?) verholpen sinds eergisteren. Bron1 Bron2
Eindelijk refererend naar wat Signal aangeeft naar bekende kwetsbaarheden die al langere tijd zijn verholpen en dat sterk verouderde dll-libraries worden gebruikt.
Edit: waarom -1 modereren?

[Reactie gewijzigd door PeacekeeperNL op 28 april 2021 19:39]

En niet alleen jij: ook ík had het toen al getipt aan de redactie. Dus met al onze tips hebben ze niks gedaan en een week later ineens wel. Geen ramp, maar het verbaast me een beetje.

Klopt. Is toen ook door meerdere mensen gesubmit maar dat is genegeerd; had er zelf ook over geschreven op Gathering. Uurtje geleden de URL die Jester-NL in de comments heeft gezet gesubmit, misschien is de redactie nu toch wakker geworden/eindelijk besloten er toch maar over te berichten. Wel raar dat ze dan niet ook meteen ff die eerste rechtszaak vermelden die hier dus een gevolg van is en ook gesubmit is.

[Reactie gewijzigd door WhatsappHack op 28 april 2021 20:57]

Heb ik zelf ook vaak. Ontiegelijk irritant. Heb er ook een redelijk lange thread over lopen. En dan zeggen "ja we houden 24 uur aan. Ouder mag het niet zijn hoor!". Vervolgens een artikel publiceren wat meer dan een week oud is.

[Reactie gewijzigd door AnonymousWP op 28 april 2021 21:20]

Denk dat ze bij Tweakers even geen *signal* hadden

Ja, klopt, en heb het toen gesubmit. Maar blijkbaar hebben ze het nodig gevonden om nog een poosje te wachten.

T.net heeft hun handen vol aan premium artikelen denk ik

Dit bericht stond een week geleden al op nu.nl. Signal-baas beweert dat hackingtool van politie gemakkelijk te kraken is
https://www.nu.nl/tech/61...kkelijk-te-kraken-is.html

Ik had ook al heel erg het gevoel dat dit oud nieuws is

Oorspronkelijke bericht is ook al van 21 April
https://signal.org/blog/cellebrite-vulnerabilities/

Wauw. Ik was al fan van Signal, maar ik krijg nu alleen maar meer vertrouwen in ze. Dit laat wederom zien dat ze hun zaken zeer serieus nemen.

Dus je zou als gebruker van het hacking tool zélf ook kunnen worden bespied?

Vast wel, maar niet via deze hacks.

Waarom niet? Er wordt code uitgevoerd (een messagebox) dus in principe kun je dan ook kwaadaardige code uitvoeren

Tuurlijk wel. Het voert elke code uit die ze maar willen, dus de hele PC kan in principe ge-exploit worden.

Wou ik net zeggen...