'Backups BlackBerry's makkelijk te kraken'

De backups van BlackBerry's zijn veel makkelijker te kraken dan die van iPhones. Dat beweert het Russische softwarebedrijf Elcolmsoft. De gebrekkige beveiliging maakt dat de wachtwoorden van backups snel geraden kunnen worden.

Veel bedrijven maken backups van BlackBerry's die gebruikt worden binnen het bedrijf om in geval van verlies of diefstal geen gegevens te verliezen. Die backups kunnen echter snel worden gekraakt middels een brute force attack, beweert Elcolmsoft-ceo Vladimir Katalov tegenover Computerworld. Er is minder tijd nodig om wachtwoorden te raden, omdat PBKDF2-beveiliging tekortschiet.

De BlackBerry-backups worden beveiligd via AES. Om een brute force attack moeilijker te maken, maakt BlackBerry gebruik van PBKDF2. Maar waar BlackBerry-wachtwoorden een keer door de PBKDF2-beveiliging worden gehaald, gebeurt dat met wachtwoorden voor iPhone-backups onder iOS4 tienduizend keer. Dat maakt het kraken van een backup van een BlackBerry veel makkelijker via een brute force attack, waarbij software alle mogelijke wachtwoorden invult om te kijken welke de juiste is.

Daarnaast wordt de backup versleuteld door BlackBerry Desktop, de desktopclient van de smartphonemaker. De gegevens voor de backup worden onversleuteld verstuurd van het toestel naar de computer. Onder iOS gebeurt dat op het toestel zelf: de desktopsoftware iTunes wordt alleen gebruikt om de versleutelde gegevens op te slaan.

Het is onduidelijk of RIM maatregelen gaat nemen om de backups veiliger te maken. Het risico voor bedrijven is vooralsnog vrij klein: de backup moet in handen komen van kwaadwillenden om exploitatie van de gebrekkige beveiliging mogelijk te maken. Veel bedrijven zullen maatregelen hebben genomen om dat te voorkomen. De beveiliging zit alleen op BlackBerry Enterprise Server, de software voor bedrijven. Consumenten kunnen hun BlackBerry backuppen via BlackBerry Protect, maar die software is nog niet aan onderzoek onderworpen.

Reacties (41)

[arjankoole]

met andere woorden, als je de data wil hebben, is het eenvoudiger om de blackberry in kwestie te stelen.

[dirkjesdirk]

Eh, heb je het artikel wel gelezen?

Het bericht is juist dat de PBKDF2 (Password-Based Key Derivation Function) beveiliging tekort schiet, op deze wijze zoals die dooor Balckberry wordt gehanteerd.

Beschrijving van wikipedia van deze beveiliging

PBKDF2 applies a pseudorandom function, such as a cryptographic hash, cipher, or HMAC to the input password or passphrase along with a salt value and repeats the process many times (1000 is a recommended minimum) to produce a derived key, which can then be used as a cryptographic key in subsequent operations. The added computational work makes password cracking much more difficult, and is known as key strengthening. Having a salt added to the password reduces the ability to use a precomputed dictionary to attack a password (such as rainbow tables) and means that multiple passwords have to be tested individually, not all at once. The iterations increase the work that must be done on the attacker's side to carry out a brute force attack.

De aanbevolen hoeveelheid is minimaal 1000x. Vreemd dat Apple met iOs het 10.000x doet en Backberry maal 'enkele keren'? Dat is ver onder de aanbevolen hoeveelheid.

[Reactie gewijzigd door dirkjesdirk op 24 juli 2024 09:25]

[Verwijderd]

Hij doelt op de laatste alinea. Het is moeilijk om dergelijke back-ups te verkrijgen daar het hier gaat over de software voor bedrijven en veel bedrijven zelf veiligheidsmaatregelen nemen.

[mdcoo]

Een beetje systeembeheerder of IT specialist weet dat je geen woorden of woorden look-a-like moet gebruiken voor wachtwoorden, als het om iets belangrijks gaat
Dan werkt deze brute force attack ook niet meer.

Maar ik snap dat dit in de kleine bedrijfjes (waar de simpele IT dingetjes door iemand word gedaan die klein beetje verstand heeft van PC's) daar totaal niet aan gedacht wordt.

[corl]

Voor brute force maakt dat niet uit. Dat probeert toch gewoon alle mogelijkheden.

[robvanwijk]

Stel je hebt een wachtwoord van acht tekens, alleen kleine letter. Brute forcen kost maximaal 26^8 = 208.827.064.576 mogelijkheden. Met een miljoen tests per seconde kost het je dan 2,4 dagen om alle mogelijkheden te proberen. Prima te doen

Stel je hebt een wachtwoord van acht tekens, maar nu met kleine letters (26), hoofdletters (26), cijfers (10) en overige tekens (stuk of 30). Brute forcen kost dan opeens maximaal 92^8 = 5,13 * 10^15 mogelijkheden. Met een miljoen tests per seconde kost het nu opeens 59.400 dagen (163 jaar) om alle mogelijkheden af te gaan. Dat is wat lastiger...

Ja, in theorie zal een brute force attack altijd je password vinden. Maar als dat tientallen of honderden jaren duurt voor één passwordje (en ze voor de volgende weer van voren af aan moeten beginnen) dan is het in de praktijk geen probleem. Dan moet je er wel voor zorgen dat de aanvaller genoeg werk te doen heeft; zorg dus dat een dictionary attack geen vat op je password heeft (zorg dat je geen "woorden of woorden look-a-like" gebruikt als password want dan is een volledige (trage) brute force aanval helemaal niet nodig.

[Bor]

Een brute force attack is niet perse hetzelfde als een dictionary attack waar jij op doelt. Bij een brute force attack probeer je gewoon alle mogelijke combinaties uit, dus ook de niet voor de hand liggende zaken als woorden uit een woordenboek of variaties hierop.

[max3D]

Ik begrijp het deel over brute force ook niet. Het artikel suggereert dat het om AES beveiliging gaat (maar meldt niet hoeveel bits). Waarom zou je daar een dictionary of rainbow table attack op plegen?

Ik snap wel dat de wachtwoorden van de gemiddelde gebruiker kort en simpel zijn, maar ik moet voor mijn router toch ook een AES string opgeven van een behoorlijke lengte? Hoe wil je die dan kraken binnen een enigszins redelijke tijd? Ik moet iets over het hoofd zien, maar wat?

Verder snap ik ook niet waarom de backup van de Blackberries op de Enterprise server toegankelijk zou zijn als het je zou lukken om een indivudele gebruiker´s wachtwoord te kraken. Dat centrale bestand kan toch gemakkelijk zelf nog een AES laag hebben?

Ik begrijp duidelijk iets totaal niet, maar wie weet kan een Rim kenner dit toelichten.

[Edgarz]

Zal idd alleen gelden voor de particuliere gebruikers die geen coroprate versie gebruiken. Nou ja, wat hier de impact van is laat zich raden: de inbreker die een laptopje of een PC jat met daarop een BB backup heeft een field day. Zal boeiende info zijn die hierdoor ontsloten wordt

[Repsaj_Nav]

Niet dus, alleen de software voor bedrijven is aan een onderzoek onderworpen.

De beveiliging zit alleen op BlackBerry Enterprise Server, de software voor bedrijven. Consumenten kunnen hun BlackBerry backuppen via BlackBerry Protect, maar die software is nog niet aan onderzoek onderworpen.

[Verwijderd]

Lijkt me interessanter voor de AIVD of een inbraakteam van de politie die op die manier gegevens over zware criminelen zoals belastingontduikers opspoort.

[codeneos]

Zware criminelen zoals belastingontduikers... Dat zware criminelen belasting ontduiken, oke daar kan ik in komen. Maar dat belastingontduikers daarom zware criminelen zijn lijkt me nu niet het geval.

[Archie_T]

Ik snap weinig van dit artikel, Welke backup hebben we het nu over?
Volgens mij slaat een BES server alle settings op SQL en de data staat op Exchange. Geen enkele van onze Blackberry gebruikers zal ooit desktop manager gebruiken. Wij maken ook geen backups van Blackberries. Als iemand zijn device kwijt is dan wipen we de oude en pakken we een nieuwe en activeren deze, er komt geen backup of restore aan te pas.
Kan iemand mij uitleggen welk risico we het over hebben? Volgens mij is dit gewoon weer paniek zaaien om niets?

[burne]

Lees anders het originele artikel even. Het is niet lang, het is eenvoudig Engels, en het is erg duidelijk.

[Archie_T]

Dat heb ik gedaan en ik lees dus weer hetzelfde, een backup met Desktop Manager is makkelijk te kraken. Welke IT organisatie heeft offline backups van zijn blackberries als je BES hebt?
Er is eigenlijk totaal niets aan de hand, de password beveiliging van een offline desktop manager backup is makkelijk te kraken. Iemand die Blakcberries beheert gebruikt geen desktop manager voor backups. Iemand die Privé een Blackberry gebruikt wel, maar ik denk dat je bij de meeste mensen er wel van kan uit gaan dat er nog veel meer niet beschermd is.
Het zou dus een probleem zijn als iemand de backup van Blackberries van een bedrijf kan achterhalen, wanneer je dat lukt zal je waarschijnlijk ook wel de beschikking hebben over de andere bedrijfsdata
Kortom ik zie geen paniek..

[shades]

Hoezo backuppen ?
Hoezo stelen ??

Al je data staat in geval van zakelijke gebruikers (wat ook een beetje de doelgroep is van RIM) op de exchange doos. Je synct je mail/agenda/contacts via BES. Je kan dus nooit wat kwijt zijn - misschien foto's die je zelf neemt.

Als die gejat wordt: wipe device en disable devicepin bij RIM - veel plezier met je baksteen verder. Werkt goed heb het al 3 keer moeten initiëren. Na wipe heb je wel weer een telefoon maar de data is pleite en omdat RIM de devicepin heeft gedisabled heb je er als blackberry geen reet meer aan - heb je nog wel een leuke telefoon die net zoveel kan al een nokia 6150

[Reactie gewijzigd door shades op 24 juli 2024 09:25]

[burne]

Lees anders de volgende keer het artikel even, dat scheelt.

Je hoeft niets te stelen, je kunt als schoonmaker bij het bedrijf binnenlopen en er met alle backups van alle blackberries vandoor gaan (die staan gewoon op een share) en die thuis, ongemerkt, op je gemak kraken. Bij veel bedrijven hoeft zelfs dat niet eens, gewoon wat keyboard omkeren op zoek naar de yellownote met het password, inloggen via VPN, en hebbes. BES is een prachtige tool om alle gevoelige informatie op een voorspelbare plek bijeen te zetten in een makkelijk(er) kraakbaar formaat.

[dasiro]

als je een BES draait, dan hoop ik toch echt dat je network en client security net iets beter op orde is dan wat jij aangeeft

[burne]

Dat er 'enterprise' in de naam staat garandeert niet dat er een competente beheerder achter zit.

Maar je weet natuurlijk zelf ook wel wat er mis is met kantoren, kantoortjes en veiligheid. Dat lees je dagelijks in de geeigende pers.

[thegve]

Naast blackberry data heb je ook nog gewone data, zoals office documenten, met allerlei gevoelige data. Die staan doorgaans op 'vergelijkbaar' ingerichte machines.
Als crimineel zijnde kan ik me bijna niet voorstellen waarom je dan nog moeite zou doen om de blackberry beveiliging te gaan kraken, want je kunt dezelfde info (en meer) dan ook wel uit de normale bestanden halen.
edit:
Kleine herformulering van bovenstaande:
"Als crimineel zijnde" moet zijn "Voor criminelen", niet dat er mensen verkeerde dingen denken enzo .

[Reactie gewijzigd door thegve op 24 juli 2024 09:25]

[Sensei_D]

I BlackBerry Protect al beschikbaar voor iedereen dan?

[Verwijderd]

Niets aan de hand dus...
Als iemand fysiek de tapes uit een serverruimte weet te jatten is het ook een kwestie van tijd voordat de data te lezen is. Sterker nog dat is gewoon bij alles zo. Fysiek veilig opberging hebben is minstens zo relevant als zorgen dat digitaal alles op orde is. Je kan niet 100% gaan afhangen van software als het op de veiligheid van je data aankomt.

[beantherio]

Het risico voor bedrijven is vooralsnog vrij klein: de backup moet in handen komen van kwaadwillenden om exploitatie van de gebrekkige beveiliging mogelijk te maken.

Dit zinnetje vat voor mij het belang van dit "nieuws" wel zo'n beetje samen. Als een willekeurige backup in handen van een kwaadwillende valt dan is dat sowieso een risico. Dat staat helemaal los van BlackBerry. Maar die populaire naam zal er ongetwijfeld bijgehaald zijn om de 'ontdekking' van het Russische security-bedrijf meer aandacht te geven.

[Verwijderd]

Persoonlijk ben ik helemaal geen fan van beveiliging op backup bestanden. Wanneer je je gegevens moet terughalen en je vond ze belangrijk genoeg om backups bij te houden, dan moet het met zo weinig mogelijk extra problemen gebeuren.
Zorg dat je backups op een beveiligde plaats opgeslaan worden maar ga backups niet moeilijker maken door een laag beveiliging op de bestanden.

[ZpAz]

Maar de software handled die 'beveiliging' laag wel af, je hoeft enkel je wachtwoord te onthouden om er bij te komen. Dus zelf vin dik het een beetje een vreemde beredenering.

[corl]

Weet jij het wachtwoord nog van een backup van 5 jaar geleden? (Of heb je die erop geschreven)

[Verwijderd]

Als je het met pgp versleuteld hoef je alleen het wachtwoord van je secret key te onthouden, als je dat veranderd maakt dat voor de backup niet uit. Zelfde als je hjet op een TrueCrypt volume zet.

[Verwijderd]

Ah maar daar ga je weer in de fout. Je veronderstelt omdat je software vandaag werkt, dat je er op de dag van nood ook op kan rekeken.

Je wil alles zo makkelijk houden als je kan. Bijvoorbeeld typ gerust al je wachtwoorden, druk het af en leg het in een safe. Zelfs een analfabeet kan de letters overtypen in een noodgeval, maar enkel jij kan in de safe.

Beveiliging is big business en net zoals de smartphones zelf gaat er meer budget in de nood ervoor te creëren bij klanten, dan de onbestaande nood te vervullen bij klanten.

[thegve]

Wij gebruiken back-up software die standaard wel encrypt, maar het nadeel oa is dat het mij wel eens is overkomen (bij een vorige werkgever, heel klein bedrijfje, klein budgetje, beetje amateuristisch verder), dat een back-up niet helemaal perfect terugkomt, oftewel, beetje corrupt. Als je dat geencrypt hebt, heb je een groot probleem, als je dat niet geencrypt hebt, heb je een grote kans het deel dat niet beschadigd is (meestal het grootste deel), weer terug te kunnen halen.

[.Sjoerd]

Precies.

Daarom sla ik mijn backups op in mijn vaders flatje. Niemand die het kan vinden en dus ook geen beveiliging op de schijf zelf nodig.

[mhaket]

Je beseft je nu wel dat iedereen weet dat ze daar liggen

[Kura]

Je beseft je nu wel dat iedereen weet dat ze daar liggen

Misschien liggen ze wel in z'n moeders flat en is dit om te misleiden

[ToCuS]

ben ik blij dat niemand data uit mijn backup's wil halen