3. Secure Startup and EDL
Secure Startup常常會與螢幕鎖混淆。現階段UFED尚無法解開Secure Startup,僅Cellebrite的CAS服務可以提供Secure Startup繞鎖服務。
Secure Startup常常會與螢幕鎖混淆。現階段UFED尚無法解開Secure Startup,僅Cellebrite的CAS服務可以提供Secure Startup繞鎖服務。
因為裝置可以由用戶取得後啟用加密,也有可能出廠時預設的狀態就是加密。既然decrypting模式也適用於non-decrypting裝置,那為什麼還要有兩個提取選項? 原因如下 1. Decrypting Bootloader需要6個程序,且手機須開機進入作業系統。 2. Non-Decrypting模式只需要2個程序,且手機不需要開機進入作業系統。 3. Non-Decrypting模式屬於低階提取,不會改變hash值,若手機有損傷,這是唯一可能提取的模式。 4. Decrypting模式需要開機,所以hash值每次提取都不一樣,若手機不是在飛航模式,或有訊號遮蔽的環境,手機有可能會被遠端刪除。
一般而言,若裝置為已加密,解密的動作會是在裝置開機完成後,才掛載解密的分區。而透過EDL提取模式,UFED會要求裝置載入客製的Decrypting Bootloader,待裝置開機到一個特定的時間點,提取模式才會開始進行。 若使用non-decrypting模式提取時,UFED整個過程只要兩步驟就開始低階提取,不管裝置的eMMC或UFS的記憶體是否為加密,就直接提取binary映像檔。因為過程不會載入客製的Decrypting Bootloader來解密,分區也尚未解密,所以你只會看到一個全部都是1與0的加密映像檔。
若裝置為加密狀態,在4PC上請選擇“Smart Phones/PDAs Decrypting Qualcomm”。提取過程需要裝置開機進入到Android作業系統,有時須要進入兩次EDL模式,相對比較起來,會比non-decrypting方式麻煩。 同non-decrypting提取,decrypting EDL過程也不需要人機互動,所以即使裝置的螢幕已損壞,這個模式也可以成功提取內容,除非使用ADB decrypting方式或啟用了Secure Startup。
若裝置並沒有加密,只要在4PC上的Generic Profile選取“Smart Phones/PDAs Qualcomm”,就可以簡易與快速的進行低階提取。過程裝置不需開機進入Android作業系統,也不須人機互動操作。若裝置嚴重損壞,這個是唯一個還有機會將裝置內所有資料提取出的方式。
除了可以解密的差別之外,簡單講,non-decrypting提取相對簡單。在Cellebrite尚未提供EDL漏洞提取前,早期都是透過ISP或Chip-Off方式來進行物理提取。現在有了EDL漏洞,non-decrypting提取通常只要20分鐘,大幅縮短與降低了操作門檻。
不管是non-decrypting或decrypting EDL提取,都可以繞過螢幕鎖直接進行提取。但如果裝置有使用Secure Startup,則必須要知道Secure Startup的密碼,才可以進行提取。 注意,如果使用non-decrypting提取,裝置是不需要開機進入到Android作業系統,這個模式是透過晶片組的漏洞,進而要求處理器透過USB將裝置的儲存內容全部提取出來。 若是Decrypting提取,則Cellebrite會強制將手機開機後在RAM裡安裝客製的Decrypting Bootloader,裝置會開機並進入Android作業系統,如果裝置有螢幕鎖,該模式也可成功提取所有內容。
一般來說,裝置進入到EDL模式算是相對安全的。進入EDL模式並不會造成裝置的任何影響,但只有在一個情況下例外。因為有好幾個方式可以讓裝置進到EDL模式,其中一個是透過短路方式。如果使用這個方式但接錯腳位時,有可能會造成損壞,所以必須非常小心。另外一個情況是,有可能需要拆開手機才能以找到短入腳位,拆裝過程也必須要小心。
簡單的答案,不行。雖然大多數的Qualcomm裝置都可以進入到EDL模式,但不代表就一定可以被提取。因為每個晶片組(chipset)的漏洞都不一樣,對Cellebrite來說,只要是新的晶片組,皆須投入大量的研發資源,才有可能找的到漏洞。如最多裝置使用的MSM8909晶片組,Cellebrite就支援decrypted提取。但如果是MSM8210,就無法使用EDL模式提取。 詳細EDL支援的晶片組,可以參考上一篇,物理提取。
Shahar Tal在他的實用指南中描述了EDL,基本上這是高通(Qualcomm)的緊急下載模式(Emergency Download)。在這個模式中,允許對晶片組進行低階(low level)讀取、設備分析、修復或重新刷機,EDL模式不是由Cellebrite開發的,是高通公司處理器的一項功能。而Cellebrite和其他廠商利用這些功能的漏洞從設備中提取資料。