CELLEBRITE – MADE IN ISRAEL

[uffuff]

Eure Verschlüsselung ist möglicherweise weniger wert, als ihr denkt.

Ich möchte hier mal ein Thema ansprechen, das meiner Meinung nach viele völlig unterschätzen.

Für alle, die den Namen noch nie gehört haben: Cellebrite ist ein 1999 gegründetes israelisches Unternehmen, das sich auf digitale Forensik spezialisiert hat. Zu seinen Kunden gehören weltweit Polizeibehörden, Ermittlungsbehörden und staatliche Einrichtungen. Auch in Deutschland wird die Technologie eingesetzt.

Und glaubt mir, die Möglichkeiten solcher Systeme sind teilweise erschreckend.

Ich spreche hier nicht nur von irgendwelchen Internetberichten, sondern auch aus eigener Erfahrung.

Während meiner Haftzeit habe ich außerdem zusätzlich Einblicke in mehreren großen Ermittlungsverfahren bekommen, bei denen digitale Forensik eine erhebliche Rolle spielte. Der Name Cellebrite tauchte dabei immer wieder auf.

 

Ich kann mich noch gut an die Diskussionen erinnern:

„Mein iPhone ist sicher. Das bekommen die niemals auf.“

Oder:

„Meine Threema-Chats sind passwortgeschützt, mit Sonderzeichen und allem Drum und Dran.“

Einige Monate später sah die Welt dann plötzlich ganz anders aus.

Threema-Chats, Wickr-Nachrichten, Kontakte, Dateien – auf einmal tauchten Dinge in Ermittlungsakten auf, die vorher angeblich niemand hätte lesen können.

Besonders interessant fand ich damals die Vorgehensweise bei Durchsuchungen.

In einer Gerichtsverhandlung schilderte ein Ermittlungsbeamter, dass bei einer Maßnahme ein entsprechend ausgestattetes Fahrzeug vor Ort war. Elektronische Geräte wurden unmittelbar gesichert und Daten forensisch kopiert, damit sie anschließend in Ruhe ausgewertet werden konnten. 

 

Ob dabei jedes einzelne Werkzeug von Cellebrite stammte, kann ich heute nicht mehr sicher sagen. Aber die geschilderte Vorgehensweise ist wahr. Ich war live dabei

Bei Wickr war nach meiner damaligen Kenntnis vor allem das Material zugänglich, das noch nicht durch die Burn-Funktion verschwunden war. immerhin...

Und selbst vermeintlich gut geschützte Threema-Accounts waren kein unüberwindbares Hindernis.

Was dagegen in den Verfahren, die ich kennengelernt habe, nicht erfolgreich entschlüsselt werden konnte, waren VeraCrypt-verschlüsselte Laptop-Datenträger. (hierzu muss man jedoch wichtige Dinge beachten . Diese Infos gibt es bei meinem TuT für Vendoren bald zu lesen, natürlich kostenfrei )

 

Auch korrekt verschlüsselte PGP-Nachrichten konnten nicht einfach so gelesen werden. Allerdings gab es Fälle, in denen zugängliche private Schlüssel die spätere Entschlüsselung ermöglichten.

Und genau hier liegt der entscheidende Punkt:

Es muss nicht unbedingt eure Verschlüsselung geknackt werden. Manchmal reicht es, wenn die Ermittler an die Schlüssel oder bereits entschlüsselten Daten gelangen. USB Stick etc.

 

Habe bei meiner Recherche auch das hier gefunden: 2022 veröffentlichten Forscher, unter anderem von der Korean National Police University, eine Studie zur forensischen Entschlüsselung von Signal, Wickr und Threema.

Die Forscher konnten bei den untersuchten Android-Versionen lokal verschlüsselte Datenbanken und weitere App-Dateien entschlüsseln.

➡️ https://www.sciencedirect.com/science/article/pii/S2666281722000166

Bereits 2021 erschien eine weitere Untersuchung speziell zu Wickr:

➡️ https://www.sciencedirect.com/science/article/pii/S2666281721000366

Und wer glaubt, dass deutsche Polizeibehörden solche Technik nicht einsetzen, sollte sich diesen Bericht von heise ansehen. Dort wird ein Fall beschrieben, bei dem die Polizei ein Smartphone mit Cellebrite UFED auslas, obwohl der Besitzer seine PIN nicht herausgegeben hatte:

➡️ https://www.heise.de/news/Grundrechte-Verfassungsbeschwerde-wegen-polizeilichem-Handy-Auslesen-10503524.html

Cellebrite selbst macht aus den grundsätzlichen Möglichkeiten seiner Technologie übrigens kein Geheimnis. Das Unternehmen bewirbt unter anderem die Extraktion vollständiger Dateisysteme, den Zugriff auf geschützte Anwendungsdaten und die forensische Auswertung direkt am Einsatzort.

➡️ https://cellebrite.com/en/products/cellebrite-inseyets/ufed/

➡️ https://cellebrite.com/en/digital-collector/

Natürlich heißt das nicht, dass Cellebrite jedes aktuelle Smartphone, jede Verschlüsselung und jedes Passwort knacken kann. Ich kann auch nicht sagen wir momentan der genaue Stand der Dinge ist .Auch die Studien beziehen sich auf bestimmte Geräte- und App-Versionen. Aber die Annahme, dass eine Ende-zu-Ende-verschlüsselte App automatisch auch vor einer forensischen Untersuchung des Endgeräts schützt, ist gefährlich.

Mein Fazit

Ich glaube, viele haben überhaupt keine Vorstellung davon, wie weit die digitale Forensik mittlerweile ist.

Wir reden nicht mehr nur davon, dass ein Ermittler ein beschlagnahmtes Handy durchsucht und ein paar Bilder herauskopiert.

Wir reden von spezialisierten Systemen, die Daten extrahieren, Zusammenhänge rekonstruieren, lokale Verschlüsselungen untersuchen und gewaltige Mengen digitaler Informationen auswerten können. K.I. wird auch angewendet und wird unser größter Feind

Die größte Schwachstelle ist häufig nicht die Verschlüsselung selbst, sondern das Gerät, auf dem die entschlüsselten Daten und Schlüssel liegen.

Und wer heute behauptet, ein bestimmtes Smartphone oder ein Messenger sei grundsätzlich nicht auslesbar, sollte mit solchen Aussagen sehr vorsichtig sein.

Denn was heute technisch nicht möglich ist, kann nach neuen Sicherheitslücken oder verbesserten Forensikmethoden schon in einigen Monaten ganz anders aussehen.

Eine sichere Verbindung bedeutet noch lange kein sicheres Endgerät.

Das sollte man sich wirklich einmal vor Augen führen.

 

WICHTIG

-Was tatsächlich nicht wiederhergestellt werden konnte-

Eine Sache möchte ich allerdings noch erwähnen. In den Ermittlungsverfahren, die ich damals mitbekommen habe, gab es auch Nachrichten, die tatsächlich nicht mehr rekonstruiert werden konnten.

Dazu gehörten insbesondere bereits gelöschte Nachrichten über Privnote und Temp.pm.(cryptgeon gab es damals noch nicht) Diese Nachrichten konnten auch bei der späteren forensischen Auswertung nicht wiederhergestellt werden und wurden auch nicht auf einen Server des Anbieters gespeichert

 

Allerdings gab es auch einen ganz besonderen Spezialisten, der tatsächlich auf die Idee gekommen war, die Inhalte solcher selbstzerstörenden Nachrichten auf einem USB-Stick zu speichern, damit auch ja alles schön dokumentiert war und er nichts vergisst.

 

[kult22]

Danke für die Informationen sollten sich alle ein Beispiel dran nehmen und genau zuhören 

[shadow159]

Danke dir, sehr aufschlussreich 

[xmr67]

Wenn ihr schon ein Handy benutzen wollt, Pixel mit GrapheneOS, was für iPhone dieses kack jüdische Handy.

[uffuff]

nein in der tat sind messenger mit open source safe. man kann sehen das die selbstlöschfunktion tatsächlich löscht bei 

 

SESSION 

SIMPLEX

SIGNAL

 

threema und telegram ist nicht open source und keiner weiß was da wikrlich passiert

[xmr67]

trotzdem hat cellebrite so ne liste. jedes handy, außer die mit neustem graphenos, sind knackbar. das heißt jede scheiße die ihr auf dem handy habt, kann ausgelesen werden (vorausgesetzt diese sind nicht seperate verschlüsselt, wie halt gewisse messenger)

[Oyabun San]

ich lese deine Beiträge gerne. ;-)

Gerne mehr davon!

 

Zu:

Quote

VeraCrypt-verschlüsselte Datenträger

Kann bestätigen das in meinen Bekanntenkreis eine Festplatte die mit Truecrypt (Vorgänger von Veracypt) verschlüsselt war, nicht geknackt werden konnte. Und bei einer mit Veracrypt verschlüsselten Festplatte wurde, nachdem gesagt wurde wie lang das Pw incl. Sonderzeichen ist, erst gar nicht versucht sie zu entschlüssel. 

Die Datenträger wurden aber später nicht mehr an meinen Bekannte, wie andere beschlagnahmte Gegenstände herausgegeben sondern vernichtet. Was schade ist.

Munkelt man doch das sich auf einer verschlüsselten Platte eine umfangreiche Pornsammlung befand.

Kein Witz!

Das Lka hätte sich über das entschlüsseln als auch die Sammlung gefreut

Auch konnte laut den Ermittlungsakten die Verschlüsselung bei Chats mit/über Jaber/Xmpp/Otr (bin unsicher wie das Teil oder Protokoll heißt) nicht entschlüsselt werden.

[greygoose1]

Deswegen GrapheneOS fürs Handy benutzen und VeraCrypt / LUKS für Computersysteme.

Hab mal ne Tabelle gesehen wo alle Handys und Betriebssysteme für Handys in BFU/AFU eingeteilt waren und GrapheneOS mit Google Pixel war das einzige wo weder im BFU noch im AFU Modus Daten extrahiert werden konnten. iPhone kann man eigentlich auch vergessen