iOS 18’in Hareketsizlik Sonrası Yeniden Başlatma Özelliğinin Tersine Mühendisliği

• iOS 18, yeni bir hareketsizlik sonrası yeniden başlatma güvenlik özelliği sundu: "3 gün boyunca kilit açılmazsa otomatik yeniden başlatma"
• iPhone’u açıp ilk kez parolayı girmek ile daha sonra kilidi açmak için parolayı girmek arasında büyük fark vardır
• iPhone ilk kez başlatıldığında parola girilirse, Secure Enclave Processor (SEP) içindeki anahtar deposu açılır ve bu, iPhone’daki verileri şifreler
  • İlk kilit açmadan önce (BFU) durumunda kullanıcı verileri şifrelenmiştir; Face ID ve Touch ID çalışmaz ve parola girilmesi gerekir. Wi-Fi parolaları şifreli olduğundan Wi-Fi bağlantısı mümkün değildir, ancak SIM PIN ile korunmuyorsa hücresel ağa bağlanılabilir. Bildirim içerik önizlemeleri gösterilmez.
  • İlk kilit açmadan sonra (AFU) durumunda kullanıcı verilerinin şifresi çözülür. iOS çalıştığı sürece anahtar deposu açık kalır; bu yüzden Wi-Fi bağlantısı ve mesaj bildirim önizlemeleri mümkündür. Ancak bu durum saldırılara daha açıktır.
• AFU durumunun güvenlik zayıflığı: Saldırgan kilit ekranını atlarsa şifresi çözülmüş verilere erişebilir. Fiziksel erişim varsa USB, Wi-Fi, Bluetooth veya donanım saldırısı açıklarından yararlanma olasılığı artar

iPhone yeniden başlatmaları hakkındaki söylentiler

• Kolluk kuvvetleri, AFU durumundayken adli açıdan önemli veriler elde edebilmek için iPhone’u internetten izole halde tutar.
• iOS 18’de, iPhone kablosuz ağlardan tamamen izole edilmiş olsa bile yeniden başlatıldığına dair söylentiler vardır
• Ayrıca iOS 18 yüklü bir iPhone’un, daha düşük iOS sürümündeki iPhone’lara kablosuz olarak yeniden başlatma komutu verebildiği de iddia edilmiştir, ancak bunun teknik olarak olası görünmediği belirtilir

Hareketsizlik sonrası yeniden başlatma özelliğinin keşfi

• Apple, yeni özellikler eklediğinde bazen debug dizgeleriyle ipucu bırakır
  • iOS 18.1’den itibaren inactivity_reboot dizgesi ortaya çıktı. iOS 18.2’de bu, inactivity_reboot_enabled olarak değişti
• Testler, 3 gün (72 saat) boyunca kilit açılmazsa hareketsizlik sonrası yeniden başlatmanın gerçekleştiğini doğruladı

Hareketsizlik sonrası yeniden başlatmanın tersine mühendisliği

• Secure Enclave Processor (SEP), son kilit açma zamanını takip eder ve 3 gün aşılırsa AppleSEPKeyStore çekirdek modülünü bilgilendirir.
• AppleSEPKeyStore çekirdek modülü, yeniden başlatmanın başlatılması için kullanıcı alanını bilgilendirir. SpringBoard, tüm kullanıcı alanı süreçlerini güvenli biçimde sonlandırır.
• Yeniden başlatmanın ardından keybagd, NVRAM değişkeni aks-inactivity değerini okur ve ayarlıysa Apple’a bir analiz olayı gönderir.
• Yeniden başlatma başarısız olursa kernel panic oluşur

Secure Enclave Processor tersine mühendisliği

• SEP, Apple’ın en iyi korunan sırlarından biridir ve firmware’i şifrelenmiştir.
• SEP firmware’i birden fazla uygulamadan oluşur ve SEPKeyStore ile ilgili uygulama sks olarak adlandırılır.
• SEP, 3 gün (72 saat) aşılırsa bir mesaj üretip bunu SEPKeyStore çekirdek uzantısına gönderir.

Bu önlem yalnızca polisi mi hedefliyor?

• Güvenlik iyileştirmesi etkisi: Basında bu özelliğin öncelikle kolluk kuvvetlerini hedeflediği yönünde haberler çıksa da, hırsızlığa karşı koruma açısından büyük bir güvenlik iyileştirmesi sağlıyor.
  • Eski kolluk kuvveti ekipmanları çoğu zaman eBay gibi platformlarda ucuza satılıyor; bu da hırsızların bunları kullanarak iPhone verilerine eriştiği vakaları azaltıyor.
  • Hırsızların en yeni hack araçlarını edinmesi ya da cihazı 3 gün içinde açacak kaynaklara sahip olması pratikte zordur.
• Cihazı güncel tutmanın önemi: En son iOS sürümünü kullanmak, kişisel verileri güvende tutmak için çok önemlidir.
• Kolluk kuvvetlerinin uyum sağlama ihtiyacı:
  • Kolluk kuvvetlerinin, veri çıkarma prosedürlerini 3 gün içinde tamamlayacak şekilde ayarlaması gerekir.
  • Bazı adli bilişim aracı üreticileri, veri çıkarma sürecinin zaten 24 saat içinde koordine edilebildiğini açıkladı.
  • Bu, verilerin yalnızca AFU durumunda çıkarılabilmesi sınırlamasını gösterir.
• Güvenlik tehditlerindeki asimetri:
  • Hırsızlar için bu özellik, veri elde etmeyi fiilen çok zorlaştıran önemli bir güvenlik bariyeri işlevi görür.
  • Buna karşılık kolluk kuvvetleri, süreçleri sadeleştirme ve daha hızlı hareket etme baskısıyla karşı karşıyadır.

Temel noktalar

• Kablosuz etkinlikle ilgisi yoktur:
  • Bu özellik kablosuz ağ etkinliğiyle ilişkili değildir.
  • Kolluk kuvvetleri belgelerinde geçen "cihazlar arası kablosuz iletişim nedeniyle yeniden başlatma" iddiası güvenilir görünmüyor.
  • iOS 18 öncesi cihazlardaki yeniden başlatmaların nedeni büyük olasılıkla yazılım hatalarıdır.
• SEP’in rolü:
  • Hareketsiz kalınan sürenin ölçülmesi ve yeniden başlatma tetiklemesi SEP tarafından yapılır.
  • SEP, yeniden başlatma komutunu yürütmek için SEPKeyStore çekirdek uzantısıyla iletişim kurar.
  • İnternet veya hücresel ağ üzerinden dışarıdan zaman manipülasyonunun 3 günlük zamanlayıcıyı etkilemesi muhtemel değildir.
• Güçlü bir güvenlik özelliği:
  • Bir saldırganın hareketsizlik sonrası yeniden başlatmayı engellemesi için çekirdek düzeyinde kod yürütme yetkisine sahip olması gerekir.
  • Adli bilişim uzmanları veri çıkarmak için yeniden başlatmayı geciktirebilse bile, ilk saldırının 3 gün içinde gerçekleşmesi gerekir.
• Tehdit ortamındaki değişim:
  • Hem hırsızlar hem de adli bilişim analistleri için yeni zorluklar ortaya çıkarıyor.
  • Hırsızlar açısından, iPhone’da saklanan banka hesapları ve diğer hassas verilere erişimi fiilen engelliyor.
  • Kolluk kuvvetleri ise verilere erişebilmek için daha hızlı hareket etme baskısı altına giriyor.

[GN⁺]

Hacker News yorumları

• AFU durumunda kullanıcı verileri çözülebilir. Geliştiriciler veri koruması için çeşitli anahtarlar seçebilir. Apple, kullanıcının sağlık verileri gibi hassas bilgileri korumak için belirli anahtarlar kullanır

  • Apple'ın veri koruma sınıfları hakkında bilgiye buradan ulaşılabilir

• Ağa bağlı olmama kısmına neden bu kadar fazla vurgu yapıldığı sorgulanıyor. GrapheneOS zaten belirli bir sürenin ardından otomatik yeniden başlatma özelliği sunuyor ve bu, veri sızıntısını önlemede etkili

• İki soru gündeme getiriliyor:

  • 1. Kilitli bir iPhone'un her 3 günde bir koşulsuz yeniden başlatılması, meşru kullanım senaryolarında sorun yaratabilir
  • 2. Makale doğruysa, güvenlik için "Before First Unlock" durumuna geri dönmek amacıyla yeniden başlatıldığı söyleniyor. Neden yeniden başlatmadan bu duruma geçilemediği merak ediliyor
  • Bonus soru: Android telefonlar birkaç saat hareketsiz kaldığında, yeniden başlatmadan sonra olduğu gibi parola istiyor. Bunun iPhone'daki "Before First Unlock" durumundan farklı olup olmadığı merak ediliyor

• Apple'ın SEP firmware'ini neden şifrelediği sorgulanıyor. Güvenlik modelinin ayrılmaz bir parçası değilse, fikri mülkiyeti korumak için olabilir

• Bunun, Apple'ın cihaz güvenliğinde ne kadar ileride olduğunu gösteren harika bir yazı olduğu belirtiliyor

• iOS 18'in diğer telefonlara kablosuz olarak yeniden başlatma talimatı verme ihtimalinden söz edildiği, ancak sonrasında bunun tekrar ele alınmadığı söyleniyor

• Bunun AOSP'deki BFU ve AFU kilit açma yaklaşımına benzediği yorumu yapılıyor

• Bunun Secure Enclave tarafından yönetildiğinden şüpheleniliyor. Bu sayede iOS tamamen ele geçirilse bile devre dışı bırakılması çok zor olurdu

• Neden özellikle 3 günlük bir sürenin seçildiği ve bunun kullanıcı tarafından ayarlanabilir bir gecikme olmamasının nedeni soruluyor

• Harika yazı ve harika analiz için teşekkür ediliyor