GrapheneOS और forensic data extraction (2024)

• GrapheneOS अपनी उच्च security और privacy के लिए जाना जाता है, और इसका स्तर iOS के बराबर माना जाता है
• मई 2024 में social media पर GrapheneOS को data extraction के लिए कमजोर बताने वाला एक झूठा हमला/दुष्प्रचार किया गया
• Cellebrite जैसे forensic tools ज़्यादातर Android/iOS devices पर बिना सहमति extraction कर सकते हैं, लेकिन GrapheneOS में अगर latest security patches लागू हों तो उसे भेदा नहीं जा सकता
• Consent-based data extraction तब होता है जब उपयोगकर्ता अपने ही device का lock खोलता है, और extraction केवल इसी स्थिति में संभव होता है
• Pixel 6 या उसके बाद के models के साथ GrapheneOS का संयोजन password brute-force attacks और USB connection hacking जैसे नए हमलों को भी रोकता है

---

GrapheneOS का परिचय और social media हमले की पृष्ठभूमि

• GrapheneOS एक Android-आधारित, open source, security और privacy-केंद्रित OS है, जो iOS-स्तर या उससे बेहतर protection प्रदान करता है
• मई 2024 में social media पर GrapheneOS को forensic tools द्वारा भेदे जाने की गलतफहमी फैलाने वाला एक हमला हुआ
• वास्तव में यह उपयोगकर्ता सहमति (consent)-आधारित data extraction के एक मामले को दुर्भावनापूर्ण तरीके से गलत पेश करने का उदाहरण था, जिससे GrapheneOS को कमजोर बताया गया

Digital forensics और data extraction का अवलोकन

• Digital forensics का मतलब electronic evidence को इकट्ठा करने और उसका analysis करने की प्रक्रिया है
• इस प्रक्रिया में computer, smartphone, storage media जैसे अलग-अलग devices से अपराध संबंधी सबूत या कानूनी विवादों से जुड़ा data निकाला और analyze किया जाता है
• लेकिन forensic technology का दुरुपयोग privacy के उल्लंघन, प्रतिशोध, और सबूतों में छेड़छाड़ के लिए भी हो सकता है
• GrapheneOS बिना सहमति data extraction और device tampering को रोकने के उद्देश्य से कई security measures विकसित कर रहा है

Cellebrite और उसका प्रभाव

• Cellebrite एक Israel-आधारित digital forensics की प्रमुख company है, जिसका UFED (Universal Forensic Extraction Device) tool काफ़ी प्रसिद्ध है
• यह सरकारों और law enforcement agencies को कानूनी रूप से उपकरण बेचती है, लेकिन authoritarian देशों या मानवाधिकार दमन करने वाले देशों को भी बिक्री करती है
• इस tool के ज़रिए दुनिया के कई क्षेत्रों में smartphones से data extraction के प्रयास किए जाते हैं

Data extraction के तरीके और technical background

• Digital forensics का पहला चरण mobile device data extraction होता है
• अगर device locked हो, तो password/PIN का अनुमान लगाने के लिए कई तरीके (hacking, brute force) आज़माए जाते हैं
• Smartphone की दो अवस्थाएँ होती हैं:
  • BFU (Before First Unlock): boot होने के बाद एक बार भी unlock न हुआ हो; इस स्थिति में internal data पूरी तरह encrypted होता है, इसलिए forensic analysis बहुत कठिन होता है
  • AFU (After First Unlock): unlock होने के बाद keys memory में रहती हैं, इसलिए data access तुलनात्मक रूप से आसान हो जाता है

वास्तविक data extraction workflow

• AFU स्थिति: software vulnerabilities आदि का उपयोग करके bypass या screen lock हटाने के बाद data extraction की कोशिश
• BFU स्थिति: PIN/password को brute force (सभी combinations आज़माकर) से पता लगाने की कोशिश

Cellebrite की latest data extraction capabilities

• अप्रैल 2024 में सार्वजनिक की गई सामग्री के अनुसार GrapheneOS को छोड़कर सभी Android brands को AFU और BFU दोनों स्थितियों में hack और extract किया जा सकता है

• latest iOS devices के लिए भी कुछ support है, लेकिन ज़्यादातर iPhone users को latest patches अपने-आप मिल जाते हैं, जिससे जोखिम घटता है

• NSO (Pegasus बनाने वाली company) ने iOS के latest versions की vulnerabilities का बहुत तेज़ी से दुरुपयोग करने के उदाहरण दिखाए हैं

• GrapheneOS में अगर 2022 के अंत के बाद के security updates लागू हों, तो Cellebrite भी hack नहीं कर सकता, यह आधिकारिक रूप से स्वीकार किया गया है

• updates अपने-आप enabled रहते हैं, इसलिए अधिकांश users के पास latest security बनी रहती है

• हालांकि, अगर उपयोगकर्ता खुद device unlock करे (consent-based), तो iOS, Android और GrapheneOS—सभी में data extraction संभव है

  • GrapheneOS में developer options और adb tools का उपयोग करके full data access संभव है

• Pixel 6 और बाद के models + GrapheneOS का संयोजन 6-digit PIN के random combinations को भी brute force से नहीं तोड़ा जा सकता

Social media हमले की घटना और वास्तविकता

• मई 2024 में social media पर GrapheneOS के consent-based extraction की सफलता को आधार बनाकर vulnerability से जुड़े झूठे दावे फैलाए गए
• पहले भी Signal encryption टूटने की अफ़वाह जैसे मिलते-जुलते झूठे मामले रहे हैं (जबकि वास्तव में उपयोगकर्ता ने app खुद खोलकर forensic टीम को उपलब्ध कराया था)

GrapheneOS की forensic hacking defense strategy

Phone hacking रोकने की प्रमुख features

• जब उपयोगकर्ता का phone lock state में हो (जैसे screen lock), तब नई USB connections को block करने और hardware level पर port disable करने की सुविधा मिलती है
• BFU, AFU, और पूरी तरह unlocked जैसी अलग-अलग scenarios में उपयोगकर्ता अपनी ज़रूरत के अनुसार USB को पूरी तरह block कर सकता है
• 2024 के बाद Pixel firmware तक security को मज़बूत किया गया है

Brute-force attack defense

• Pixel 6 और उसके बाद के devices में Titan M2 (hardware security module) शामिल है, जो encryption keys की रक्षा करता है
• 5 बार गलत input के बाद 30 seconds का wait, 30 और 140 बार से अधिक पर क्रमशः wait time बढ़ता है, और उसके बाद दिन में केवल 1 input की अनुमति होती है (secure element throttling)
• इसने AVA_VAN.5 स्तर का independent evaluation pass किया है, जो बहुत उच्च security को साबित करता है
• iOS, Samsung और Qualcomm के security modules को enterprise attackers पहले ही bypass कर चुके हैं, लेकिन GrapheneOS + Pixel 6 या बाद का संयोजन पिछले कुछ वर्षों में सफलतापूर्वक नहीं तोड़ा गया है

Auto reboot feature

• डिफ़ॉल्ट 18 घंटे की setting (10 minutes से custom तक संभव) के बाद auto reboot होता है, और उपयोग न होने पर device BFU state में लौट जाता है
• इसलिए अगर hackers exploit विकसित भी कर लें, तो वास्तविक हमला करने की समय-सीमा (user द्वारा unlock करने के बाद reboot से पहले तक) सीमित रहती है

निष्कर्ष और आगे की दिशा

• GrapheneOS टीम लगातार कई तरह के security hardening और automated security features को मज़बूत कर रही है
• आगे चलकर fingerprint + PIN two-factor authentication, random passphrase auto UI जैसी और भी शक्तिशाली तथा सुविधाजनक सुरक्षा व्यवस्थाएँ लाने की योजना है
• जब बुद्धिमान hacking groups भी इसे भेद नहीं पा रहे, तब भी दुष्प्रचार फैलाने की कोशिशें हो रही हैं, लेकिन तथ्यों पर आधारित जानकारी उनसे बचाव कर सकती है

[GN⁺]

Hacker News की राय

• मेरा मानना है कि "बुरी सरकार" और "अच्छी सरकार" जैसी कोई चीज़ नहीं होती; आखिरकार सब कुछ लोगों के नज़रिए पर निर्भर करता है। इसलिए सिर्फ इस वजह से कि सरकार हमें आतंकवादियों या बाल यौन अपराधियों से बचाती है, हमें अपना पूरा डेटा सरकार पर भरोसा करके नहीं सौंप देना चाहिए। हक़ीक़त में सरकार कभी न कभी निर्दोष नागरिकों का दुरुपयोग करती ही है, और हो सकता है अभी भी ऐसा हो रहा हो तथा और अधिक नियंत्रण की मांग की जा रही हो
  • मेरे हिसाब से, अगर सरकार जनता की ज़रूरतें (उनकी इच्छाएँ नहीं) ठीक से पूरी नहीं कर पाती, तो वही बुरी सरकार है। अगर सड़कों पर गैंग, चोर, ड्रग्स, बीमारी वगैरह खुलेआम फैले हों, तो इसे जनता के नज़रिए का मसला नहीं बल्कि सरकार द्वारा हल किया जाने वाला बुरा हाल माना जाना चाहिए। अगर वह भूमिका ही नहीं है, तो फिर सरकार के अस्तित्व का कारण नहीं बचता
  • इसलिए चाहे सरकार हो या कोई और, डेटा प्रबंधन किसी को भी बिना सोचे-समझे सौंपना ठीक नहीं। कम से कम सरकार के मामले में वह सार्वजनिक हित की बात तो करती है, लेकिन कंपनियों की प्रेरणा केवल शेयरधारकों का लाभ होती है
  • सैद्धांतिक रूप से यह दिलचस्प तर्क है, लेकिन जिस देश से मैं आता हूँ वहाँ हकीकत यह है कि सरकार लोगों के फोन की जाँच करती है और सरकार-विरोधी गतिविधियों या सोशल मीडिया गतिविधि को सबूत बनाकर बहुत लंबी सज़ा दे देती है। हाल का एक उदाहरण इस लिंक में देखा जा सकता है। GrapheneOS कितना भी सुरक्षित हो, ऐसे खतरे से सच में बचने के लिए पूरी तरह साफ़ फोन होना ज़रूरी है
  • मुझे लगता है कोई जानबूझकर मुद्दे को भटका रहा है। इस विषय पर अब बहस की भी ज़रूरत नहीं होनी चाहिए। जो सरकार नागरिकों का अपहरण करती है, उन्हें यातना देती है, मारती है और "गायब" कर देती है, वह साफ़ तौर पर बुरी सरकार है। इतिहास और वर्तमान में चीन, रूस, मेक्सिको, उत्तर कोरिया, बेलारूस, बाल्कन, और अफ्रीका के कई देश इसके उदाहरण हैं। अगर मेरे 34% पड़ोसी चाहते हों कि मुझे जबरन श्रम शिविर में भेज दिया जाए, तो उससे वह उचित नहीं हो जाता। व्यक्तिगत रूप से भी मैं ऐसी जगह कभी नहीं जाना चाहूँगा। और "यह तो दृष्टिकोण पर निर्भर करता है" जैसे उदाहरण खुद बुरी सरकार के प्रतिनिधि उदाहरण हैं। अच्छी सरकार बनना वास्तव में कठिन नहीं है, बस बुरा व्यवहार मत करो
  • मुझे लगता है इस तरह की सोच बहुत समस्याजनक है, यानी अगर सरकार किसी व्यक्ति की राय से अलग हो तो उसे तुरंत बुरी सरकार घोषित कर देना। लगता है आप भूल रहे हैं कि सभ्यता में अलग-अलग दृष्टिकोण रखने वाले बहुत से लोगों के साथ रहने के लिए कभी-कभी समझौता भी ज़रूरी होता है
• मुझे GrapheneOS वास्तव में बहुत पसंद है, लेकिन अगर ऐसा कोई वर्ज़न हो जिसमें उपयोगकर्ता authenticated होने की स्थिति में app का private data extract किया जा सके या root shell मिल सके, तो यह परफेक्ट होगा। डेवलपर्स कहते हैं कि root permissions security model में बड़ा छेद कर देती हैं, लेकिन अगर root को सुरक्षित तरीके से इस्तेमाल करने का कोई तरीका हो, तो मैं अपनी मनचाही apps को सीधे modify करके इस्तेमाल कर सकता हूँ, और तब यह सच में आदर्श OS होगा। बेशक मैं डाउनलोड करके खुद sign कर सकता हूँ, लेकिन मैं वहाँ तक नहीं जाना चाहता
  • GrapheneOS में root सेट करना संभव है, लेकिन इस स्थिति में डेटा wipe हो जाता है, इसलिए backup ज़रूरी है। अगर सच में root चाहिए, तो data backup - root permissions enable - restore जैसे तरीके से चलाया जा सकता है
  • मैं भी यही फीचर चाहता हूँ। adb root के लिए मैं खुद userdebug build बनाकर इस्तेमाल कर रहा हूँ, लेकिन अगर यह आधिकारिक रूप से supported हो तो बहुत बेहतर होगा
  • इसका मतलब है कि आप दोनों चीज़ें साथ नहीं पा सकते। root access बहुत बड़ा security hole है, इसलिए आधिकारिक version में इसे कभी support नहीं किया जाएगा। अपने custom key और image बनाने के अलावा कोई रास्ता नहीं है
  • मुझे यह जानने की जिज्ञासा है कि फोन में root enable करने पर threat model क्या होता है और इसे पूरी तरह रोका क्यों नहीं जा सकता। ज़्यादातर server या desktop तो root enabled होने पर भी बिना बड़ी समस्या के अच्छी तरह इस्तेमाल होते हैं
• यह [2024] है। यह लेख draft जैसा दिखता है, और लेखक के blog पर देखा जा सकता है: https://telefoncek.si/2024/05/2024-05-30-grapheneos-and-forensic-extraction-of-data/
• यह पढ़कर मेरा Pixel खरीदकर GrapheneOS install करने का मन हो रहा है। मान लें कि बड़ी कंपनियों में कुछ हद तक privacy बचाने की इच्छा हो, फिर भी वे कानूनी तौर पर आसानी से target बन सकती हैं। अगर अमेरिका या EU कल सभी mobile devices में backdoor अनिवार्य करने वाला कानून पास कर दें, तो उसका असर पूरी दुनिया पर पड़ेगा
  • इसे बहुत सस्ते में आज़माया जा सकता है। मैंने eBay से refurbished Pixel 7 Pro 250 डॉलर में खरीदा और उस पर GrapheneOS install किया। यह 20 डॉलर वाले eSim plan के साथ बाहर जाते समय इस्तेमाल करने वाला dedicated phone है। यात्रा में खो जाए या चोरी हो जाए, तो भी चिंता की ज़रूरत नहीं। बस eSim cancel करो, दूसरा Pixel फोन लो और फिर से GrapheneOS install कर लो। घर पर मेरा main phone, Pixel 10 Pro, वैसे ही सुरक्षित रहता है
  • संदर्भ के लिए, UK सरकार ने 2016 के Investigatory Powers Act के आधार पर Apple से backdoor बनाने की मांग करने की कोशिश की थी, लेकिन Apple ने मना कर दिया
  • मेरा आख़िरी Pixel (4a) लगभग डेढ़ साल बाद काफी खराब हालत में पहुँच गया था। सोच रहा हूँ क्या कोई और ज़्यादा durable Android device है। Apple SE मैंने कई साल बिना समस्या के इस्तेमाल किया, इसलिए मैं वापस Apple पर चला गया। फिर भी GrapheneOS ज़रूर आज़माना चाहता हूँ
  • मैं भी GrapheneOS की वजह से Pixel खरीदना चाहता हूँ, लेकिन Google trillion-dollar company होने के बावजूद global sales को लेकर हमेशा अनुत्साही लगता है
• यह सब पढ़कर लगता है कि इंटरनेट की अटकलों का जवाब दूसरी इंटरनेट अटकलों से दिया जा रहा है। Cellebrite नवीनतम devices के support status को सार्वजनिक नहीं करता, इसलिए हाल के iPhone या iOS, Pixel 9/10, और नए Android OS के बारे में वास्तव में क्या प्रगति हुई है, यह आम लोग नहीं जान सकते। फिर भी दोनों कंपनियों ने आधिकारिक रूप से इतना दिखाया है कि Apple, Advanced Data Protection इस्तेमाल होने पर Google की तुलना में कहीं अधिक end-to-end encryption देता है, और दोनों hardware तथा platform security में निवेश करते हैं (जैसे Apple का SEAR)। GrapheneOS का अस्तित्व अपने आप में सकारात्मक है, लेकिन यह पोस्ट खुद मुझे खास व्यावहारिक मदद देती नहीं लगती
  • इस साल की शुरुआत में लीक हुए दस्तावेज़ में Pixel 9 भी शामिल है। कम से कम लीक के समय उपलब्ध सामग्री के अनुसार, अगर 2022 के बाद के patch लागू हों तो GrapheneOS को Cellebrite द्वारा unsupported बताया गया है, और यह stock Google firmware से भी अधिक सुरक्षित है। GrapheneOS इस तरह की बहस से बच पाता है क्योंकि usability के लिए जिसे Google अपनाने से हिचकता है, वह USB port disable जैसी चीज़ों को बेझिझक लागू करता है। Google, Samsung, Apple (none-lockdown mode) के विपरीत, GrapheneOS हमेशा फोन unlock करने की मांग करता है जब उपयोगकर्ता उसे कार, display, USB memory, 3.5mm jack adapter वगैरह से जोड़ना चाहता है, इसलिए शिकायत कम झेलनी पड़ती है। साथ ही security hardening के लिए compilation के समय performance hit स्वीकार करके कई विकल्प जोड़े जाते हैं। उन्होंने खुद ऐसे दुर्लभ लेकिन वास्तविक उदाहरण समझाए हैं जहाँ हमला सफल होने पर भी ये बचाव निर्णायक साबित हुए (GrapheneOS case)। Cellebrite की मौजूदा स्थिति हमें पता न हो, लेकिन तीन साल से अधिक समय तक सही तरह से इसे भेद न पाने से GrapheneOS पर भरोसा बढ़ता है। बेशक GRU या NSA के पास अलग किस्म के attack methods हो सकते हैं, लेकिन इस समय बाज़ार में बिकने वाले tools से GrapheneOS टूटने का कोई संकेत नहीं है
  • कोई व्यक्ति लगातार GrapheneOS डेवलपर को Cellebrite support status लीक कर रहा है। उन रिकॉर्ड्स के मुताबिक, आधिकारिक दस्तावेज़ों में साफ़ लिखा है कि सिर्फ 2022 से पहले के patch level वाले GrapheneOS को hack किया जा सका था। उनके पास 2025 जून तक के नवीनतम दस्तावेज़ भी हैं, और चाहें तो और जुटा सकते हैं, लेकिन फिलहाल अधिक ज़रूरी काम हैं इसलिए तुरंत ऐसा करने का इरादा नहीं है। ज़रूरत पड़ने पर सामग्री देने वाला मुख्य संपर्क खुद सामने आ जाएगा, इसलिए वे निश्चिंत हैं (लिंक)
• अगर आप iOS से GrapheneOS पर जाने पर विचार कर रहे हैं, तो यह migration guide और review मददगार हो सकते हैं: https://blog.okturtles.org/2024/06/the-ultimate-ios-to-grapheneos-migration-guide-and-review/
  • Ente जैसी भरोसेमंद services भी हैं जो Apple Photos और Google Photos का विकल्प बन सकती हैं। इसके अलावा कई अन्य alternatives भी मौजूद हैं
  • विषय से थोड़ा हटकर, लेकिन मैं यह जानना चाहता हूँ कि GrapheneOS को फिलहाल टीम के कितने सदस्य maintain कर रहे हैं। अगर Daniel Micay अचानक गायब हो जाएँ, तो क्या तुरंत काम संभालकर development जारी रखने वाले लोग और infrastructure तैयार हैं
• "...क्योंकि GrapheneOS ऐसे हमलों के खिलाफ iOS से अधिक security hardening करता है। iPhone में भी secure element होता है, लेकिन attackers लंबे समय से इसे bypass करते आए हैं। Samsung और Qualcomm के साथ भी ऐसा ही है" इस दावे पर मुझे यह जानना है कि क्या वास्तव में Pixel brute-force attacks के खिलाफ अधिक मजबूत है, और क्या iPhone वगैरह ऐसे tools से आसानी से टूट जाते हैं
  • मैं इस आकलन से सहमत नहीं हूँ। GrapheneOS के लिए सम्मान बहुत है, लेकिन आलोचना आने पर कभी-कभी ऐसे बयान भी दिखते हैं जो अतिशयोक्तिपूर्ण मार्केटिंग के काफ़ी करीब लगते हैं। संबंधित लेख और जानकारियाँ Cellebrite की support list के लीक versions (प्रशासनिक डिवाइस के भीतर मौजूद storage files) पर आधारित हैं, इसलिए समय के साथ बदल सकती हैं। लेख लिखे जाने के समय Cellebrite iPhone 12 से पहले तक (secure storage component आने से पहले) brute-force access कर सकता था, और iPhone 12 को iOS 17 से पहले के versions में तोड़ने के लिए research stage में था। Android में Pixel 6 (Titan M2 आने के बाद) से आगे brute-force संभव नहीं था। मूल रूप से iPhone और Pixel दोनों का trust model लगभग एक जैसा है: उपयोगकर्ता का passcode secure entropy के साथ मिलाकर encryption key बनाने में इस्तेमाल होता है, और security processor प्रयासों की संख्या सीमित करता है। Apple की संरचना official documentation में बहुत अच्छी तरह समझाई गई है, और Google का Weaver भी लगभग ऐसा ही काम करता है। कुल मिलाकर, मुझे लगता है कि नवीनतम iPhone (iOS) और नवीनतम Pixel+GrapheneOS का संयोजन दोनों ही industry-leading protection देते हैं। जैसा कि लेख में कहा गया है, बाकी अधिकांश devices और firmware security software (ROM, bootloader आदि) की डिजाइन में काफी पीछे हैं
  • "आसानी से" वाला हिस्सा छोड़ दें तो ज़्यादातर बात सही है
• मेरे दिमाग में सबसे पहले जो security concern आता है वह blobs है। ये Android phones में आवश्यक closed-source hardware drivers होते हैं, जो high-privilege स्थिति में चलते हैं। अगर GrapheneOS इन drivers को बहुत सख्ती से sandbox नहीं करता, तो कोई कुशल attacker wifi, modem, या bluetooth driver के backdoor के ज़रिए security तोड़ सकता है। ऐसे blobs के मामले में GrapheneOS डेवलपर कुछ भी करें, इसे मूल रूप से रोकना कठिन है। उदाहरण के लिए, कल्पना की जा सकती है कि wifi driver PIN input intercept कर ले
  • GrapheneOS ऐसे blobs को भी बहुत सख्ती से sandbox करके चलाता है। HN user strcat ने इस बारे में विस्तार से कई टिप्पणियाँ लिखी हैं strcat के विस्तृत उत्तर
• जब तक smartphone का USB port इस्तेमाल होता रहेगा, पूरी security की गारंटी नहीं दी जा सकती। सरकारें जिस backdoor की चाहती हैं, वह यही रास्ता है। मैं privacy और freedom के लिए वोट करने की सलाह दूँगा। राजनीतिक तर्कों से अलग भी, सरकारें ऐसे काम गुप्त रूप से बजट लगाकर करवाती हैं। AWS जैसे platforms पर बहुत सारे subcontractors UFED से dump किए गए डेटा (यानी फोन directory को zip में compress किया हुआ) का analysis करते हैं। इसमें email, call history, carrier settings, browser history, messages, cookies, apps, app logs और data, यानी फोन में मौजूद लगभग सब कुछ शामिल होता है
  • TFA (मुख्य लेख) के अनुसार GrapheneOS USB port को disable भी कर सकता है
• तकनीकी रूप से यह दिलचस्प है, इसलिए मैं कभी ऐसा लेख पढ़ना चाहूँगा जिसमें digital forensic tools को हर operating system की सबसे सुरक्षित configuration पर लागू करके वास्तविक अंतर की तुलना की गई हो
  • "सबसे सुरक्षित configuration" का मतलब शायद offline, disconnected, और switched off स्थिति नहीं होगा क्या?