โทรศัพท์ของเรากลายเป็นของสำคัญขึ้นเรื่อยๆ เมื่อเราเก็บข้อมูลส่วนตัวไว้ในโทรศัพท์จำนวนมาก คำแนะนำทั่วไปคือให้ล็อกโทรศัพท์ไว้เสมอด้วยรหัสจะได้ป้องกันได้ในกรณีที่โทรศัพท์หายไป แต่การทดลองล่าสุดแสดงให้เห็นว่าระบบการล็อกนี้ใช้ไม่ได้กับแอนดรอยด์
ระบบล็อกด้วย PIN เพียงสี่หลักไม่สามารถป้องกันการไล่เดาทีละหมายเลขได้คงไม่ใช่เรื่องแปลก แอนดรอยด์และ iOS ต่างแก้ปัญหาด้วยการเพิ่มเวลาดีเลย์เมื่อกดรหัสผิดพลาด แต่ในกรณี iOS นั้นเวลาจะเพิ่มขึ้นเรื่อยๆ ทุกครั้งที่กดผิด จนกระทั่งอาจจะต้องรอหลายชั่วโมงต่อการกดแต่ละครั้ง แต่แอนดรอยด์กลับมีรูปแบบการรอเพียง 30 วินาทีทุกๆ รอบที่กดผิด 5 ครั้ง เมื่อรูปแบบของรหัสผ่านมีได้เพียง 10,000 รูปแบบ การกดรหัสทั้งหมดก็ทำได้ในเวลาเพียง 19 ชั่วโมง 24 นาทีเท่านั้น
Justin Engler และ Paul Vines สร้างหุ่นยนต์เฉพาะขึ้นมาเพื่อกดรหัสไปเรื่อยๆ ตลอดเวลา 20 ชั่วโมง มันสามารถรอช่วงเวลาระหว่างรหัสผิดและกดใหม่ได้ทันทีที่ช่วงเวลารอหมดลง
หุ่นยนต์ตัวนี้ทำงานได้จริงแล้ว แปลว่าหากคุณโทรศัพท์แอนดรอยด์หายไปในหนึ่งวันและใช้รหัส PIN ก็จะเสี่ยงต่อการปลดรหัส
นักวิจัยทั้งสองคนกำลังเตรียมคอมพิวเตอร์รุ่นต่อไปที่ต่อเข้ากับระบบสัมผัสของหน้าจอโดยตรง เพื่อส่งสัญญาณการกดเข้าไปยังโทรศัพท์ เพื่อให้จำลองการกดได้เร็วยิ่งขึ้น
ที่มา - Forbes
Comments
อ้าก น่ากลัวแฮะ
Writer no.59 เพื่อสังคมแห่งการแบ่งปันความรู้
30 นาที -> 30 วินาที ครับ
rm /data/system/password.key
rm /data/system/gesture.key
ไม่ต้องรอนาน แค่นี้ก็ปลดล็อคได้แล้ว รู้เรื่อง!
แต่นี่ก็ขยันทำหุ่นยนต์มาปลดล็อคเลย -
สงสัยว่า แอนดรอย ถ้าเครื่องล็อกอยู่ เราต่อเข้า debug modeได้ด้วยเหรอครับ? ของ iOS นี่เหมือนว่าจะไม่ได้เลย ต้องปลดล็อกเครื่องก่อนอะ
iPAtS
ไม่แน่ใจ แต่ถ้าไม่ได้เปิด debug เอาไว้มันก็ต่อเข้าไปไม่ได้แต่แรกไม่ว่าจะล็อกอยู่รึเปล่า
lewcpe.com, @wasonliw
ใช้ recovery mode สิครับ - -"
ถ้าไม่ใช่ hacked recovery ปกติจะทำไม่ได้ครับ (ไม่นับบางรุ่นที่มีบั๊ก)
เข้าได้ครับ เคยใส่แบบลากไว้แล้วเปลี่ยน ROM พอดีแบบลากบนROMเก่าใช้ไม่ได้กับROMใหม่ มันเลยล๊อคแบบไม่มีโอกาสปลดล๊อกได้
เลยต้องเข้าไปลบครับ
ถ้าไม่ได้ปิด debugging mode ไว้ เข้าได้ตลอดเวลาครับ
ปล ROMของ Android 4.2 บางตัว การต่อ Debug ครั้งแรก มันจะถามเกี่ยวกับการต่อ debug กับเครื่องคอม
ถ้าเราเลือกให้มันจำเครื่องที่เราต่อไว้ พอครั้งต่อๆไปจะไม่ถามแล้ว
แต่ถ้าไปเครื่องอื่น แล้วเครื่องล๊อกอยู่ก็ทำอะไรไม่ได้ เพราะว่ามันต้องกดอนุญาตที่ตัวเครื่องสำหรับครั้งแรก
ผมสงสัยอยู่ว่าทำไมROMที่ผมใช้อยู่ไม่ถาม ทั้งที่เคลียร์เครื่องคอมและมือถือแล้ว สงสัยคนทำROMนี่ไม่ได้syncเอาการทำงานทั้งหมดของ4.2มา
มันตั้งได้มากกว่า 4 ตัวเลขนะ - -"
ปกติ pattern กับ pin unlock บนแอนดรอย มันไม่ได้จำกัด 4 ตัวนี่?
ถ้าจำไม่ผิด ผมเห็นทั้ง iOS Android มีให้เลือกด้วยว่า ตัวเลขล้วน หรือ ตัวเลข + ตัวอักษร แต่ผมเองก็ใช้แต่ตัวเลข
ถ้าได้เครื่องมาแล้วจะขโมยข้อมูล
แทนที่จะสร้างหุ่นยนต์มานั่งกด แกะ internal memory ออกมาจากเครื่องเลยแล้วใช้เครื่องอ่านข้อมูลดึงออกมาโดยตรงเลยไวกว่าเยอะ
ปกติ digital forensics เค้าก็ทำกันแบบนี้
Android ไม่ได้เข้ารหัสข้อมูลไว้ด้วย สบาย
ในแง่ราคา หุ่นยนต์นี่ถูกกว่าเยอะครับ ราคา 200 ดอลลาร์ แถมยังไม่ต้องทำลายเครื่องก่อนเข้าถึงข้อมูล และถ้าผู้ใช้กดเข้ารหัส (ซึ่งเวอร์ชั่นหลังๆ ก็มีหมดแล้ว) ท่าแกะ memory ก็ติดอยู่ดี
lewcpe.com, @wasonliw
กดไปกดมาเครื่องพังซะก่อน 555
Educational Technician
ใช้ "การเขียนรูปแบบ" เพื่อปลดล๊อคในAndroids ลองมาปลดล๊อคดูดิ
android ผมใช้รหัสผ่านทั้งตัวเลขและตัวอักษร
ผมใช้แบบ Pattern แหะ ปลดล๊อกง่ายดี