Cách mà các tin tặc mũ đen đã xâm phạm bảo mật của iPhone, Apple biết nhưng vẫn bất lực trước họ.

Từ lâu, những chiếc iPhone thử nghiệm 'dev-fused' đã trở thành công cụ ưa thích của các hacker iOS trên khắp thế giới.

Bài viết được chia sẻ bởi Lorenzo Franceschi-Bicchierai tại Motherboard.Vice.

Mathew Solnik, cùng với một hacker iOS khác, giải đáp thắc mắc của hàng trăm người dùng.

'Tôi sẽ trả lời một câu hỏi mà mọi người đều đặt ra: Làm thế nào chúng tôi có thể làm điều đó?' - Solnik, một nhà nghiên cứu bảo mật hàng đầu phát biểu tại một hội nghị của tin tặc mũ đen ở Las Vegas vào tháng 8 năm 2016. Hội nghị có sự tham gia của nhiều chuyên gia bảo mật khác nhau, cùng với các tin tặc mũ đen, các nhà nghiên cứu bán dịch vụ mở khóa iPhone và cả nhân viên của Apple.

Điều mà họ đề cập đến là Bộ xử lý Bảo mật (SEP - Secure Enclave Processor) của iPhone, một trong những thành phần phần cứng chứa mọi thông tin được mã hóa của sản phẩm. Làm thế nào Solnik đã giải mã thành phần này trong iPhone - một chiếc điện thoại thông minh được coi là an toàn nhất thế giới - trong một thời gian dài vẫn là một bí ẩn.

Nhưng đến ngày hôm nay, 2 năm sau hội nghị đó, chúng tôi mới biết được cách mà nhóm của Solnik có thể làm điều đó, và thông qua cuộc điều tra này, tôi đã hiểu được cách mà các nhà nghiên cứu bảo mật khác tận dụng mã nguồn trong những thành phần được bảo mật nhất của các thiết bị điện tử.

Không ai ngờ được rằng nhóm của Solnik đã sử dụng một chiếc iPhone dev-fused để thực hiện điều này. Những sản phẩm này được tạo ra để nghiên cứu về thành phần SEP như đã đề cập. Chúng được thiết lập mở để dễ dàng truy cập và điều chỉnh.

Nói một cách khác, đây là những chiếc iPhone đã được jailbreak sẵn bởi Apple.

Các sản phẩm dev-fused không có tính năng bảo mật như bản thương mại, giúp cho các nhà nghiên cứu hiểu rõ hơn về cơ chế bảo mật. Chúng cũng làm cho các hacker có thể tìm ra những lỗ hổng lớn trong hệ thống iOS, bao gồm cả Zero Days đầy nguy hiểm.

Với thiết kế như vậy, các chiếc iPhone chỉ được phép sử dụng nội bộ, nhưng vẫn đã xuất hiện trên thị trường đen với giá hàng nghìn USD. Nhờ nghiên cứu các iPhone dev-fused, hacker có thể tìm ra cách mở khóa cho hàng triệu chiếc iPhone bán ra trên thị trường.

Trong quá trình nghiên cứu, chúng tôi đã trao đổi với hơn 20 chuyên gia bảo mật, cựu nhân viên Apple, những người sưu tập smartphone hiếm và những người chuyên jailbreak iOS về iPhone dev-fused. Tôi cũng đã sử dụng những chiếc iPhone này để truy cập vào hệ thống root và kiểm soát những thành phần đã bị khóa bởi Apple. Nhờ nghiên cứu các iPhone dev-fused, các nhà phát triển đã tìm ra những lỗ hổng phần mềm có thể bị lợi dụng bởi các cơ quan tình báo và chính phủ.

Trong hội nghị của các hacker mũ đen, 2 người đứng bên cạnh Solnik là David Wang và Tarjei Mandt, còn được biết đến với tên Planetbeing và Kernelpool trong cộng đồng jailbreaker iOS. Họ thảo luận về bộ xử lý SEP và cách Apple có thể trích xuất thông tin từ đó, cũng như cách mà bộ xử lý này tương tác với bộ xử lý ứng dụng thông qua 'hộp thư bảo mật'. Đối với các hacker iPhone, đây là thông tin vô cùng quan trọng.

Một trong những lý do khiến iPhone khó bị hack là Apple đã khóa cứng bộ SEP và các thành phần chính khác. Trong các iPhone thông thường, bộ SEP được mã hóa và lý thuyết không thể giải mã. Tuy nhiên, với các iPhone dev-fused, công việc này trở nên dễ dàng hơn nhiều.

'Tôi ước mình có thể nói rằng đã phá khóa iPhone theo cách chính thống, nhưng giống như các sản phẩm khác, chúng tôi phải sử dụng các máy thử nghiệm' - một hacker với biệt danh Panaetius chia sẻ. Panaetius không muốn tiết lộ tên thật, vì việc sử dụng máy dev-fused có thể khiến anh ta trở thành mục tiêu của Apple.

Một nhà nghiên cứu bảo mật đã hỏi Wang tại một hội nghị rằng làm sao nhóm của anh có thể xâm nhập vào bộ SEP của iPhone, và đã nhận được câu trả lời là Solnik có nhiều máy dev-fused dùng cho nghiên cứu. Một nhà nghiên cứu iOS khác, không muốn tiết lộ danh tính, nói rằng anh đã thấy bộ sưu tập iPhone thử nghiệm của Solnik và anh ta đã sử dụng một sợi dây đặc biệt để kết nối nó với máy Mac.

Tại hội nghị năm 2016, nhóm của Solnik giữ thông tin kín về quá trình làm việc của họ vì trên toàn cầu chỉ có họ mới chiếm quyền truy cập vào bộ SEP. Tuy nhiên, nhờ sự phổ biến của các iPhone dev-fused, hiện đã có rất nhiều người có thể làm điều tương tự. Lisa Braun, một hacker khác, cũng nói rằng đã chiếm quyền được SEP của một máy iPad Air 2 phiên bản thử nghiệm.

Theo 5 nguồn tin đáng tin cậy, các công ty chuyên bán thiết bị hack iPhone sử dụng và sở hữu iPhone dev-fused trong quá trình nghiên cứu của họ. Cellebrite khi được hỏi không có bất kỳ câu trả lời nào.

Chris Wade, đồng sáng lập của Corellium, một start-up giúp người dùng tạo ra giả lập của bất kỳ sản phẩm iOS nào trên thị trường, nói rằng cũng đã thử nghiệm một chiếc máy thử nghiệm. Wade, biệt danh cmw, nói rằng anh ấy chưa bao giờ mua máy dev-fused. Anh thừa nhận rằng đã từng 'dùng qua' dòng máy này nhưng không sử dụng chúng để phát triển phần mềm cho công ty của mình.

'Tôi muốn khẳng định rằng Corellium chưa bao giờ sử dụng các máy thử nghiệm để phát triển sản phẩm. Chúng tôi không sử dụng hàng ăn cắp. Tôi đã dành nhiều năm để xây dựng Corellium và không muốn bị Apple kiện để rồi mất tất cả!'

Trước hội nghị năm 2016, Apple không phát hành các bản kernel đã được mở khóa cho công chúng. Phân tích nhân kernel là bước quan trọng trong việc hack iPhone và hiểu rõ hơn về hệ điều hành iOS. Các iPhone dev-fused được bán với giá hàng chục ngàn USD trở thành công cụ hữu ích để thực hiện công việc này. Theo một bài viết trên Twitter của Mandt, nếu có tiền và thời gian, bạn có thể mua những sản phẩm thử nghiệm này. Mặc dù số lượng có hạn, nhưng nếu bạn tìm kiếm kỹ, vẫn có thể tìm thấy chúng.

'Tôi đến đây', tôi nhận được tin nhắn khi đang đi trên đường ồn ào của Manhattan. Tôi nhìn lên và thấy một người đàn ông gầy, tóc đen dài, đội một chiếc mũ sặc sỡ và tay cầm một chiếc iPhone. Tôi theo anh ta vào cửa hàng, có cửa tích hợp cảm biến vân tay mà anh ta nói là do chính mình thiết lập. Trong cửa hàng có một vài ván trượt, 2 bể cá và một tấm biển lớn: 'Chúng mày lấy đồ của tao thì tao sẽ đập nát mặt chúng mày!'

Người đàn ông này là một trong số ít người quảng cáo bán các sản phẩm dev-fused trên mạng. Trên trang Twitter của anh ta, mang tên 'Cửa hàng Apple bí mật', có những sản phẩm iPhone được đăng bán, trong đó có chiếc iPhone X dev-fused có giá 1800 USD. Anh ta nói rằng đã có rất nhiều công ty bảo mật mua iPhone thử nghiệm và tin rằng họ vẫn giữ để sử dụng.

'Họ không quan tâm đến tiền, dù giá có cao thì công ty của họ vẫn mua.'

Khi được hỏi về nguồn gốc hàng hóa, anh ta trở nên kín đáo.

'Tôi không đi ăn cắp, tôi cũng đã bỏ tiền ra để mua chúng.' - anh ta nói, vừa lấy một khay đầy iPhone thử nghiệm - 'nếu bạn không phát hành các phiên bản thử nghiệm như iPhone 11 lên mạng, thì Apple không làm gì bạn cả!'

Trong vài sản phẩm trên khay có miếng dán ghi chữ FOXCONN - nhà máy sản xuất iPhone và các sản phẩm khác của Apple. Các sản phẩm này trông giống như các phiên bản thương mại cho đến khi mở lên. iPhone dev-fused chạy một hệ điều hành riêng gọi là Switchboard, có hình nền đen và các ứng dụng kiểm tra độ ổn định, tính năng trên thiết bị.

Sử dụng các ứng dụng này thực sự là khó chịu, vì chúng được thiết kế cho máy tính, phần lớn không có giao diện cảm ứng đầy đủ. Nhưng điều thú vị là các ứng dụng trên Switchboard có những điều mà Apple không cho phép trong App Store.

Ví dụ, biểu tượng của ứng dụng kiểm tra tính ổn định là hình con chó Doge - một biểu tượng từng rất nổi tiếng. Ứng dụng này cho phép kiểm tra các tính năng của máy như camera, loa, microphone, pin và cảm biến ánh sáng. Ứng dụng Ness có nhân vật chính từ game Earthbound của Nintendo, dùng để đo nhiệt độ bên trong iPhone. Ứng dụng khác mang tên Sightglass có logo giống một quán cà phê ở San Francisco.

Với những người không có kiến thức, iPhone này trở nên vô dụng. Nhưng đối với hacker chuyên nghiệp, kết nối chúng với máy Mac qua cọng dây đặc biệt Kanzi, họ có thể kiếm được nhiều tiền hơn rất nhiều so với giá mua. Sử dụng cọng dây đặc biệt vì Apple sử dụng giao thức riêng để thử nghiệm iPhone trong nhà máy, không giống với dây bán ra trên thị trường. Xâm nhập vào hệ thống của iPhone dev-fused cũng không quá khó, chỉ cần đăng nhập bằng tài khoản root và mật khẩu alpine.

Không có hai iPhone dev-fused nào giống nhau. Một số được đặt trong các gá để dễ dàng mở và đóng máy để xem các linh kiện bên trong. Một chiếc tôi thấy còn có dây cắm chằng chịt từ trong ra ngoài để gắn thêm thiết bị khác.

Tìm kiếm các sản phẩm này trên mạng không khó, miễn là bạn có đủ tiền và chấp nhận rủi ro là Apple sẽ kiện bạn! Ngoài cửa hàng đã nói trên, còn có tài khoản Jin Store bày bán công khai các chiếc iPhone dạng này.

Tại đây, bạn có thể mua các dòng máy như iPhone 8 Plus giá 5000 USD, iPhone XR 20.000 USD, hoặc các dòng máy cũ hơn như iPhone 6 với giá 1300 USD. Giá có thể thay đổi, tùy vào mức độ khó khăn của việc mở khóa. Trong một cuộc trò chuyện trên Wechat, tôi biết chủ của Jin Store quen Solnik, nhưng không tiết lộ liệu anh ta có phải là khách hàng hay không.

Một chủ cửa hàng bán iPhone dev-fused khác, tên Mr. White, nói rằng anh ta đã bán gần hết tất cả các dòng máy. Anh cũng cho biết đã bán rất nhiều sản phẩm cho các nhà nghiên cứu bảo mật.

'Tôi không biết cách mở SEP, nhưng có đủ thiết bị để bán cho các nhà nghiên cứu'.

Mặc dù việc mua iPhone dev-fused không quá khó, nhưng nguồn cung của các cửa hàng cũng không nhiều. Trong một bài viết trên Hacker News, phóng viên Will Strafach nói rằng: 'Những sản phẩm này sử dụng chứng chỉ và khóa riêng, việc sử dụng chúng có thể khiến người dùng bị kiện bởi Apple, hoặc nguy cơ lừa đảo.'

Sau buổi phát biểu của nhóm Solnik, Krstić, trưởng bộ phận an ninh của Apple, cũng xuất hiện tại hội nghị BlackHat. Tại đây, ông nói về các sản phẩm iPhone thử nghiệm. Đây có thể là lần duy nhất một nhân viên của Apple nói về các sản phẩm này, vì thực sự Apple không bao giờ đề cập tới chúng. Khi được hỏi trên Twitter, Krstić nói rằng không được phép bàn luận về công việc của công ty trên mạng xã hội, nhưng có thể chia sẻ về 'cách chuẩn bị món thịt bò tảng độc đáo đến mức khó hiểu' của ông.

Mặc dù không được công khai bàn luận, nhưng những chiếc máy này đã được những nhân viên an ninh và hacker sử dụng rất nhiều. Theo một người buôn lậu từ Trung Quốc, 'Những dòng máy này rất phổ biến trong giới nghiên cứu an ninh. Đã có rất nhiều người hỏi tôi để mua chúng, và sẵn sàng trả số tiền rất lớn.'

Andrew 'Bunnie' Huang, một người có kinh nghiệm trong việc mua iPhone thử nghiệm, đã viết một bài blog hướng dẫn mọi người muốn sở hữu sản phẩm này tại thành phố Shenzhen - trung tâm công nghệ của Trung Quốc. Tại đây, những chiếc máy được cung cấp bởi Apple cho nhà máy Foxconn, nhưng bị các nhân viên ăn cắp và bán ra ngoài.

Theo Huang, thậm chí những nhân viên này còn không biết giá trị thực sự của những sản phẩm họ 'tuồn' ra ngoài. Họ như đang ngồi trên một kho báu, nhưng bán chúng ra với giá rẻ như rác. Cũng theo anh, những sản phẩm này được ví như một căn nhà đã có tường, cửa, nhưng chưa gắn khóa nên ai cũng có thể vào thăm quan.

Đối với các sản phẩm thương mại, hay được gọi là 'production fused', việc xâm nhập vào hệ thống bảo mật iOS thực sự rất khó, có thể mang lại cho những ai làm được số tiền lên đến hàng triệu USD. 'Các sản phẩm bán ra trên thị trường đều có một chân pin bị hỏng, nếu chân pin này vẫn còn và phần mềm đang ở dạng Switchboard thì chắc chắn đó là các sản phẩm dev-fused.'

Vào năm 2017, trang Motherboard cũng tiết lộ rằng có các hacker hàng đầu thế giới không tiết lộ các lỗ hổng bảo mật cho Apple, dù hãng có treo thưởng hàng triệu USD. Một trong những thách thức khi tìm lỗ hổng trong iOS là phải nhận ra các lỗ hổng đã biết. Nói cách khác, các nhà nghiên cứu iOS cần phải biết lỗ hổng để có thể jailbreak và mở các tính năng bảo mật, nhưng nếu họ thông báo lỗ hổng cho Apple, họ có thể mất việc trong tương lai.

'Đây là những con gà đẻ trứng vàng cho các hacker' - một hacker tên là Panaetius chia sẻ - 'Chúng là các thiết bị có cơ chế bảo mật, nhưng bạn có thể dễ dàng vượt qua chúng.'

Các hacker không muốn tiết lộ việc họ sử dụng các thiết bị này để xâm nhập vào iOS, vì họ cảm thấy như đang làm việc phi pháp. Việc khám phá và khám phá tự nhiên sẽ giúp họ được tôn trọng hơn trong cộng đồng hacker.

Giulio Zompetti, một người sưu tầm các thiết bị iPhone dev-fused, cho biết anh sở hữu tới 14 chiếc iPhone, iPod và iPad thử nghiệm. Anh ấy nói rằng mặc dù anh ấy có chúng, nhưng anh ấy chỉ sưu tầm chứ không có ý định hack.

'Đối với tôi, đây là một khoản đầu tư, vì càng lâu thì càng khó kiếm được. Hơn nữa, việc sưu tầm cũng thú vị, khi mua được những thứ mà không thể tìm thấy trên thị trường.'

'Tôi cũng muốn lưu lại lịch sử' - Anh ta chỉ vào chiếc iPhone 5S anh ta đã mua khi iPhone 5 vẫn còn trên thị trường. Một người sưu tập khác cũng chia sẻ với tôi về sản phẩm của họ, nhiều đến nỗi tôi không muốn đếm!

Apple cũng nhận ra rằng các sản phẩm này đang được mua bán trên thị trường phụ. Theo nhiều nguồn tin, Apple đã tăng cường an ninh tại các nhà máy Foxconn để ngăn chặn việc ăn cắp và bán ra các thiết bị iPhone dev-fused. Các nhà nghiên cứu cũng không ngần ngại chia sẻ việc sử dụng các thiết bị này để tìm hiểu về iOS. Vào năm 2016, Solnik đã chia sẻ những gì anh ta đã làm trên Twitter.

'Ai muốn nhìn thấy một nhóm chuyên về an ninh phải thấu hiểu cảm giác đó không?' Anh viết trên Twitter kèm theo hình ảnh về việc xâm nhập vào bộ xử lý SEP. Các bước anh thực hiện để xâm nhập vào SEP không bao giờ được tiết lộ, nhưng những thành tựu này đã nâng cao danh tiếng của nhóm anh trong cộng đồng hacker iOS.

Nhóm này hiện đã tách ra, với anh Mandt làm việc tại Azimuth, anh Wang gia nhập Corellium. Tuy nhiên, người đứng đầu là Solnik vẫn giữ sự bí ẩn. Tại một cuộc thảo luận vào năm 2017, cho rằng Solnik đang dẫn đầu một start-up OffCell, chuyên cung cấp dịch vụ an ninh cho chính phủ.

Tuy nhiên, vào năm 2017, anh được cho là đã được Apple tuyển dụng để tham gia đội ngũ bảo mật, hay còn gọi là 'đội ngũ đỏ'. Lời phát biểu của anh tại Black Hat đã khiến đại diện của Apple rất ấn tượng và họ đã thuê anh về. Tuy nhiên, Solnik được cho là đã rời bỏ Apple sau một vài tháng. Lý do Solnik rời bỏ Apple vẫn là một bí ẩn. Người nhân viên của Apple thậm chí còn không được phép nhắc đến Solnik vì thông tin này được coi là bí mật của công ty.

Dù sao đi nữa, thị trường iPhone dev-fused hiện nay đang phát triển mạnh mẽ. Và có vẻ như Apple không thể kiềm chế được thị trường này. Theo Viktor Oreshkin, 'Tất cả mọi người đều có lợi từ việc quản lý thiếu trách nhiệm tại Foxconn, nhưng Apple chắc chắn là người chịu tổn thất nhiều nhất.'