Rekayasa Balik Reboot karena Inaktivitas di iOS 18

• iOS 18 memperkenalkan fitur keamanan reboot karena inaktivitas yang baru: "otomatis reboot jika tidak dibuka selama 3 hari"
• Memasukkan kode sandi saat iPhone dinyalakan dan pertama kali dibuka sangat berbeda dengan memasukkan kode sandi kemudian untuk membuka kunci
• Saat memasukkan kode sandi ketika iPhone pertama kali dinyalakan, penyimpanan kunci Secure Enclave Processor (SEP) dibuka, dan inilah yang mengenkripsi data di iPhone
  • Dalam status sebelum pembukaan kunci pertama (BFU), data pengguna terenkripsi, Face ID dan Touch ID tidak berfungsi, dan perlu memasukkan kode sandi. Karena kata sandi Wi-Fi terenkripsi, koneksi Wi-Fi tidak memungkinkan, tetapi jika SIM tidak dilindungi PIN maka tetap bisa terhubung ke jaringan seluler. Pratinjau isi notifikasi juga tidak ditampilkan.
  • Dalam status setelah pembukaan kunci pertama (AFU), data pengguna telah didekripsi. Selama iOS berjalan, penyimpanan kunci tetap terbuka sehingga koneksi Wi-Fi dan pratinjau notifikasi pesan dapat digunakan. Namun, status ini lebih rentan terhadap serangan.
• Kelemahan keamanan pada status AFU: jika penyerang berhasil melewati layar kunci, mereka dapat mengakses data yang sudah didekripsi. Dengan akses fisik, kemungkinan penyalahgunaan kerentanan melalui USB, Wi-Fi, Bluetooth, atau serangan perangkat keras juga meningkat

Rumor tentang reboot iPhone

• Aparat penegak hukum menjaga iPhone tetap terisolasi dari internet agar bisa memperoleh data penting secara forensik dalam status AFU.
• Ada rumor bahwa di iOS 18, iPhone akan tetap reboot meskipun sepenuhnya terisolasi dari jaringan nirkabel
• Ada juga klaim bahwa iPhone dengan iOS 18 dapat memerintahkan iPhone lain dengan versi iOS lebih rendah untuk reboot secara nirkabel (kemungkinan teknisnya rendah)

Penemuan fitur reboot karena inaktivitas

• Apple sering meninggalkan petunjuk lewat string debug saat menambahkan fitur baru
  • Sejak iOS 18.1, string inactivity_reboot mulai muncul. Di iOS 18.2, ini berubah menjadi inactivity_reboot_enabled
• Hasil pengujian mengonfirmasi bahwa reboot karena inaktivitas terjadi jika perangkat tidak dibuka selama 3 hari (72 jam)

Rekayasa balik reboot karena inaktivitas

• Secure Enclave Processor (SEP) melacak waktu pembukaan kunci terakhir, dan ketika melewati 3 hari, ia memberi tahu modul kernel AppleSEPKeyStore.
• Modul kernel AppleSEPKeyStore memberi tahu ruang pengguna untuk memulai reboot. SpringBoard menutup semua proses ruang pengguna dengan aman.
• Setelah reboot, keybagd membaca variabel NVRAM "aks-inactivity" dan, jika disetel, mengirim peristiwa analitik ke Apple.
• Jika reboot gagal, akan terjadi kernel panic

Rekayasa balik Secure Enclave Processor

• SEP adalah salah satu rahasia Apple yang paling dijaga, dan firmware-nya dienkripsi.
• Firmware SEP terdiri dari beberapa aplikasi, dan aplikasi yang terkait dengan SEPKeyStore disebut "sks".
• SEP membuat pesan ketika waktu melebihi 3 hari (72 jam) lalu mengirimkannya ke ekstensi kernel SEPKeyStore.

Apakah ini tindakan yang hanya menyasar polisi?

• Efek peningkatan keamanan: media melaporkan bahwa fitur ini tampaknya terutama menyasar aparat penegak hukum, tetapi dari sisi pencegahan pencurian ini merupakan peningkatan keamanan yang besar.
  • Perangkat penegakan hukum yang lawas sering dijual murah di platform seperti eBay, dan ini membantu mengurangi kasus pencuri yang memanfaatkannya untuk mengakses data iPhone.
  • Secara realistis, sulit bagi pencuri untuk mendapatkan alat peretasan terbaru atau menyiapkan sumber daya untuk membuka perangkat dalam waktu 3 hari.
• Pentingnya pembaruan perangkat: menjaga iOS tetap pada versi terbaru sangat penting untuk melindungi data pribadi dengan aman.
• Perlunya adaptasi aparat penegak hukum:
  • Aparat penegak hukum perlu menyesuaikan prosedur ekstraksi data agar selesai dalam waktu 3 hari.
  • Beberapa produsen alat forensik bahkan telah mengumumkan bahwa mereka dapat mengatur prosedur ekstraksi data dalam 24 jam.
  • Ini menunjukkan keterbatasan bahwa data hanya dapat diekstrak dalam status AFU.
• Asimetri ancaman keamanan:
  • Bagi pencuri, fitur ini secara efektif membuat data sangat sulit diperoleh dan menjadi penghalang keamanan utama.
  • Sebaliknya, aparat penegak hukum menanggung beban untuk merampingkan proses dan merespons lebih cepat.

Poin-poin utama

• Tidak terkait dengan aktivitas nirkabel:
  • Fitur ini tidak berhubungan dengan aktivitas jaringan nirkabel.
  • Klaim dalam dokumen penegakan hukum tentang "reboot akibat komunikasi nirkabel antarperangkat" sulit dipercaya.
  • Reboot pada perangkat sebelum iOS 18 kemungkinan besar disebabkan oleh bug perangkat lunak.
• Peran SEP:
  • Pengukuran waktu inaktivitas dan pemicu reboot dilakukan di SEP.
  • SEP berkomunikasi dengan ekstensi kernel SEPKeyStore untuk menjalankan perintah reboot.
  • Manipulasi waktu dari luar melalui internet atau jaringan seluler kemungkinan besar tidak memengaruhi timer 3 hari.
• Fitur keamanan yang kuat:
  • Agar penyerang dapat mencegah reboot karena inaktivitas, mereka memerlukan hak eksekusi kode kernel.
  • Meskipun analis forensik mungkin dapat menunda reboot demi ekstraksi data, peretasan awal tetap harus dilakukan dalam 3 hari.
• Perubahan lanskap ancaman:
  • Ini menghadirkan tantangan baru baik bagi pencuri maupun analis forensik.
  • Bagi pencuri, ini secara efektif memblokir akses ke rekening bank dan data sensitif lain yang tersimpan di iPhone.
  • Aparat penegak hukum akan berada di bawah tekanan untuk merespons lebih cepat demi mengakses data.

[GN⁺]

Komentar Hacker News

• Dalam status AFU, data pengguna didekripsi. Pengembang dapat memilih berbagai kunci untuk melindungi data. Apple menggunakan kunci tertentu untuk melindungi informasi sensitif seperti data kesehatan pengguna

  • Informasi tentang kelas perlindungan data Apple dapat dilihat di sini

• Muncul pertanyaan mengapa ada terlalu banyak penekanan pada bagian yang tidak terhubung ke jaringan. GrapheneOS sudah menyediakan fitur reboot otomatis setelah jangka waktu tertentu, dan ini efektif untuk mencegah kebocoran data

• Dua pertanyaan diajukan:

  • 1. Jika iPhone yang terkunci selalu direboot setiap 3 hari, itu bisa menimbulkan masalah dalam kasus penggunaan yang sah
  • 2. Jika artikel itu benar, perangkat direboot demi keamanan agar kembali ke status "Before First Unlock". Muncul pertanyaan mengapa tidak bisa beralih ke status ini tanpa reboot
  • Pertanyaan bonus: Ponsel Android meminta kata sandi seperti setelah reboot ketika tidak ada pergerakan selama beberapa jam. Apakah ini berbeda dari status "Before First Unlock" pada iPhone?

• Muncul rasa ingin tahu mengapa Apple mengenkripsi firmware SEP. Jika itu tidak esensial bagi model keamanan, mungkin tujuannya untuk melindungi kekayaan intelektual

• Ini artikel yang sangat bagus yang menunjukkan bahwa Apple berada di depan dalam keamanan perangkat

• Disebutkan kemungkinan iOS 18 dapat menginstruksikan ponsel lain untuk melakukan reboot secara nirkabel, tetapi tampaknya hal itu tidak dibahas lagi setelahnya

• Ada pendapat bahwa ini mirip dengan cara AOSP menangani unlock BFU dan AFU

• Diduga ini dikelola di Secure Enclave. Itu akan membuatnya sangat sulit dinonaktifkan bahkan jika iOS sepenuhnya berhasil dikompromikan

• Ada pertanyaan mengapa ditetapkan waktu spesifik 3 hari, dan bukan penundaan yang dapat dikonfigurasi pengguna

• Terima kasih untuk tulisan yang luar biasa ini, analisisnya sangat bagus