GrapheneOS und forensische Datenextraktion (2024)

(discuss.grapheneos.org)

2 Punkte von GN⁺ 2025-09-12 | Noch keine Kommentare. | Auf WhatsApp teilen

GrapheneOS erhält viel Aufmerksamkeit wegen seiner hohen Sicherheit und Privatsphäre und gilt als mit iOS vergleichbar
Im Mai 2024 gab es in sozialen Medien eine falsche Behauptung, GrapheneOS sei anfällig für Datenextraktion
Forensische Werkzeuge wie Cellebrite ermöglichen auf den meisten Android-/iOS-Geräten eine Extraktion ohne Einwilligung, aber GrapheneOS lässt sich nicht kompromittieren, wenn die neuesten Sicherheitspatches installiert sind
Einwilligungsbasierte Datenextraktion liegt vor, wenn Nutzer ihr eigenes Gerät selbst entsperren; nur dann ist eine Extraktion möglich
Die Kombination aus Pixel 6 oder neuer und GrapheneOS blockiert auch aktuelle Angriffe wie Passwort-Brute-Force-Angriffe und Hacking über USB-Verbindungen

Überblick über GrapheneOS und der Hintergrund des Angriffs in sozialen Medien

GrapheneOS ist ein Android-basiertes, Open-Source-, sicherheits- und datenschutzorientiertes Betriebssystem und bietet Schutz auf iOS-Niveau oder darüber hinaus
Im Mai 2024 gab es in sozialen Medien einen Angriff, der das Missverständnis schürte, GrapheneOS sei von Forensik-Tools geknackt worden
Tatsächlich wurde ein Fall der einwilligungsbasierten (consent-based) Datenextraktion böswillig fehlinterpretiert und fälschlich als Schwachstelle von GrapheneOS dargestellt

Digitale Forensik ist der Prozess der Sammlung und Analyse elektronischer Beweise
Dabei werden aus verschiedenen Geräten wie Computern, Smartphones und Speichermedien Beweise für Straftaten oder rechtliche Auseinandersetzungen extrahiert und analysiert
Forensische Techniken können jedoch auch für Eingriffe in die Privatsphäre, Vergeltung oder Beweismanipulation missbraucht werden
GrapheneOS entwickelt verschiedene Sicherheitsmaßnahmen, um Datenextraktion ohne Einwilligung und Manipulation von Geräten zu verhindern

Cellebrite ist ein führendes israelisches Unternehmen für digitale Forensik, bekannt für das Tool UFED (Universal Forensic Extraction Device)
Das Unternehmen verkauft seine Geräte legal an Regierungen und Justizbehörden, aber auch an autoritäre Staaten oder Länder mit Unterdrückung von Menschenrechten
Mit diesem Tool werden weltweit in vielen Regionen Versuche unternommen, Daten aus Smartphones zu extrahieren

Der erste Schritt der digitalen Forensik ist die Datenextraktion von Mobilgeräten
Wenn ein Gerät gesperrt ist, wird mit verschiedenen Methoden (Hacking, Brute Force) versucht, Passwort oder PIN zu erraten
Zwei Zustände von Smartphones:
- BFU (Before First Unlock): Zustand nach dem Booten, in dem das Gerät noch nie entsperrt wurde; die internen Daten sind vollständig verschlüsselt, was forensische Analysen stark erschwert
- AFU (After First Unlock): Zustand nach dem Entsperren; die Schlüssel sind im Speicher vorhanden, wodurch der Datenzugriff vergleichsweise einfacher wird

AFU-Zustand: Versuch der Umgehung oder Entsperrung des Sperrbildschirms mittels Software-Schwachstellen und anschließende Datenextraktion
BFU-Zustand: Versuch, die PIN bzw. das Passwort per Brute Force (Ausprobieren aller Kombinationen) zu erraten

Laut im April 2024 veröffentlichtem Material können mit Ausnahme von GrapheneOS alle Android-Marken unabhängig vom AFU- oder BFU-Zustand gehackt und ausgelesen werden
Auch neuere iOS-Geräte werden teilweise unterstützt; bei den meisten iPhone-Nutzern werden die neuesten Patches jedoch automatisch installiert, was das Risiko verringert
NSO (der Hersteller von Pegasus) hat in der Vergangenheit Schwachstellen in den neuesten iOS-Versionen sehr schnell ausgenutzt
GrapheneOS erkennt offiziell an, dass selbst Cellebrite Geräte mit seit Ende 2022 eingespielten Sicherheitsupdates nicht hacken kann
Da Updates automatisch aktiviert sind, bleibt bei den meisten Nutzern das aktuelle Sicherheitsniveau erhalten
Wenn Nutzer ihr Gerät selbst entsperren (consent-based), ist eine Datenextraktion allerdings bei iOS, Android und GrapheneOS möglich
- Bei GrapheneOS ist über Entwickleroptionen und das Tool adb vollständiger Datenzugriff möglich
Pixel 6 und spätere Modelle + GrapheneOS können selbst mit zufälligen Kombinationen gegen eine 6-stellige PIN nicht per Brute Force geknackt werden

Im Mai 2024 wurden in sozialen Medien auf Basis eines erfolgreichen Falls einwilligungsbasierter Extraktion falsche Behauptungen über eine Schwachstelle in GrapheneOS verbreitet
Ähnliche Falschdarstellungen gab es schon früher, etwa Gerüchte über eine gebrochene Signal-Verschlüsselung (tatsächlich hatte der Nutzer die App selbst geöffnet und der Forensik bereitgestellt)

Wenn das Gerät durch den Nutzer gesperrt ist (z. B. per Sperrbildschirm), werden neue USB-Verbindungen blockiert, zudem gibt es eine hardwareseitige Funktion zur Deaktivierung des Ports
Für BFU, AFU, vollständig entsperrte Zustände und weitere Szenarien kann eine vollständige USB-Sperre bis zum gewünschten Niveau konfiguriert werden
Seit 2024 wurde die Sicherheit bis hin zur Pixel-Firmware weiter verstärkt

Geräte ab Pixel 6 sind mit Titan M2 (Hardware-Sicherheitsmodul) ausgestattet, das die kryptografischen Schlüssel schützt
Nach 5 Fehleingaben folgt eine Wartezeit von 30 Sekunden; nach mehr als 30 bzw. 140 Fehlversuchen steigen die Wartezeiten weiter an, danach ist nur noch ein Eingabeversuch pro Tag erlaubt (secure element throttling)
Das System hat eine unabhängige Bewertung auf dem Niveau AVA_VAN.5 bestanden und damit eine äußerst hohe Sicherheitsstufe nachgewiesen
Die Sicherheitsmodule von iOS, Samsung und Qualcomm wurden bereits von unternehmensgestützten Angreifern umgangen, aber für die Kombination GrapheneOS + Pixel 6 oder neuer gibt es in den letzten Jahren keine erfolgreichen Fälle

Nach standardmäßig 18 Stunden (anpassbar ab 10 Minuten) erfolgt ein automatischer Neustart; ohne Nutzung wechselt das Gerät dadurch in den BFU-Zustand
Selbst wenn Angreifer einen Exploit entwickeln, ist das tatsächlich nutzbare Zeitfenster für einen Angriff daher nur begrenzt (zwischen Entsperren durch den Nutzer und Neustart)

Das GrapheneOS-Team verstärkt kontinuierlich verschiedene Sicherheitsverbesserungen und automatisierte Sicherheitsfunktionen
Künftig sind noch stärkere und zugleich komfortable Schutzmaßnahmen geplant, etwa 2-Faktor-Authentifizierung mit Fingerabdruck + PIN und eine automatische UI für zufällige Passphrasen
Obwohl versucht wird, Falschinformationen zu verbreiten, obwohl selbst hochentwickelte Hackergruppen das System nicht knacken können, lässt sich dem mit faktenbasierten Informationen begegnen