Как работает Haris Shield
Что приложение читает с вашего телефона, как решает, что считать угрозой, какие соединения устанавливает — и как проверить всё это, не веря нам на слово.
Описана текущая версия, 1.0.13.
Что приложение читает через кабель
Ваш телефон подключён к компьютеру его USB-кабелем. Haris Shield читает его с помощью libimobiledevice (iPhone) и adb от Android — тех же инструментов с открытым исходным кодом, которыми пользуются криминалисты. На телефон ничего не устанавливается, а сканирование только читает: оно ничего там не удаляет, не перемещает и не изменяет. Всё, что копируется, остаётся в папке приложения на вашем компьютере.
iPhone
Сведения об устройстве
Модель, версия и сборка iOS, серийный номер, установлен ли код-пароль, состояние активации, имя устройства и часовой пояс.
Отчёты о сбоях
Копируются на компьютер и читаются там. Оригиналы остаются на телефоне — приложение копирует их и никогда не перемещает и не удаляет.
Профили конфигурации
Установленные профили, регистрация в MDM, контролируемый режим и профили VPN — способы управлять телефоном или перенаправлять его трафик.
Профили обеспечения
Кто подписал приложения разработчика и корпоративные приложения на телефоне — в сравнении с названиями известных поставщиков шпионского ПО.
Состояние безопасности
Режим блокировки, режим разработчика и то, относится ли версия iOS к тем, уязвимости которых известны и используются.
Импортированный вами sysdiagnose (по желанию)
Если вы создадите sysdiagnose на телефоне и импортируете архив, приложение также прочитает его базы данных сетевого использования, историю запуска процессов, базы данных использования приложений и разрешений, а также сетевые журналы и журналы процессов.
Android
Сведения об устройстве
Модель, марка, версия Android, уровень обновления безопасности и серийный номер.
Установленные приложения
Имена пакетов в сравнении с известным сталкерским ПО, приложения, скрытые из меню, и откуда установлено каждое приложение (Play Store или сторонний источник).
Разрешения
У каких приложений есть разрешения, пригодные для слежки, — SMS, журнал звонков, местоположение, камера, микрофон — и их опасные сочетания, а также приложения, которым разрешено устанавливать другие приложения.
Спецвозможности, администраторы устройства, доступ к уведомлениям
Три механизма, которые обычно нужны сталкерскому ПО, чтобы читать экран, сопротивляться удалению и копировать уведомления.
Процессы и сеть
Запущенные процессы, открытые прямо сейчас соединения и кеш DNS в сравнении с известными серверами и IP-адресами шпионского ПО.
Сертификаты
Корневые сертификаты, установленные пользователем, с помощью которых можно читать зашифрованный трафик, и приложения, подписанные отладочными или тестовыми сертификатами.
Батарея, трафик и датчики
Приложения, которые просыпаются ночью, передают много данных в фоне или используют камеру и микрофон, не будучи на экране.
Настройки и системные журналы
Отладка по USB и беспроводная отладка, неизвестные источники, Play Protect и несколько конкретных записей системного журнала, связанных с известным шпионским ПО.
Полное сканирование также включает проверку конфиденциальности, диагностику устройства и, на iPhone, проверку компонентов. Анализ зашифрованных резервных копий iPhone и сравнение отпечатков файлов приложений Android находятся в разработке; в текущую версию они не входят.
Как оцениваются находки
Сканирование заканчивается одним из трёх результатов. Разница между ними важна, поэтому вот что именно нужно для каждого из них.
Обнаружено шпионское ПО
Только при наличии конкретного следа: известный процесс шпионского ПО в истории запуска, соединение или DNS-запрос к известному серверу шпионского ПО, известное сталкерское ПО, получившее доступ, или профиль от известного поставщика шпионского ПО.
Подозрительная активность
То, на что стоит посмотреть внимательнее, но что не является доказательством. Сюда относится и уязвимость: старая версия iOS или отсутствие обновлений безопасности делают телефон более лёгкой целью, поэтому об этом сообщается здесь — но никогда как о заражении. До версии 1.0.11 старая версия iOS ошибочно отмечалась как заражение; это исправлено.
Угроз не найдено
Не найдено ни одного из следов, известных приложению. Это не значит, что телефон гарантированно чист, — см. ниже, чего не может обещать ни один инструмент.
С чем сравнивает приложение
В приложение встроен список имён процессов, серверов, IP-адресов шпионского ПО и сталкерских приложений. Кроме того, оно использует индикаторы проекта MVT, которые публикуют Amnesty International, Citizen Lab и другие исследователи, изучающие Pegasus, Predator и похожие инструменты.
Имя засчитывается, только если оно встречается в журнале как целое имя. Короткие имена процессов Pegasus, например «bh», раньше совпадали со словами вроде «github»; теперь этого не происходит. Имена, которые также принадлежат обычным системным процессам iOS, исключены, потому что их обнаружение ничего не доказывает.
Почему список индикаторов невозможно подделать
- 1. Каждую ночь наш сервер собирает набор из индекса индикаторов MVT.
- 2. Он подписывает набор закрытым ключом Ed25519, который существует только на сервере.
- 3. Приложение проверяет подпись по встроенному в него открытому ключу и использует набор, только если подпись совпадает. Если нет, остаётся последний набор, прошедший проверку.
Поэтому поддельный набор — из взломанной сети или от кого-либо ещё — не может добавить или убрать индикаторы. Находки также никогда не загружаются в общий список: именно непроверенные сообщения пользователей отравляют списки угроз.
Что покидает ваш компьютер
Каждое соединение, которое может установить приложение, взято из его кода. Если вы будете следить за его трафиком (см. ниже «Проверьте нас сами»), это тот список, по которому всё должно сойтись.
Всегда, когда приложение в сети
Проверка лицензии и баланса
harisshield.com
Ваш лицензионный ключ и идентификатор компьютера — короткий хеш из имени компьютера, имени пользователя, процессора, архитектуры и объёма памяти. В ответ приходит подтверждение баланса, подписанное нашим сервером, благодаря которому приложение может сканировать без сети 14 дней.
Учёт сканирования после каждого сканирования
harisshield.com
Лицензионный ключ, идентификатор компьютера, iOS или Android, количество находок, случайный идентификатор сканирования и время. Так сканирования списываются с вашего баланса. Не то, что было найдено, и ничего с телефона. Без подключения сообщение ждёт и отправляется позже.
Подписанный набор индикаторов
harisshield.com
Загрузка последних индикаторов шпионского ПО (см. выше). Вместе с ней не отправляется ничего ни о вас, ни о вашем телефоне.
Проверка обновлений
harisshield.com
Если лицензионный ключ активирован, приложение проверяет обновления при запуске и каждые четыре часа и загружает новые версии, отправляя лицензионный ключ, чтобы сервер выдал файл.
Подключение компьютера к лицензии
harisshield.com
Когда вы подключаете новый компьютер: идентификатор компьютера и его имя, чтобы в письме с подтверждением было видно, какой компьютер запрашивает доступ.
Только при использовании функции
Проверка компонентов (часть полного сканирования iPhone)
checkcoverage.apple.com, support-sp.apple.com
Серийный номер iPhone, чтобы узнать у Apple модель и гарантийный статус.
Проверка сертификатов при сканировании Android
Серверы, с которыми связан телефон Android
Приложение выполняет короткие TLS-рукопожатия со своего компьютера с некоторыми публичными серверами, с которыми у телефона открыты HTTPS-соединения (не более 18 рукопожатий за сканирование), чтобы изучить их сертификаты. Эти серверы видят IP-адрес вашего компьютера. В сетевом мониторе это отображается как процесс openssl.
Сетевой монитор в реальном времени
ipinfo.io
IP-адреса, к которым подключается телефон, пока работает монитор, — адреса серверов, а не ваш, — чтобы показать их страну и владельца. Если вы ввели собственный токен ipinfo, он тоже отправляется.
Проверка утечек
haveibeenpwned.com
Адрес электронной почты, который вы вводите. Для проверки нужен ваш собственный API-ключ Have I Been Pwned; без него запрос всё равно отправляется, но результатов не возвращает.
Отчёты об ошибках — выключены, пока вы не поставите галочку
harisshield.com
Только из фиксированного списка полей: версия приложения, операционная система, архитектура, какой шаг завершился ошибкой, тип и код ошибки, имя функции, iOS или Android и 8-символьный хеш лицензионного ключа. Никогда — тексты ошибок, пути к файлам, сведения о телефоне, находки, ваш лицензионный ключ или адрес почты.
Только для старых лицензионных ключей
api.lemonsqueezy.com
Ключи, которые не начинаются с HRS-, продавались через Lemon Squeezy и активируются и проверяются там — с ключом и идентификатором компьютера.
После повторных неудачных активаций
harisshield.com
Идентификатор компьютера и число неудачных попыток, чтобы ключ нельзя было подобрать перебором.
Никогда не отправляется
- Сообщения, фотографии, контакты, журнал звонков или почта
- Список приложений на телефоне
- Отчёты о сбоях или ваш sysdiagnose
- То, что нашло сканирование, или сам отчёт о сканировании
Результаты сканирований и отчёты остаются в папке приложения на вашем компьютере, пока вы их не удалите или не решите поделиться PDF.
Автономный режим и то, чего он не охватывает
Автономный режим в настройках приложения останавливает загрузку индикаторов, поиск IP-адресов в сетевом мониторе и проверку утечек. Он не останавливает проверку лицензии и баланса, проверку обновлений, поиск по серийному номеру и проверку сертификатов на Android.
Чтобы сканировать совсем без подключения, отключите компьютер от интернета. Если приложение хотя бы раз было в сети, оно продолжает сканировать до 14 дней по последнему подписанному подтверждению баланса, используя уже имеющиеся индикаторы. Сведения о сканированиях отправятся, когда вы снова подключитесь.
Чего не может обещать ни один инструмент
Ни один инструмент не может доказать, что телефон чист
Haris Shield находит известные следы. Проект MVT говорит то же самое о своём инструменте: общедоступных индикаторов недостаточно, чтобы объявить устройство чистым.
Самое продвинутое шпионское ПО может остаться незамеченным
Инструменты класса Pegasus созданы так, чтобы оставлять как можно меньше следов, а новые версии используются ещё до того, как кто-либо опубликует для них индикаторы. Они могут ускользнуть от этого сканирования, как и от любого другого.
«Угроз не найдено» не значит «безопасно»
Это значит, что ни один из известных следов не обнаружился. Если ваша ситуация связана с реальным риском, получите второе мнение у специалистов, перечисленных ниже, что бы ни показал наш результат.
Где мы сейчас
Кое-что ещё не готово. Вам стоит знать, что именно.
Пока не нотаризовано Apple
Именно поэтому macOS сообщает, что не может проверить разработчика, и при первом запуске нужно выбрать Open Anyway. Подпись Apple Developer ID и нотаризация сейчас настраиваются.
Пока нет подписи кода для Windows
Именно поэтому Windows показывает «Система Windows защитила ваш компьютер». Подпись кода сейчас настраивается. Пока обе подписи не готовы, операционная система не может подтвердить, что файл пришёл от нас, — а контрольные суммы ниже могут.
Сборки
Сборка для Mac работает только на Apple Silicon, а сборка для Linux — только на x86-64. См. страницу загрузки.
Проверьте нас сами
Инструмент безопасности требует большого доверия. Вот настоящие, независимые способы проверить, что Haris Shield делает то, что написано на этой странице, — и проверить телефон у кого-то, кроме нас.
1. Проверьте установщик
Загрузите его в VirusTotal. Перетащите скачанный файл на virustotal.com, и его проверят около 70 антивирусных движков. Смотрите, какие движки что-то отметили и как они это называют, а не только на их число.
Сравните контрольную сумму SHA-512. Если контрольная сумма вашего файла совпадает с указанной ниже, это ровно тот файл, который опубликовали мы. Те же значения проверяет механизм обновления приложения.
Версия 1.0.13:
macOS · Haris Shield-1.0.13-arm64.dmg
128 МБ
4fe86b6fddb00fe3292be6dcb5facba1c18fc325e3a794005c083b01453593f4a92cf6e7531e3e2bf35e60fa5108f9ed7b5cb2422a3655741ca0043bf7c889e9
Windows · Haris Shield Setup 1.0.13.exe
110 МБ
8108d8091be32424877d796e99ac522a3ce7cf0599b6bb5d87ef175630ee811ee3d4921ea00ddad6b93fbf73bb064cdffc414fca9c4df310493b9e391e0278c1
Linux · Haris Shield-1.0.13.AppImage
124 МБ
2072f0f85bf1a9a013e9dbbced8b3184d6050fe86963808a831fa6f43e656ae1d29026f78ca2a9186eddad5ecf9d6ffc744b571ea576fa83db2ffc8666e51b7c
Linux · phoneguard_1.0.13_amd64.deb
98 МБ
e5e344a628c9e47ca6204c6493d05763eefff336c679675c9800646f7ba699edab9548d7fb7089c83983d3c1e9673f25d07ce9462391a547516767acdb7ab3cf
Mac (Терминал)
shasum -a 512 <имя файла>
Linux (терминал)
sha512sum <имя файла>
Windows (PowerShell)
Get-FileHash -Algorithm SHA512 <имя файла>
При сравнении регистр букв не имеет значения.
2. Следите за сетевым трафиком приложения
Запустите одну из этих программ во время сканирования. Вы должны увидеть, что Haris Shield обращается к harisshield.com и — только когда вы используете соответствующие функции — к сервисам из списка выше. Соединение с самим телефоном идёт через USB и не отображается как интернет-трафик.
Mac
- LuLu
Бесплатная, с открытым исходным кодом, от Objective-See. Спрашивает разрешение, прежде чем любое приложение установит новое исходящее соединение, и показывает, куда оно идёт.
- Little Snitch
Платная, от Objective Development. Показывает каждое соединение каждого приложения в реальном времени и на карте.
Windows
- TCPView
Бесплатная, от Microsoft Sysinternals. Показывает каждое открытое соединение и процесс, которому оно принадлежит.
- GlassWire
Есть бесплатная версия. Показывает, к каким узлам подключается каждое приложение.
- Windows Defender Firewall
Встроен в систему. Полностью заблокируйте Haris Shield, если хотите убедиться, что сканирование работает и без сети.
Linux
- OpenSnitch
Бесплатная, с открытым исходным кодом. Запрашивает разрешение на исходящие соединения для каждого приложения, как LuLu.
3. Получите второе мнение о своём телефоне
Никто из них с нами не связан. Если вы журналист, активист или кто-то ещё, кто может стать мишенью, обращайтесь на горячие линии напрямую — они занимаются этим каждый день.
- Mobile Verification Toolkit (MVT)
Amnesty International Security Lab
Бесплатный криминалистический инструмент с открытым исходным кодом для iPhone и Android, созданный в ходе Pegasus Project. Он работает из командной строки и предназначен для технических специалистов и расследователей, а не для быстрой самопроверки. Haris Shield использует те же общедоступные индикаторы.
- iVerify Basic
iVerify
Приложение для iPhone и Android от независимой компании, занимающейся мобильной безопасностью. Оно проверяет телефон на признаки шпионского ПО типа Pegasus с самого телефона — полезный взгляд под другим углом.
- Digital Security Helpline
Access Now
Бесплатная круглосуточная помощь на нескольких языках для журналистов, активистов, правозащитников и организаций гражданского общества, которые считают, что стали мишенью.
- Security Lab — Get help
Amnesty International
Поддержка журналистов, активистов и организаций гражданского общества, которым угрожают целевые цифровые атаки, такие как Pegasus.
- Coalition Against Stalkerware
stopstalkerware.org
Справочник горячих линий и организаций поддержки по странам для тех, кто опасается, что партнёр или близкий человек следит за их телефоном. Открывайте его с устройства, к которому у этого человека никогда не было доступа.
Нашли на этой странице что-то, что не совпадает с тем, что делает приложение? Сообщите нам на support@harisshield.com. См. также нашу политику конфиденциальности.