Haris Shield hoạt động như thế nào
Những gì ứng dụng đọc từ điện thoại của bạn, cách ứng dụng quyết định đâu là mối đe dọa, mọi kết nối ứng dụng thực hiện — và cách kiểm tra tất cả những điều đó mà không cần tin lời chúng tôi.
Mô tả phiên bản hiện tại, 1.0.13.
Những gì ứng dụng đọc qua cáp
Điện thoại được kết nối với máy tính bằng cáp USB. Haris Shield đọc điện thoại bằng libimobiledevice (iPhone) và adb của Android — chính những công cụ mã nguồn mở mà các nhà nghiên cứu pháp y sử dụng. Không có gì được cài lên điện thoại, và việc quét chỉ đọc: không xóa, di chuyển hay thay đổi bất cứ thứ gì trên đó. Mọi thứ được sao chép đều nằm trong thư mục của ứng dụng trên máy tính của bạn.
iPhone
Thông tin thiết bị
Mẫu máy, phiên bản và bản dựng iOS, số sê-ri, đã đặt mật mã hay chưa, trạng thái kích hoạt, tên thiết bị và múi giờ.
Báo cáo sự cố
Được sao chép sang máy tính của bạn và đọc ở đó. Bản gốc vẫn nằm trên điện thoại — ứng dụng chỉ sao chép, không bao giờ di chuyển hay xóa chúng.
Cấu hình (configuration profile)
Các cấu hình đã cài, việc đăng ký MDM, chế độ giám sát (supervision) và cấu hình VPN — những cách khiến điện thoại có thể bị quản lý hoặc bị chuyển hướng lưu lượng mạng.
Hồ sơ cấp phép (provisioning profile)
Ai đã ký các ứng dụng dành cho nhà phát triển và doanh nghiệp trên điện thoại, đối chiếu với tên của các nhà cung cấp phần mềm gián điệp đã biết.
Trạng thái bảo mật
Chế độ phong tỏa (Lockdown Mode), chế độ nhà phát triển, và phiên bản iOS có nằm trong số các phiên bản đã biết là bị khai thác hay không.
Tệp sysdiagnose do bạn nhập (không bắt buộc)
Nếu bạn tạo một sysdiagnose trên điện thoại và nhập tệp nén đó, ứng dụng sẽ đọc thêm các cơ sở dữ liệu về mức sử dụng mạng, lịch sử thực thi tiến trình, cơ sở dữ liệu về mức sử dụng ứng dụng và quyền truy cập, cùng với nhật ký mạng và nhật ký tiến trình.
Android
Thông tin thiết bị
Mẫu máy, hãng, phiên bản Android, mức bản vá bảo mật và số sê-ri.
Ứng dụng đã cài
Tên gói được đối chiếu với các phần mềm theo dõi lén đã biết, các ứng dụng bị ẩn khỏi màn hình ứng dụng, và nguồn cài đặt của từng ứng dụng (Play Store hay cài ngoài).
Quyền truy cập
Những ứng dụng nắm các quyền có thể dùng để theo dõi — SMS, nhật ký cuộc gọi, vị trí, camera, micro — và các tổ hợp quyền nguy hiểm, cùng các ứng dụng được phép cài ứng dụng khác.
Hỗ trợ tiếp cận, quản trị thiết bị, trình nghe thông báo
Ba cơ chế mà phần mềm theo dõi lén thường cần để đọc màn hình, chống bị gỡ bỏ và sao chép thông báo.
Tiến trình và mạng
Các tiến trình đang chạy, các kết nối đang mở ngay lúc này và bộ nhớ đệm phân giải DNS, đối chiếu với các máy chủ và địa chỉ IP phần mềm gián điệp đã biết.
Chứng chỉ
Các chứng chỉ gốc do người dùng cài, vốn có thể được dùng để đọc lưu lượng mã hóa, và các ứng dụng được ký bằng chứng chỉ gỡ lỗi hoặc chứng chỉ thử nghiệm.
Mức dùng pin, dữ liệu và cảm biến
Những ứng dụng thức dậy vào ban đêm, truyền nhiều dữ liệu trong nền hoặc dùng camera và micro khi không hiện trên màn hình.
Cài đặt và nhật ký hệ thống
Gỡ lỗi USB và gỡ lỗi không dây, nguồn không xác định, Play Protect, và một vài mục nhật ký hệ thống cụ thể liên quan đến phần mềm gián điệp đã biết.
Một lần quét toàn bộ còn chạy bước xem lại quyền riêng tư, chẩn đoán phần cứng và, trên iPhone, xác minh linh kiện. Tính năng phân tích bản sao lưu iPhone đã mã hóa và đối chiếu dấu vân tay của tệp ứng dụng Android đang được phát triển; chúng chưa có trong phiên bản hiện tại.
Cách đánh giá phát hiện
Mỗi lần quét kết thúc với một trong ba kết quả. Sự khác biệt giữa chúng là quan trọng, nên dưới đây là chính xác điều kiện của từng kết quả.
Phát hiện phần mềm gián điệp
Chỉ khi có dấu vết cụ thể: một tiến trình phần mềm gián điệp đã biết trong lịch sử thực thi, một kết nối hoặc truy vấn DNS tới một máy chủ phần mềm gián điệp đã biết, một phần mềm theo dõi lén đã biết đã được cấp quyền truy cập, hoặc một cấu hình từ một nhà cung cấp phần mềm gián điệp đã biết.
Hoạt động đáng ngờ
Những điều đáng xem xét kỹ hơn nhưng không phải là bằng chứng. Trong đó có mức độ phơi nhiễm: một phiên bản iOS cũ hoặc thiếu các bản vá bảo mật khiến điện thoại dễ bị tấn công hơn, nên chúng được báo ở đây — không bao giờ được coi là bị nhiễm. Trước phiên bản 1.0.11, phiên bản iOS cũ bị báo nhầm là đã bị nhiễm; lỗi này đã được sửa.
Không tìm thấy mối đe dọa
Không tìm thấy dấu vết nào trong số những dấu vết mà ứng dụng biết. Điều đó không có nghĩa là điện thoại chắc chắn sạch — xem phần những điều không công cụ nào hứa được bên dưới.
Ứng dụng đối chiếu với những gì
Ứng dụng đi kèm một danh sách tích hợp sẵn gồm tên tiến trình, máy chủ, địa chỉ IP của phần mềm gián điệp và các ứng dụng theo dõi lén. Ngoài ra, ứng dụng còn dùng các chỉ dấu từ dự án MVT, do Amnesty International, Citizen Lab và các nhà nghiên cứu khác công bố khi điều tra Pegasus, Predator và các công cụ tương tự.
Một cái tên chỉ được tính khi nó xuất hiện như một tên đầy đủ trong nhật ký. Các tên tiến trình Pegasus ngắn như “bh” từng khớp với những từ như “github”; nay không còn như vậy nữa. Những tên cũng là tiến trình hệ thống bình thường của iOS được loại ra, vì việc tìm thấy chúng không chứng minh được điều gì.
Vì sao danh sách chỉ dấu không thể bị giả mạo
- 1. Mỗi đêm, máy chủ của chúng tôi dựng một gói dữ liệu từ danh mục chỉ dấu của MVT.
- 2. Máy chủ ký gói đó bằng một khóa riêng Ed25519 chỉ tồn tại trên máy chủ.
- 3. Ứng dụng kiểm tra chữ ký với khóa công khai được tích hợp sẵn, và chỉ dùng gói dữ liệu nếu chữ ký khớp. Nếu không khớp, ứng dụng giữ bộ chỉ dấu hợp lệ gần nhất.
Vì vậy, một gói dữ liệu giả — từ một mạng bị xâm nhập hay từ bất kỳ ai khác — không thể thêm hoặc xóa chỉ dấu. Các phát hiện cũng không bao giờ được tải lên một danh sách dùng chung: chính những báo cáo chưa được xác minh từ người dùng là cách các danh sách mối đe dọa bị đầu độc.
Những gì rời khỏi máy tính của bạn
Mọi kết nối mà ứng dụng có thể thực hiện, lấy từ chính mã nguồn của ứng dụng. Nếu bạn theo dõi lưu lượng mạng của ứng dụng (xem phần Tự kiểm chứng chúng tôi bên dưới), đây là danh sách mà bạn có thể đánh dấu từng mục.
Bất cứ khi nào ứng dụng trực tuyến
Kiểm tra bản quyền và số lượt còn lại
harisshield.com
Khóa bản quyền của bạn và một mã định danh máy tính — một chuỗi băm ngắn được tạo từ tên máy tính, tên người dùng, bộ xử lý, kiến trúc và dung lượng bộ nhớ. Phản hồi là một bằng chứng số lượt còn lại được máy chủ của chúng tôi ký, cho phép ứng dụng tiếp tục quét ngoại tuyến trong 14 ngày.
Số lượt quét sau mỗi lần quét
harisshield.com
Khóa bản quyền, mã định danh máy tính, iOS hay Android, số lượng phát hiện, một mã quét ngẫu nhiên và thời gian. Đây là cách các lượt quét được trừ vào số lượt còn lại của bạn. Không phải những gì đã được tìm thấy, và không có gì từ điện thoại. Nếu không có kết nối, báo cáo sẽ chờ và được gửi sau.
Gói chỉ dấu đã được ký
harisshield.com
Tải về các chỉ dấu phần mềm gián điệp mới nhất (xem phía trên). Không có thông tin nào về bạn hay điện thoại của bạn được gửi kèm.
Kiểm tra bản cập nhật
harisshield.com
Khi đã kích hoạt khóa bản quyền, ứng dụng kiểm tra bản cập nhật lúc khởi động và cứ bốn giờ một lần, rồi tải các phiên bản mới về, có gửi khóa bản quyền để máy chủ cho phép tải tệp.
Kết nối một máy tính với bản quyền của bạn
harisshield.com
Khi bạn kết nối một máy tính mới: mã định danh và tên của máy tính, để email xác nhận có thể cho bạn biết máy tính nào đang yêu cầu.
Chỉ khi bạn dùng một tính năng
Xác minh linh kiện (một phần của lần quét toàn bộ iPhone)
checkcoverage.apple.com, support-sp.apple.com
Số sê-ri của iPhone, để tra cứu mẫu máy và tình trạng bảo hành từ Apple.
Kiểm tra chứng chỉ trong khi quét Android
Các máy chủ mà điện thoại Android đang liên lạc
Ứng dụng mở các phiên bắt tay TLS ngắn từ máy tính của bạn tới một số máy chủ công khai mà điện thoại đang có kết nối HTTPS (tối đa 18 lần bắt tay mỗi lần quét), để kiểm tra chứng chỉ của chúng. Những máy chủ đó sẽ thấy địa chỉ IP của máy tính bạn. Trong công cụ giám sát mạng, việc này hiện ra dưới dạng tiến trình openssl.
Giám sát mạng trực tiếp
ipinfo.io
Các địa chỉ IP mà điện thoại kết nối tới trong lúc công cụ giám sát chạy — địa chỉ của máy chủ, không phải của bạn — để hiển thị quốc gia và chủ sở hữu của chúng. Nếu bạn đã nhập mã token ipinfo của riêng mình, mã đó cũng được gửi đi.
Kiểm tra rò rỉ dữ liệu
haveibeenpwned.com
Địa chỉ email bạn nhập. Việc kiểm tra cần khóa API Have I Been Pwned của riêng bạn; nếu không có, yêu cầu vẫn được gửi đi nhưng không trả về kết quả nào.
Báo cáo lỗi — tắt trừ khi bạn đánh dấu vào ô
harisshield.com
Chỉ gồm một danh sách trường cố định: phiên bản ứng dụng, hệ điều hành, kiến trúc, bước nào bị lỗi, loại lỗi và mã lỗi, tên hàm, iOS hay Android, và một chuỗi băm 8 ký tự của khóa bản quyền. Không bao giờ gửi nội dung thông báo lỗi, đường dẫn tệp, thông tin điện thoại, kết quả phát hiện, khóa bản quyền hay email của bạn.
Chỉ với các khóa bản quyền cũ
api.lemonsqueezy.com
Các khóa không bắt đầu bằng HRS- được bán qua Lemon Squeezy và được kích hoạt, kiểm tra tại đó, kèm khóa và mã định danh máy tính.
Sau nhiều lần kích hoạt thất bại
harisshield.com
Mã định danh máy tính và số lần thử thất bại, để không ai có thể đoán khóa bằng cách thử liên tục.
Không bao giờ được gửi
- Tin nhắn, ảnh, danh bạ, nhật ký cuộc gọi hay email
- Danh sách ứng dụng trên điện thoại
- Báo cáo sự cố hay tệp sysdiagnose của bạn
- Những gì lần quét tìm thấy, hay chính bản báo cáo quét
Kết quả quét và báo cáo nằm trong thư mục của ứng dụng trên máy tính của bạn cho đến khi bạn xóa chúng hoặc chọn chia sẻ một tệp PDF.
Chế độ ngoại tuyến, và những gì nó không bao gồm
Chế độ ngoại tuyến trong phần cài đặt của ứng dụng sẽ dừng việc tải chỉ dấu, việc tra cứu IP trong công cụ giám sát mạng và việc kiểm tra rò rỉ dữ liệu. Chế độ này không dừng việc kiểm tra bản quyền và số lượt còn lại, việc kiểm tra bản cập nhật, việc tra cứu số sê-ri hay việc kiểm tra chứng chỉ trên Android.
Để quét mà hoàn toàn không có kết nối, hãy ngắt máy tính khỏi internet. Sau khi ứng dụng đã trực tuyến một lần, nó tiếp tục quét trong tối đa 14 ngày dựa trên bằng chứng số lượt còn lại đã được ký gần nhất, với các chỉ dấu đã có sẵn. Số lượt quét sẽ được gửi khi bạn kết nối lại.
Những điều không công cụ nào hứa được
Không công cụ nào chứng minh được điện thoại sạch
Haris Shield tìm những dấu vết đã được biết đến. Dự án MVT cũng nói điều tương tự về công cụ của chính họ: các chỉ dấu công khai không đủ để khẳng định một thiết bị là sạch.
Phần mềm gián điệp tinh vi nhất có thể vẫn ẩn mình
Các công cụ cỡ Pegasus được thiết kế để để lại càng ít dấu vết càng tốt, và các phiên bản mới đã được dùng trước khi có ai công bố chỉ dấu cho chúng. Chúng có thể qua mặt lần quét này, và bất kỳ lần quét nào khác.
“Không tìm thấy mối đe dọa” không có nghĩa là “an toàn”
Kết quả đó có nghĩa là không có dấu vết đã biết nào xuất hiện. Nếu hoàn cảnh của bạn thực sự có rủi ro, hãy xin ý kiến thứ hai từ các chuyên gia được liệt kê bên dưới, bất kể kết quả của chúng tôi nói gì.
Hiện trạng của chúng tôi
Một số việc vẫn chưa hoàn thành. Bạn nên biết đó là những việc gì.
Chưa được Apple công chứng (notarise)
Đó là lý do macOS báo không thể xác minh nhà phát triển và bạn phải chọn Vẫn mở ở lần đầu tiên. Việc ký Apple Developer ID và công chứng đang được thiết lập.
Chưa được ký mã cho Windows
Đó là lý do Windows hiện thông báo “Windows đã bảo vệ PC của bạn”. Việc ký mã đang được thiết lập. Cho đến khi cả hai đều hoàn tất, hệ điều hành không thể xác nhận một tệp đến từ chúng tôi — nhưng các mã kiểm tra bên dưới thì có thể.
Các bản dựng
Bản dành cho Mac chỉ chạy trên Apple Silicon, và bản Linux chỉ chạy trên x86-64. Xem trang tải xuống.
Tự kiểm chứng chúng tôi
Một công cụ bảo mật đòi hỏi rất nhiều sự tin tưởng. Đây là những cách thực sự, độc lập để kiểm tra rằng Haris Shield làm đúng như trang này nói — và để kiểm tra điện thoại của bạn với một bên khác ngoài chúng tôi.
1. Kiểm tra trình cài đặt
Tải tệp lên VirusTotal. Thả tệp bạn đã tải về vào virustotal.com và khoảng 70 công cụ diệt virus sẽ quét tệp đó. Hãy đọc xem công cụ nào gắn cờ và chúng gọi đó là gì, chứ đừng chỉ nhìn con số.
So sánh mã kiểm tra SHA-512. Nếu mã kiểm tra của tệp bạn khớp với mã bên dưới, đó chính xác là tệp chúng tôi đã phát hành. Đây cũng là những giá trị mà trình cập nhật của ứng dụng kiểm tra.
Phiên bản 1.0.13:
macOS · Haris Shield-1.0.13-arm64.dmg
128 MB
4fe86b6fddb00fe3292be6dcb5facba1c18fc325e3a794005c083b01453593f4a92cf6e7531e3e2bf35e60fa5108f9ed7b5cb2422a3655741ca0043bf7c889e9
Windows · Haris Shield Setup 1.0.13.exe
110 MB
8108d8091be32424877d796e99ac522a3ce7cf0599b6bb5d87ef175630ee811ee3d4921ea00ddad6b93fbf73bb064cdffc414fca9c4df310493b9e391e0278c1
Linux · Haris Shield-1.0.13.AppImage
124 MB
2072f0f85bf1a9a013e9dbbced8b3184d6050fe86963808a831fa6f43e656ae1d29026f78ca2a9186eddad5ecf9d6ffc744b571ea576fa83db2ffc8666e51b7c
Linux · phoneguard_1.0.13_amd64.deb
98 MB
e5e344a628c9e47ca6204c6493d05763eefff336c679675c9800646f7ba699edab9548d7fb7089c83983d3c1e9673f25d07ce9462391a547516767acdb7ab3cf
Mac (Terminal)
shasum -a 512 <tên tệp>
Linux (terminal)
sha512sum <tên tệp>
Windows (PowerShell)
Get-FileHash -Algorithm SHA512 <tên tệp>
Khi so sánh, chữ hoa hay chữ thường đều không quan trọng.
2. Theo dõi lưu lượng mạng của ứng dụng
Hãy chạy một trong các công cụ này trong lúc quét. Bạn sẽ thấy Haris Shield liên lạc với harisshield.com và, chỉ khi bạn dùng các tính năng tương ứng, với các dịch vụ trong danh sách phía trên. Bản thân kết nối với điện thoại đi qua cáp USB và không hiện ra như lưu lượng internet.
Mac
- LuLu
Miễn phí và mã nguồn mở, từ Objective-See. Hỏi bạn trước khi bất kỳ ứng dụng nào tạo một kết nối đi mới và cho biết kết nối đó đi đâu.
- Little Snitch
Trả phí, từ Objective Development. Hiển thị mọi kết nối theo từng ứng dụng, trực tiếp và trên bản đồ.
Windows
- TCPView
Miễn phí, từ Microsoft Sysinternals. Liệt kê mọi kết nối đang mở cùng tiến trình sở hữu kết nối đó.
- GlassWire
Có phiên bản miễn phí. Hiển thị mỗi ứng dụng kết nối tới những máy chủ nào.
- Windows Defender Firewall
Có sẵn trong hệ thống. Chặn hoàn toàn Haris Shield nếu bạn muốn xác nhận rằng việc quét vẫn hoạt động khi không có mạng.
Linux
- OpenSnitch
Miễn phí và mã nguồn mở. Hỏi theo từng ứng dụng đối với các kết nối đi, giống như LuLu.
3. Xin ý kiến thứ hai về điện thoại của bạn
Không bên nào trong số này có liên quan đến chúng tôi. Nếu bạn là nhà báo, nhà hoạt động hay bất kỳ ai có thể bị nhắm tới, hãy liên hệ trực tiếp với các đường dây trợ giúp — họ làm công việc này mỗi ngày.
- Mobile Verification Toolkit (MVT)
Amnesty International Security Lab
Công cụ pháp y miễn phí, mã nguồn mở cho iPhone và Android, được xây dựng trong Dự án Pegasus. Công cụ chạy từ dòng lệnh và dành cho chuyên gia công nghệ và điều tra viên, không phải để tự kiểm tra nhanh. Haris Shield dùng chính những chỉ dấu công khai đó.
- iVerify Basic
iVerify
Một ứng dụng cho iPhone và Android từ một công ty bảo mật di động độc lập. Ứng dụng kiểm tra điện thoại để tìm dấu hiệu của phần mềm gián điệp kiểu Pegasus ngay từ chính điện thoại — một góc nhìn thứ hai hữu ích từ một hướng khác.
- Digital Security Helpline
Access Now
Hỗ trợ miễn phí suốt ngày đêm, bằng nhiều ngôn ngữ, cho nhà báo, nhà hoạt động, người bảo vệ nhân quyền và các nhóm xã hội dân sự nghĩ rằng mình đang bị nhắm tới.
- Security Lab — Get help
Amnesty International
Hỗ trợ cho nhà báo, nhà hoạt động và các tổ chức xã hội dân sự đang gặp nguy cơ bị tấn công kỹ thuật số có chủ đích, chẳng hạn như Pegasus.
- Coalition Against Stalkerware
stopstalkerware.org
Danh bạ các đường dây trợ giúp và tổ chức hỗ trợ theo từng quốc gia, dành cho những người lo rằng bạn đời hoặc người thân đang theo dõi điện thoại của mình. Hãy tra cứu từ một thiết bị mà người đó chưa từng có quyền truy cập.
Bạn thấy điều gì trên trang này không khớp với những gì ứng dụng làm? Hãy báo cho chúng tôi tại support@harisshield.com. Xem thêm chính sách quyền riêng tư của chúng tôi.