Статьи по ключевому слову ‘Google Account’

Извлечение данных через облако — один из из наиболее распространённых способов получения улик. Важно понимать, что анализ данных, собранных компанией Google в собственном облаке, способен предоставить значительно более полные данные по сравнению с самым низкоуровневым анализом единственного телефона с Android. Сегодня мы поговорим об одной из особенностей облачного анализа: возможности извлекать данные пользователя, хранящиеся в учётной записи Google, без его логина и пароля.

Токены аутентификации

Общая концепция токенов аутентификации очень проста. Вместо того, чтобы каждый раз отправлять на удалённый ресурс, требующий аутентификации, ваши логин и пароль (или хеш пароля), браузер или приложение приложит небольшой набор двоичных данных. Эти двоичные данные и носят название токена аутентификации. Как только сайт или ресурс получает токен, пользователь сможет получить доступ к ресурсам. Как правило, доступ по токену ограничен по времени, по истечение которого пользователю придётся снова ввести логин и пароль. Тем не менее, в промежутке (а он может быть достаточно длительным — иногда до полугода) пользователь сможет пользоваться ресурсами, не вводя каждый раз пароль.

В Google используется классическая схема аутентификации по токенам. Пользователь аутентифицируется один раз, получает токен аутентификации и использует этот токен для дальнейшего доступа и к другим сервисам Google. Например, токен аутентификации, полученный в Google Chrome, автоматически используется для доступа к списку контактов, календарям, почте и т. д. Примечательно, что токен нельзя использовать для доступа к некоторым службам, таким как список паролей на сайте Google (список паролей в самом браузере Chrome — совершенно отдельная статья).

Токены не являются ни паролями, ни их хешами. Не существует способа восстановить по токену оригинальный пароль. Фактически, токен — это просто набор случайных или псевдослучайных данных, отформатированный для удобства и сохранённый в виде записи в базе данных или в файле, иногда — в зашифрованном виде, но иногда и в открытом. Использование токенов аутентификации делает систему не только более удобной (нет необходимости повторной аутентификации для пользователя), но и более безопасной, поскольку пароль нигде не сохраняется.

Google использует два основных типа токенов: токен Google Chrome (создаётся, когда пользователь входит в свою учётную запись в браузере Google Chrome) и токен, который создаётся приложением Google Backup & Sync (ранее — Google Drive), если оно установлено.

Разумеется, Google также сохраняет токены и на мобильных устройствах (Android и iOS), но извлечь их оттуда гораздо сложнее, чем из компьютера.

Токен Google Drive

Начнём с простого. Токен Google Drive создаётся приложением Google Backup & Sync на компьютерах Windows и macOS. Токен Google Drive хранится в зашифрованном виде. В системах Windows токен защищён DPAPI, в то время как в macOS для хранения токена используется Связка ключей.

Токен Google Drive можно извлечь при помощи Elcomsoft Cloud Explorer. Роль токенов Google Drive ограничена; их можно использовать исключительно для того, чтобы получить доступ к файлам в облачном хранилище Google Drive.

Токены Google Drive хранятся в зашифрованном виде. Для извлечения и расшифровки токена Google Drive вам потребуется доступ к компьютеру пользователя (а не образ диска), который использовался для входа в Google Drive через приложение Google Backup & Sync. Процесс извлечения и расшифровки обеспечит Elcomsoft Cloud Explorer. Внимание: если пользователь выйдет из Google Drive, токены аутентификации удаляются или становятся недействительными.

Токен браузера Chrome

Этот токен создаётся, когда пользователь входит в свою учётную запись Google в браузере Chrome. При помощи данного токена можно получить доступ к ряду служб Google. В системах Windows токен Chrome защищён комбинацией DPAPI и Gcm256 (старые версии Chrome полагались исключительно на защиту DPAPI). В macOS токен хранится в Связке ключей.

Также, как и в случае с токенами Google Drive, для доступа к токену Chrome вам понадобится оригинальный компьютер Windows или Mac пользователя. Для извлечения и расшифровки токена потребуется Elcomsoft Cloud Explorer. Если пользователь вышел из учётной записи Google в Chrome, токены аутентификации удаляются или аннулируются.

Токен Chrome обеспечивает доступ к большему количеству категорий данных по сравнению с токеном Google Drive. Категории, к которым открыт доступ, включают историю посещений в браузере Chrome и некоторые другие данные (например, список открытых вкладок и закладок), список сетей Wi-Fi, журналы вызовов, календари, данные Личного кабинета пользователя, а также заметки Google Keep. Полный список категорий данных, доступных с токенами аутентификации Chrome, приведён на скриншоте:

Как извлечь токены

Мы обнаружили место на компьютере, куда сохраняются токены Chrome и Google Drive, и нашли способ использовать их для аутентификации без пароля. Для этого используется приложение Elcomsoft Cloud Explorer. Аутентификация без пароля доступна (с использованием токена аутентификации) доступна в случаях, когда пользователь использует браузер Google Chrome и вошёл в свою учётную запись.

Токены аутентификации находятся в следующих местах.

Токены Google Chrome:

Chrome Windows:

%appdata%\Local\Google\User Data\<Profile_name>\Web Data

Chrome macOS:

~/Library/Application Support/Google/Chrome/<profile_name>/Web Data

Токены Google Drive:

Windows (в Registry):

HKEY_CURRENT_USER\SOFTWARE\Google\Drive\
Название ключа начинается с "OAuthToken_"

macOS (in the Keychain):

в разделе Связки ключей login keychain

В состав Elcomsoft Cloud Explorer входит утилита Google Token Extractor (GTEX). Эта утилита работает в командной строке. Она автоматически сканирует компьютер пользователя (Windows или Mac) на предмет токенов аутентификации, сохраненных браузером Google Chrome или приложением Google Drive. Как только токен аутентификации будет найден, GTEX сохранит его в текущем каталоге (Windows) или каталоге пользователя по умолчанию (Mac). Находятся и расшифровываются все поддерживаемые токены для всех зарегистрированных учётных записей.

После того, как утилита Google Token Extractor завершит извлечение токенов, они будут сохранены под именами, формирующимися по следующему принципу:

<user_name><Google ID><token_type><date><time>.xml

Пример:

Google Chrome:

john.smith_test.account@gmail.com_GoogleChrome_05.05.2020_15-05-16_UTC.xml

Google Drive:

john.smith_test.account@gmail.com_GoogleDrive_05.05.2020_15-05-16_UTC.xml

Содержимое токена может быть таким.

Google Chrome (Windows):

<?xml version="1.0" encoding="UTF-8" standalone="yes" ?>
<ExtractedToken>
<GTEXVersion>1</GTEXVersion>
<Platform>Windows</Platform>
<GoogleID>test.account@gmail.com</GoogleID>
<Token>1/ukM2X_qTUU-viA-8Yn6LqzLjcGQ-nmHjsh254RYAOF4</Token>
<TokenType>GoogleChrome</TokenType>
<ClientID>77185425430.apps.googleusercontent.com</ClientID>
<ClientSecret>OTJg....</ClientSecret>
<ExtractedAt>03.04.2018 09:12:35</ExtractedAt>
</ExtractedToken>

Google Drive (МаcOS)

<?xml version="1.0" encoding="UTF-8" standalone="yes" ?>
<ExtractedToken>
<GTEXVersion>1</GTEXVersion>
<Platform>macOS</Platform>
<GoogleID>other.test.account@gmail.com</GoogleID>
<Token>1/ukM2X_qTUU-viA-8Yn6LqzLjcGQ-nmHjsh254RYAOF4</Token>
<TokenType>GoogleDrive</TokenType>
<ClientID>645529619299.apps.googleusercontent.com</ClientID>
<ClientSecret>nu6p....</ClientSecret>
<ExtractedAt>27.02.2018 16:46:55</ExtractedAt>
</ExtractedToken>

После извлечения токена его можно использовать с Elcomsoft Cloud Explorer для доступа к информации, хранящейся в учётной записи пользователя Google. Логин, пароль и прохождение двухфакторной аутентификации не потребуются.

Использование токенов для доступа к данным

Токен Chrome можно использовать для доступа и к другим категориям данных.

Чтобы авторизоваться в учётной записи при помощи токена, запустите Elcomsoft Cloud Explorer и выберите аутентификацию с помощью токена.

Будет выведен список доступных категорий данных (те, которые выделены серым цветом, недоступны при аутентификации посредством токена; для доступа к ним нужны логин и пароль).

 

В новой версии Elcomsoft Cloud Explorer появилась поддержка такого интересного сервиса, как Личный кабинет Google. Личный кабинет Google отличается тем, что информация из него не попадает в скачанные с сайта Google данные. Получить доступ к Личному кабинету можно либо через веб-сайт компании, либо, если требуется офлайновый анализ, посредством Elcomsoft Cloud Explorer. В этой статье мы расскажем о сервисе Личный кабинет Google и о том, как данные из него можно извлечь и проанализировать.

Что такое Личный кабинет Google

Личный кабинет Google (он же Google Dashboard) — относительно малоизвестный криминалистам сервис компании, в котором собрана статистика использования сервисов Google. В Личном кабинете Google сохраняются такие данные, как поисковые запросы, кампании AdWords, созданные пользователем файлы, количество сообщений электронной почты и многое другое.

Google позволяет зарегистрированным пользователям загружать данные, хранящиеся в Личном кабинете, но в предоставленном наборе данных многие категории отсутствуют (например, данные о подключённых приложениях и активностях устройств). Используя Elcomsoft Cloud Explorer, можно получить весь набор данных, доступных в Личном кабинете Google, включая категории, которые не предоставляются самой компанией.

Личный кабинет Google содержит агрегированные статистические данные о действиях пользователя. В результате данные Личного кабинета можно скачать очень быстро, буквально за считанные секунды. Загрузка и анализ данных Личного кабинета перед тем, как вы скачаете весь набор собранной Google информации, позволяет сэкономить время и начать расследование быстрее.

Откуда берётся информация в Личном кабинете

В отличие от большинства других категорий данных Google, в Личном кабинете, строго говоря, нет ничего нового, ничего такого, чего не было бы в других категориях. В то же время Личный кабинет — это своеобразная информационная сводка, позволяющая быстро сориентироваться в том, на какие именно категории  стоит обратить пристальное внимание. Другими словами, Личный кабинет — это статистика, агрегированные данные.

Как извлечь данные Личного кабинета

Чтобы извлечь данные панели мониторинга Google из учётной записи Google, вам потребуется Elcomsoft Cloud Explorer 2.31 или более новый.

  1. Запустите Elcomsoft Cloud Explorer. Выполните аутентификацию с помощью имени пользователя и пароля от учётной записи Google или используйте токен аутентификации. На приведённом ниже снимке экрана показана аутентификация на основе токенов.
  2. Установите флажок «Google Dashboard». Примечание: если вы спешите, вы можете очистить остальные флажки. Загрузив и проанализировав данные Личного кабинета, вы сможете лучше понять, на какие категории вам стоит обратить внимание в первую очередь.
  3. Процесс извлечения данных займёт порядка нескольких минут.
  4. После обработки данные Личного кабинета станут доступны для анализа.

 

Анализ данных Личного кабинета Google

Данные из Личного кабинета можно разбить на ряд категорий. Сюда входят такие данные, как Устройства, Карты, Календарь, Диск, Оповещения, Аналитика, Книги, Группы, Новости, Отслеживание отправлений, Платежи, Фотографии, Музыка Google Play, приложения из Google Play, Задачи, Blogger, AdSense, Учётные записи брендов, FeedBurner, Поиск и Хранение, а также как и несколько других.

Получить представление о содержимом Личного кабинета можно из следующих скриншотов.

В категории «Устройства» представлен обзор зарегистрированных устройств пользователя, работающих на ОС Android. Если у устройства есть облачная резервная копия, хранящаяся на Google Drive, то вы увидите информацию об этой резервной копии.

Категория «Фотографии», хотя и не отображает фотографии как таковые, содержит информацию о количестве изображений, последних манипуляциях пользователя, количестве общедоступных фотографий и т.д.

В категории «Карты» вы увидите домашний и рабочий адреса пользователя, его последнее известное местоположение (точнее, POI местоположения) и информацию о последнем отзыве пользователя, оставленного в приложении Google Maps.

Аналогично предыдущему, в категории Gmail вы не найдёте истории переписки пользователя. Она содержит статистическую информацию об использовании Gmail владельцем учётной записи, такую как общее количество сообщений, количество отправленных сообщений и т.д.

Раздел «Действия устройства» содержит информацию об устройствах пользователя (не обязательно смартфонах Android), на которых пользователь выполнил вход в систему, чтобы воспользоваться одним из сервисов Google.

Раздел «Подключённые приложения» содержит информацию о приложениях, которым пользовал разрешил использовать свои учётные данные.

Есть множество других категорий, которые могут быть интересны для расследования.

Заключение

Личный кабинет Google (Google Dashboard) не содержит того, что можно классифицировать как «новые» или «уникальные» данные. Тем не менее, эта важная категория позволяет ускорить расследование, выявляя взаимодействия пользователя с устройствами и службами Google в считанные секунды. Получение и анализ данных из Личного кабинета позволит определиться с очерёдностью анализа остальных категорий из огромного массива собранной Google информации.

 

 

НАШИ НОВОСТИ