Как найти файл ключа whatsapp

В одной из статей мы рассказывали, как на примере Android- и iOS-устройств можно получить информацию из мессенджера Telegram. Сегодня мы поговорим о механизмах шифрования и дешифрования данных в мессенджере WhatsApp.

1. Введение
2. Шифрование данных в WhatsApp
3. Дешифровка резервных копий WhatsApp
4. Использование опенсорсных решений для дешифровки резервной копии WhatsApp
5. Использование специализированного программного обеспечения
6. Выводы

Введение

Практически каждый из нас в повседневной жизни использует различные приложения для звонков и отправки сообщений. У такого вида коммуникации есть свои преимущества: это удобно и бесплатно. В настоящее время существует множество различных мессенджеров (WhatsApp, Telegram, Viber и т. п.), и каждый пользователь рано или поздно задается вопросом — насколько безопасно использовать тот или иной мессенджер. О безопасности Telegram мы писали в статье Доступ к переписке в Telegram без пароля на устройствах Android и iOS.

Стоит отметить, что этот вопрос всегда волнует злоумышленников, которые также используют такой вид связи для общения между собой.

Рисунок 1. Сравнение мессенджеров

По этой теме читателей также наверняка заинтересует подробный Обзор безопасности популярных в России мобильных мессенджеров, который мы недавно опубликовали.

Шифрование данных в WhatsApp

Согласно имеющейся информации, WhatsApp использует сквозное шифрование. Это означает, что сообщения зашифровываются и расшифровываются непосредственно на устройстве.

Пример сквозного шифрования. Иван решил отправить некое сообщение Олегу, но не хочет, чтобы сообщение прочитали третьи лица. За несколько дней до отправки сообщения Иван запускал WhatsApp и сканировал QR-код на телефоне Олега. Теперь Иван уверен: ключ шифрования доступен только Олегу, и никто, кроме него, не сможет прочитать отправленное сообщение.

Помимо шифрования, сообщения в WhatsApp автоматически копируются и сохраняются в память устройства. В зависимости от настроек также можно периодически создавать резервные копии чатов в iCloud или Google Drive.

Резервные копии, которые сохраняются в облако, зашифрованы с использованием безопасного алгоритма AES-256, причем в разных версиях WhatsApp используются различные алгоритмы шифрования.

Резервные копии содержат следующую информацию:

• список звонков;
• фотографии и видеофайлы;
• список контактов, включая телефонные номера;
• текстовые сообщения, включая идентификаторы пользователей.

Рисунок 2. Алгоритм шифрования резервной копии данных в WhatsApp

Дешифровка резервных копий WhatsApp

Для расшифровки резервных копий используется криптографический ключ, который создается в момент, когда пользователь впервые делает копию данных в облаке. Ключ генерируется на сервере WhatsApp и не попадает в облако.

В Android-устройствах ключ находится в каталоге data/data/сom.whatsapp/files. В iOS-устройствах ключ хранится в кейчейне и не попадает в облачные и iTunes-бэкапы.

Кроме самого ключа, который хранится на устройстве, также могут находиться зашифрованные базы данных.

Для извлечения ключа шифрования необходимо выполнить физическое извлечение данных из устройства. Но это не всегда возможно из-за проблем с программным или аппаратным обеспечением некоторых мобильных устройств.

В мобильной криминалистике эксперты часто сталкиваются с проблемами, которые не позволяют им провести полноценную экспертизу устройств и получить доступ к информации, хранимой в WhatsApp, из-за следующих проблем:

• Устройство заблокировано.
• Невозможно снять физический образ устройства или дешифровать его.
• Приложение удалено с устройства владельца.

Такие проблемы возможно решить с помощью опенсорсных решений или применить специализированные программы.

Использование опенсорсных решений для дешифровки резервной копии WhatsApp

Для дешифровки резервной копии, имея key-файл, можно воспользоваться опенсорсными утилитами, например WhatsApp Crypt12 Database Decrypter, который доступен на GitHub.  Для использования данной утилиты необходимо установить среду выполнения Java.

Для дешифровки необходимо переместить файлы msgstore.db.crypt12 и key в папку с файлами  decrypt12.jar и decrypt12.java.

Далее запустить командную строку из папки, в которой содержатся вышеперечисленные файлы, и выполнить следующую команду:

java -jar decrypt12.jar key msgstore.db.crypt12 msgstore.db

Рисунок 3. Результат дешифрования резервной копии

Дешифрованная резервная копия сохранится в файл msgstore.db, просмотреть которую можно с помощью SQL- viewer, например DB Browser for SQLite.

Рисунок 4. Просмотр дешифрованной резервной копии с помощью DB Browser for SQLite

Для упрощения дешифровки резервной копии нами разработана утилита WhatsApp Decrypter, которая упрощает данный процесс.

Рисунок 5. WhatsApp Decrypter

Использование специализированного программного обеспечения

Программное обеспечение «Мобильный Криминалист» содержит модули, позволяющие получить криптографический ключ, который необходим для дешифрования резервной копии с помощью:

• key-файла (только для Android);
• авторизации по токену или SMS;
• токена авторизации WhatsApp Cloud.

Принцип работы дешифрации резервной копии заключается в следующем:

• выполняется авторизация на сервере WhatsApp;
• на сервер WhatsApp отправляется специальный запрос;
• в ответ на запрос сервер WhatsApp отправляет ключ для дешифрования резервной копии.

Рисунок 6. Алгоритм дешифрования резервной копии  

Основные преимущества «Мобильного Криминалиста»:

• обход двухфакторной авторизации;
• выгрузка данных напрямую с WhatsApp Cloud;
• дешифрование любой резервной копии с помощью токена;
• дешифрование локальных резервных копий с флеш-карты устройства.

Выводы

Мы рассмотрели, как устроено шифрование данных в WhatsApp, алгоритмы дешифрования резервной копии, а также как дешифровать имеющуюся базу данных WhatsApp.

Использование мессенджера WhatsApp при имеющемся шифровании данных не является надежным, поэтому пользователю необходимо задумываться о безопасности использования различных мессенджеров, в том числе и WhatsApp.

Скачать утилиту WhatsApp Decrypter можно здесь.

Автор выражает благодарность сотрудникам компании Oxygen Software за содействие в написании статьи.

Если мы посмотрим на файлы, которые хранит WhatsApp, то увидим, что разговоры генерируют ежедневные резервные копии в файле в формате «crypt12», который зашифрован. Теперь мы объясним как открыть файл crypt12 и увидеть его содержание.

Единственный способ сломать шифрование это получить ключ (или «ключ») WhatsApp сам сохраняет для чтения файла. Поэтому, если мы хотим открыть файл crypt12, нам необходим физический доступ к мобильному телефону с той же учетной записью WhatsApp, которая его создала.

Необходимые инструменты

Чтобы открыть файл, нам понадобится ряд инструментов, важно понять, что они из себя представляют, поэтому давайте упомянем их:

1. Файл ключа, содержащий ключ шифрования, который сохраняется на мобильном телефоне.
2. Открываемый файл с именем типа «msgstore-2019-07-24.1.db.crypt12».
3. Инструмент WhatsApp Viewer для просмотра содержимого crypt12.
4. Мобильный Android (режим разработчика должен быть активирован) и компьютер Windows,
5. Драйверы Java и ADB установлены на вашем компьютере.

Для этих последних требований у вас есть бесплатные загрузки, доступные с веб-сайта их создателей:

1. Скачать Java для Windows

1. Скачать драйверы ADB (ClockWorkMod) для Windows

Наш учебник включает в себя две разные системы, которые требуют своих собственных программ, но это основа для обоих предположений, поэтому убедитесь, что у вас все готово. Кроме того, есть два предыдущих шага, которые вы должны выполнить раньше.

Предыдущие шаги: режим разработчика и отладка по USB

Нам понадобится подключите к кабельной клемме чтобы получить файлы, и это требует активации инструментов, которые система включает в себя для разработчиков. Давайте посмотрим, как это сделать:

1. Для активации режима разработчика необходимо ввести настройки вашего Android и получить доступ к этому меню:

Система -> О телефоне -> Номер сборки

1. В зависимости от версии системы и настроек, применяемых производителем, вы можете изменить точное меню.
2. В любом случае мы найдем раздел «Номер сборки», мы должны нажать 7 раз подряд в этом тексте, пока мы не подтвердим, что мы активировали режим разработчика:

1. Теперь у нас будет новое меню под названием «Опции разработчика»либо в разделе «Система», либо в качестве параметра в настройках. Там мы активируем коробку «Отладка по USB»:

1. Чтобы использовать эту отладку USB в следующих шагах, мы должны взглянуть на меню, которое появляется на телефоне при подключении к Windowsмы отметимПередача файлов «:

Прежде чем идти дальше, давайте найдите файл crypt12 что мы намереваемся открыть, и разместить его на нашем ПК. Это не должно быть сложным, нам просто нужно подключить мобильный телефон с помощью кабеля к устройству (нам даже не понадобится отладка по USB) и искать его в

Внутренняя память -> WhatsApp -> Базы данных

Этого будет достаточно с скопировать файл правой кнопкой мыши и вставьте его на жесткий диск ПК в том месте, которое мы предпочитаем.

Все файлы crypt12 открыть с помощью того же ключа, который мы будем извлекать из самого устройства, если не было старых, созданных с другой учетной записью WhatsApp, которая была установлена ​​в прошлом.

Может быть, мы найдем форматы crypt5, crypt7 или crypt8, которые являются предыдущими версиями, хотя мы сможем открыть их с этими же шагами.

Распакуйте ключ с рутом (Android 8 и Android 9)

Если у вас есть смартфон с некоторыми из последних двух версий Android, вам нужно иметь root, чтобы получить ключ шифрования WhatsApp, Это сложный процесс, который требует знаний и может повредить смартфон до такой степени, что производитель не соглашается ремонтировать его по гарантии.

Корень дает нам доступ к частям системы, которые по умолчанию заблокированы, поэтому получить ключ это так же просто, как скопируйте его из папки, где его сохраняет WhatsApp, Посмотрим как:

1. Начнем с вашего смартфона уже имеет root-доступпотому что это процесс, который отличается в каждой модели. Обычно необходимо разблокировать загрузчик (мера безопасности, которая включает производителей) и использовать определенные программы, но каждый мобильный телефон имеет свою особую процедуру.
2. Файл с ключом, который позволит нам открыть crypt12, находится по следующему пути (всякий раз, когда WhatsApp устанавливается с номером, который создал crypt12):

data / data / com.whatsapp / files / key

1. Самое простое будет найдите ключ от самого устройстваИспользуя файловый менеджер для Android, мы можем отправить его на ПК различными способами (электронная почта, Google Drive, кабельное соединение …).
2. Как только вы получили нужный вам файл, вы можете перейти к последнему разделу, где мы объясняем, как открыть и просмотреть crypt12.

Извлечь ключ без рута (до Android 7 Nougat)

Более старые версии системы зеленых роботов могут использовать инструмент, который делает рут ненужным, поскольку ваша безопасность не так высока. Вы можете получить его бесплатно здесь:

1. Скачать WhatsApp Key DB Extractor для Windows

1. Файл, который мы загружаем, будет ZIPкоторый Windows декомпрессировать изначально.
2. Теперь вы должны подключите свой мобильный телефон через кабель к ПКс включенным режимом разработчика, как мы видели в предыдущих шагах, и принимаем отладку по USB:

1. луч двойной щелчок в архиве «WhatsAppKeyDBExtract.bat» и откроется новое командное окно. Через несколько секунд нажмите клавишу ввода на клавиатуре ПК, чтобы начать процесс:

1. В какой-то момент мобильный телефон спросит, хотим ли мы разрешить резервное копирование, мы должны разблокировать экран и принять его (без ввода пароля):

1. Теперь перед сообщениемПожалуйста, введите ваш резервный пароль « Мы дадим только вступление:

1. Процесс завершится через несколько секунд, внутри папки «WhatsApp-Key-DB-Extractor-мастер» мы должны перейти в подпапку «Извлеченные» и мы найдем файл «Whatsapp.cryptkey» с ключом, который мы искали:

Посмотреть содержимое файла crypt12

Как только мы получил ключ с ключом шифрованиятем или иным способом мы можем открыть файл crypt12 с ПК, используя следующий инструмент:

1. Скачать WhatsApp Viewer для Windows

1. В верхнем меню мы выбираем «Файл» («Архив» на английском ») и мы вводим опцию «Расшифровать crypt12 …»:

1. Окно спросит нас прикрепить crypt12 открыть («Файл базы данных», первая строка) и ключ сделать это («Ключевой файл», вторая строка):

1. Наконец он попросит вас место для сохранения расшифрованного контента из разговора, это может быть кто угодно, как и сам стол.

С помощью этой процедуры вы получите доступ к разговорам, сохраненным в crypt12. Следует отметить, что это не система для взлома WhatsApp или подобного, так как его требования довольно требовательны.

Единственный способ открыть crypt12 – это ключ пользователя, который его создал, и для его получения мы должны настроить вашу учетную запись на телефоне, в котором установлена ​​SIM-карта с соответствующим номером.

После объяснения как открыть файл crypt12 Мы можем сделать вывод, что это система, которую мы будем использовать очень своевременно, мы не должны рассматривать ее как способ доступа к резервной копии чатов WhatsApp, которая хранится в Google Диске, а также к недостаткам безопасности.

Вам удалось открыть crypt12? Какую из двух систем вы использовали?

Приветствую гостей и постояльцев Codeby.net!
Совсем недавно, коллега @Sunnych вдохновил на создание такой статьи.

Посмотреть вложение 21296

Она послужит неплохим дополнением, этому материалу, и возможно позже выльется в отдельную, категорию «Форензика мессенджеров» но об этом чуть позже, вернемся к основной теме.
Я буду использовать инструмент Whapa на операционной системе Kali Rolling 2018.3.

Посмотреть вложение 21297

Whapa — это набор инструментов для анализа приложения WhatsApp для Android. Все они написаны на Python 2.X.
Whapa — состоит из трех приложений:

• Whapa (Whatsapp Parser)
• Whademe (Whatsapp Decrypter and Merger)
• Whagodri (Whataspp Google Drive Extractor)

Whapa — является парсером базы данных Android WhatsApp, который автоматизирует процесс и представляет данные, обрабатываемые базой данных Sqlite, таким образом, чтобы это было понятно аналитику.

Программное обеспечение разделено на четыре режима:

• Message Mode: анализирует все сообщения в базе данных, применяя различные фильтры. Он извлекает экскизы, если они доступны. «./Media» — это каталог, в котором пишутся эскизы. Строки сортируются по метке времени, а не по id.
• Decryption Mode: расшифровывает базы данных crypto12, если в наличии есть ключ.
• Info Mode: отображает различную информацию о статусах, списке отправлений и группах.
• Extract Mode: извлекает все эскизы из базы данных

Если вы скопируете базу данных «wa.db» в тот же каталог, что и скрипт, номер телефона будет отображаться вместе с именем.

Установка:

git clone https://github.com/B16f00t/whapa.git

Посмотреть вложение 21298

pip install -r ./doc/requirements.txt

Посмотреть вложение 21299

После успешной установки посмотрим поддерживаемые опции запуска приложения:

Посмотреть вложение 21300

Теперь, переходим к самому интересному, допустим, к нам в руки попал телефон злодея, он на Android OS, и мы хотим почитать его переписку WhatsApp.
Для начала нам необходимо получить root-права на устройстве, здесь я не буду описывать, как это сделать, но это нужно делать аккуратно.
Первое, что нужно сделать, это извлечь из устройства файл базы данных с расширением — .crypt12.
Для этого, перейдите в папку на карте памяти вашего устройства, в которой WhatsApp сохраняет резервные копии чатов пользователя.

/sdcard/WhatsApp/Databases

Если перейти в эту папку вы увидите в ней один файл с названием msgstore.db.crypt12, и ещё несколько файлов с названиями, как msgstore-20**-**-**.1.db.crypt12.

• msgstore.db.crypt12 – это файл с последней резервной копией чатов WhatsApp. Именно из данного файла происходит автоматическое восстановление чатов и контактов после переустановки WhatsApp.
• msgstore-20**-**-**.1.db.crypt12 – это резервная копия чатов приложения на конкретную дату, которая указана в названии файла. В нашем случае – это резервная копия чатов на ** — ** 20** г.

Поэтому, если необходимо восстановить чаты по состоянию на определённую дату, найдите файл, в названии которого указана эта дата и переименуйте его в msgstore.db.crypt12.
Затем, из системной папки в корневой директории Android, необходимо извлечь файл key, он пригодится для формирования расшифрованной базы данных, с последующим анализом.
Итак, поле того, как оба файла извлечены, копируем их в папку с Whapa:

Посмотреть вложение 21301

Генерируем базу данных, для последующего анализа на основе key:

python whapa.py msgstore.db.crypt12 -k key

Посмотреть вложение 21302

Начинаем работать с файлом msgstore.db, смотрим историю сообщений:

Посмотреть вложение 21303

Результат меня устроил, но утилита содержит множество опций, с помощью которых вы можете фильтровать вывод, как Вам удобно, так как whapa — изначально парсер.
Формирование отчетов:
Для создания отчетов первое, что нам нужно сделать, это отредактировать файл «./cfg/settings.cfg».

Например:

[report]
logo =./cfg/logo.png
company = Foo S.L
record = 1337
unit = Research group
examiner = Vander
notes = Chat maintained between the murderer and the murderer

Здесь мы должны поставить логотип нашей компании, название компании или подразделения, а также присвоенный регистрационный номер, единицу или группу, в которой мы принадлежим, кто является аудитором, и мы также можем указать примечания к отчету.
Чтобы сгенерировать отчет, мы должны указать флаг «-r» или «-r EN», если мы хотим, чтобы отчет на английском языке, а также «-r ES», если мы хотим, чтобы отчет на испанском языке.
Пример использования:

python2 whapa.py -m -r -u 34XXX230775 (Создает отчет о разговоре с пользователем 34XXX230775)

Обратите внимание, что для создания отчета, который имеет смысл для читателя, вы всегда должны указывать пользователя с флагом «-u» или группой с флагом «-g». (Чтобы узнать номер группы, которую мы хотим использовать в нашем отчете, мы можем сначала использовать команду «python whapa.py -i», а затем скопировать и вставить ее в команду «python -m -r -g PASTE-HERE-GROUPNUMBER @ g.us «) или флаг« -a », который создает отчет обо всех разговорах (медленный вариант).
Если вы скопируете базу данных «wa.db» в тот же каталог, что и скрипт, номер телефона будет отображаться вместе с именем.
Для отчета, содержащего изображения, видео, документы вы должны скопировать папку «WhatsApp / Media» вашего телефона в каталог whapa.
Если вы хотите распечатать документ или создать отчет в формате pdf, я рекомендую в опции печати -> масштабировать представление <= 70%, иначе отчет будет отображаться слишком большим.

С информацией о работе модулей Whademe и Whagodri, вы можете ознакомиться на странице разработчика на Github.

На этом можно закончить, спасибо за внимание.
Специально для Codeby.net
Обязательно к прочтению: Android. Ищем интересности.

I have an old phone (Galaxy S3 international unbrandedand) and I would like to decrypt my whatsapp backup files (crypt8, as recent as the latest backup which is always at 4 AM, I think).
I’ve googled many tutorials but they all seem to be outdated.
Most of them presume that the key file is located in /data/data/com.whatsapp/, however this folder does not exist on my phone.
I’ve also tried adb backup as root on my linux laptop (adb backup -f whatsapp.ab -noapk com.whatsapp), but when I transform this ab file into a tar and then extract its contents, it’s just empty.
I’ve also tried to locate the com.whatsapp folder (not the user files folder with the actual *.crypt8 files, pictures, etc), but I can’t find it anywhere on my phone.

Am I missing something? Are the whatsapp app files somewhere else now? Or has the location of whatsapp changed?