Našel jsem způsob, jak můžete zavaděč přesunout na USB. Pak jsem v případě jakýchkoli změn přemýšlel o kontrole hash USB po spuštění. Vzhledem k tomu, že pevný disk bude šifrován, zlá služebná „nemůže vědět, který soubor obsahuje hash. Nebo můžu hash jen napsat na papír.
Zajímalo by mě, zda nemůže být„ skript zlé služky “ na zavaděči v podstatě vrátit změny na USB? Takže hash bude stejný, ale načte se skript keyloggeru a možná se uloží na pevný disk? Je pravděpodobné, že se to stane nereálnou věcí, ale přesto by to byla chyba.
Jaké jsou způsoby, jak to umožnit, kromě neustálého nošení USB v kapse?
Aktualizace: Našel jsem nástroj, kterým můžete trvale zablokovat ochranu proti zápisu na SD karty. Pokud to nefunguje, zkusím to po vložení zavaděče SD kartu upravit.
https://github.com/BertoldVdb/sdtool
Komentáře
- Pokud můžete USB s sebou nosit stále, není to opravdu zlo situace služky, kdy se jedná o myšlenku, že stroj ponecháte bez dozoru po značnou dobu.
- xkcd.com/538
- @icarus není úplně správný. Pokud někdo může získat přístup k USB klíči (kapsa pro výběr), riziko stále zůstává stejné. Rozbití hardwaru na kousky (pomocí USB klíče) činí útok zlé služky složitějším ale není to nemožné.
- @PhilipCouling Pokud kapsář získá přístup na USB klíč, pak jej OP nenese vždy, pokud k útoku nedojde uvnitř kapsy. Pokud je útok proveden uvnitř kapsy, zatímco je přenášení pak není bezobslužné.
- @icarus zcela nesprávné. Pokud protože USB flash disk je odcizen a vrácen ; s vědomím nebo bez vědomí vlastníka existuje příležitost " … omluvte mě, pane, toto jste upustili … " . U USB je to pravděpodobně jednodušší, protože to ' nevyžaduje demontáž, aby mohl být útok proveden tam, kde by notebook mohl být. Jen velmi málo z nás má klíče vždy v kapse. Nikdo z nás není při vědomí 24x7x365. Scénář kapsář / návrat je jen jedním možným příkladem, ale existuje jich mnoho.
Odpověď
Útoky zlých služebných jsou obzvláště těžké čelit. Proto je vždy důležité fyzické zabezpečení i zabezpečení softwaru.
V nejextrémnějších scénářích může někdo nahradit celý váš stroj duplikátem a zaznamenat / odeslat dostatek úderů kláves, aby získal přístup ke skutečnému stroj, než jste si uvědomili. Tyto scénáře skončí docela fantazijní ( https://www.xkcd.com/538/ ). Stojí za to to pochopit jako domov nebo komerční uživatel je k dispozici vyvážená rada. Pokud jste vládním úředníkem, který má přísně tajné dokumenty, pak možná " vyvážený " rada pro vás není.
Pokračování definice Wikipedie: https://en.wikipedia.org/wiki/Evil_maid_attack
Útok zlé služky je útok na bezobslužné zařízení, ve kterém jej útočník s fyzickým přístupem nějakým nezjistitelným způsobem pozmění, aby mohl později získat přístup zařízení nebo data na něm.
Název odkazuje na scénář, kdy by pokojská mohla rozvrátit zařízení ponechané bez dozoru v hotelovém pokoji – samotný koncept se však vztahuje i na situace, jako je zachycení zařízení při v tranzitu nebo dočasně odvezeni letišti nebo pracovníky donucovacích orgánů.
Co s tím můžete dělat?
Vaše první obranná linie by měla být správná konfigurace a TPM . Správné použití TPM vašeho systému by mělo odrazit příležitostného útočníka, protože obecně nebudou moci váš operační systém nahradit " zlým " jeden. Vaše šifrovací klíče HD by měly být uloženy v modulu TPM a modul TPM by je nikdy neměl zveřejnit nedůvěryhodnému (nepodepsanému) operačnímu systému.
Nebudu vysvětlovat, jak to udělat v plném rozsahu, protože jsou možnosti a může to vyžadovat nějaký průzkum vašeho systému. Upozorním vás však na několik odkazů:
Proč nejsou TPM úplně bezpečné?
Nejobtížnějším problémem je překonat to, že by někdo mohl nainstalovat nějaký hardware mezi vaši RAM a základní desku a číst šifrování klíče přímo z paměti.Není pravděpodobné, že průměrný útočník bude mít tento druh technologie, ale pokud přenášíte vládní tajemství přes hranice, jsou všechny sázky vypnuté.
Za předpokladu, že s hardwarem nebylo manipulováno, existuje další vektor útoku založený pouze na úpravách softwaru: Vy
Představte si dva scénáře:
Scénář 1
- Zapnete notebook a zjistíte, že se nespustí.
- Zkoumáte to a zjistíte, že se na HD něco poškodilo a TPM vám odmítá dát klíč k dešifrování pevného disku
- poslušně zadáte své záložní dešifrovací heslo
- Resetujete svůj TPM a necháte věci normálně fungovat.
Scénář 2
- Zlá služebná nahradí váš OS zlým
- Když zapnete funkci find it (fake) nebude spuštěna.
- Prozkoumáte to a zjistíte, že TPM odmítá dešifrovat pevný disk
- Poslušně zadáte své dešifrovací heslo pro zálohování.
- Resetujete svůj TPM a necháte ho, aby přijal falešný jako správný operační systém (oops)
Upozornění že slabým článkem s TPM a útokem zlé služky je vy . Je důležité si uvědomit, že pokud se něco pokazí, nesmíte spustit svůj laptop, ale místo toho jej obnovit pomocí samostatného počítače a pečlivě prozkoumat, co se pokazilo.
Pokud proti tomu opravdu chcete chránit (vracíme se zpět k https://www.xkcd.com/538/ zde) můžete zvážit systém, kde:
- Zadejte své první tajné heslo
- Odpověď vašeho notebooku s něčím tajným přístupné pouze s vaším prvním heslem.
- Zadejte své druhé tajné heslo
Pouze tak můžete být pohodlní (vyváženě, nikoli plechový klobouk způsobem ), že váš počítač nebyl napaden dříve, než zadáte své [druhé] heslo.
Druhé heslo zde může být dvoufaktorové ověřování .
odpověď
- nastavit UEFI na pouze boot z interní jednotky.
- Chraňte UEFI dostatečně dobrým heslo . Šestimístný PIN by byl dost dobrý.
- Vložte pečeť evidentní neoprávněné manipulace do skříně počítače. Nejtěžší je napodobit pečeť a čím jasnější je její funkce pro uživatele, tím bezpečnější bude počítač.
