Jeg fant en måte at du kan flytte boot loader til en USB. Så i tilfelle noen endringer, tenkte jeg å sjekke hash av USB etter oppstart. Siden harddisken blir kryptert, kan en ond hushjelp ikke vite hvilken fil som inneholder hash. Eller jeg kan bare skrive hashen til et papir.
Det jeg lurer på er, kan ikke det onde hushjelpeskriptet på boot loader i utgangspunktet tilbakestille endringene på USB? Så hash vil være det samme, men keylogger-skriptet lastes inn og kanskje lagrer seg selv på harddisken? Dette er sannsynligvis en urealistisk ting å skje, men det vil fortsatt være en feil.
Hva er måtene å gjøre dette ikke mulig annet enn å bære USB i lommen hele tiden?
Oppdatering: Jeg fant et verktøy som du kan låse skrivebeskyttelsen for SD-kort permanent. Jeg vil teste det hvis det ikke fungerer, jeg vil bare prøve å modifisere SD-kortet etter at jeg har satt opp lasteren.
https://github.com/BertoldVdb/sdtool
Kommentarer
- Hvis du alltid kan ha USB-en rundt, er dette egentlig ikke en ondskap hushjelpssituasjon hvor ideen er at du lar maskinen være uten tilsyn i betydelig tid.
- xkcd.com/538
- @icarus ikke helt riktig. Hvis noen kan få tilgang til USB-pinnen (en plukklomme), er risikoen fortsatt den samme. Å bryte maskinvaren i stykker (ved hjelp av en USB-pinne) gjør det onde hushjelpeangrepet vanskeligere men ikke umulig.
- @PhilipCouling Hvis en lommetyv får tilgang til USB-pinnen, bærer OP ikke den alltid med mindre angrepet finner sted inne i lommen. Hvis angrepet gjøres inne i lommen mens det er blir båret, så er det ikke uten tilsyn.
- @icarus helt feil. Så lenge ettersom USB-pinnen både blir stjålet og returnert ; med eller uten kjennskap fra eieren er det mulighet " … unnskyld meg sir, du droppet dette … " . Dette er uten tvil enklere med en USB fordi det ikke ' ikke krever demontering for å utføre angrepet der en bærbar PC kan. De færreste av oss har hele tiden nøklene i lommen. Ingen av oss er 24x7x365 bevisste. Et lommetyv / retur-scenario er bare et mulig eksempel, men det er mange.
Svar
Onde tjenestepikeangrep er spesielt vanskelig å motvirke. Derfor er fysisk sikkerhet alltid viktig, så vel som programvaresikkerhet.
I de mest ekstreme scenariene kan noen erstatte hele maskinen din med et duplikat og logge / overføre nok tastetrykk for å få tilgang til din virkelige maskinen før du skjønte. Disse scenariene ender ganske fantasifulle ( https://www.xkcd.com/538/ ). Det er verdt å forstå at det som et hjem eller kommersiell bruker, det er balansert rådgivning tilgjengelig. Hvis du er en myndighetsansvarlig som bærer topphemmelige dokumenter, kan " balansert " råd er ikke noe for deg.
Går med Wikipedia-definisjonen: https://en.wikipedia.org/wiki/Evil_maid_attack
Et ondt tjenestepikeangrep er et angrep på en uten tilsyn, der en angriper med fysisk tilgang endrer den på en eller annen måte som ikke kan oppdages, slik at de senere kan få tilgang til enheten, eller dataene på den.
Navnet refererer til scenariet der en hushjelp kan undergrave en enhet som blir etterlatt uten tilsyn på et hotellrom – men selve konseptet gjelder også situasjoner som at en enhet blir fanget opp mens i transitt, eller tatt midlertidig bort av personalet på flyplassen eller politiet.
Hva kan du gjøre med det?
Din første forsvarslinje bør være å konfigurere riktig og en TPM . Riktig bruk av systemets TPM skal avverge den uformelle angriperen fordi de generelt ikke bare kan erstatte operativsystemet ditt med et " ondt " en. HD-krypteringsnøklene dine skal lagres i TPM, og TPM skal aldri avsløre disse for ikke-pålitelige (usignerte) operativsystemer.
Jeg unngår å forklare hvordan du gjør dette i sin helhet fordi det er alternativer, og det kan kreve litt undersøkelse for systemet ditt. Jeg vil imidlertid rette oppmerksomheten mot et par lenker:
Hvorfor er TPM ikke helt trygt?
Det vanskeligste problemet å løse er at noen kan installere noe maskinvare mellom RAM-en og hovedkortet ditt og lese kryptering tastene rett ut av minnet.Det er ikke sannsynlig at den gjennomsnittlige angriperen vil ha denne typen teknologi, men hvis du bærer regjeringshemmeligheter over landegrensene, er alle spill av.
Forutsatt at maskinvaren ikke er blitt tuklet med, er det enda en vektor av angrep basert utelukkende på modifisering av programvaren: Du
Se for deg to scenarier:
Scenario 1
- Du slår på den bærbare datamaskinen og finner den ikke starter opp.
- Du undersøker og finner ut at noe har blitt ødelagt på HD og TPM nekter å gi deg nøkkelen til å dekryptere harddisken din
- Du skriver pliktoppgitt inn passord for dekryptering av sikkerhetskopi
- Du tilbakestiller TPM og får ting til å fungere normalt.
Scenario 2
- En ond hushjelp erstatter operativsystemet ditt med en ond
- Når du slår på, finner den (den falske) ikke oppstart.
- Du undersøker og finner ut at TPM nekter å dekryptere harddisken
- Du skriver inn passordet ditt for dekryptering av sikkerhetskopi.
- Du tilbakestiller TPM-en og får den til å godta falske funksjoner som operativsystemet ditt (oops)
Merk at den svake lenken med TPM og et ondt tjenestepikeangrep er du . Det er viktig å forstå at hvis noe går galt, så må du ikke starte den bærbare datamaskinen, men i stedet gjenopprette den via en egen maskin og undersøke nøye hva som gikk galt.
Hvis du virkelig vil beskytte deg mot dette (vi kommer tilbake til https://www.xkcd.com/538/ her) kan du vurdere et system der:
- Du skriver inn ditt første hemmelige passord
- Din bærbare PC-respons med noe hemmelig bare tilgjengelig med ditt første passord.
- Du skriver inn det andre hemmelige passordet ditt
Bare på denne måten kan du være komfortabel (på en balansert måte, ikke en tinfolie hatt måte ) at datamaskinen din ikke ble kompromittert før du skrev inn [andre] passordet ditt.
Det andre passordet her kan være autentisering med to faktorer .
Svar
- Sett UEFI til bare boot fra den interne stasjonen.
- Beskytt UEFI med god nok passord . En sekssifret PIN-kode ville være god nok.
- Lim inn en forseglingsforsegling på datamaskinkassen. Jo vanskeligst å imitere forseglingen, og jo tydeligere den er for brukeren, desto sikrere vil datamaskinen være.
