Varför tror jag att denna fråga inte är en duplikat: Det finns flera frågor som rör utnyttjandet av en låst dator på den här webbplatsen, men de flesta av svaren är inriktade på att utnyttja ett icke-härdat system i standardkonfiguration. Jag tror att hotmodellen för en härdad bärbar dator under de senaste åren, med stora framsteg inom kryptering och hårdvara + programvaruverifiering (säker start, bitlocker, virtualisering, UEFI, …), är väsentligt annorlunda och därför ber jag mig om detta fråga under följande scenario:

Tekniska antaganden:

  1. Jag använder en modern bärbar Windows 10 Pro-dator, med operativsystemet och alla drivrutiner uppdaterade till senaste versioner.
  2. Bärbar dator är låst med följande autentiseringsmetoder: fingeravtrycksläsare, starkt lösenord, rimligt stark PIN-kod inte överleva en offline brute-force).
  3. Intern enhet är krypterad med PIN-fri Bitlocker, med hjälp av TPM.
  4. UEFI är lösenordsskyddat, för att starta från extern enhet krävs UEFI-lösenord, nätverksstart är inaktiverad, Säker start är på.
  5. Jag är ansluten till samma nätverk som en angripare (angriparen kan till och med äga nätverket).
  6. Den bärbara datorn har en aktiverad Thunderbolt 3-port, men innan någon ansluten enhet accepteras måste den godkännas av användaren (vilket inte borde vara möjligt på låsskärmen).
  7. Bärbar dator har en fri M.2-plats inuti , dis / re-assembling är möjligt på under en minut.

Förutsatt att jag sitter någonstans med en angripare låser jag min bärbara dator och lämna i 5 minuter , är det möjligt för angriparen att få tillgång till min bärbara dator (antingen genom att kringgå låsskärmen eller extrahera filer med någon annan metod (extrahera bitlocker-tangenten , …)) innan jag återvänder, under förutsättning att jag inte måste märka något misstänkt efter att ha kommit tillbaka?

Kommentarer

  • Svarar det på din fråga? Vilka är de potentiella riskerna med att lämna en enhet offentligt, men låst?
  • Det gör det inte – I ’ Jag övertygade om att mina antaganden (borde) förhindra de flesta attacker som nämns där.
  • Jag ’ tänkte inte att antyda att detta skulle tillfredsställa din nyfikenhet. Jag är fortfarande van vid det gamla automatiska meddelandet: ” Möjlig duplikat av $ foo ” . Även om du tycker att detaljerna är tillräckligt annorlunda, gäller de första två meningarna i det översta och accepterade svaret fortfarande helt och hållet på denna fråga: Om de har obevakad fysisk åtkomst är det inte ’ t säkert längre. Utan fysisk säkerhet är alla andra infosec-åtgärder svaga.
  • @Ghedipunk Detta mantra är precis varför jag ’ ställer denna fråga – jag ’ har sett det upprepas många gånger, men med många förändringar är den fysiska säkerhetsmodellen för bärbara datorer de senaste åren, jag ’ är inte övertygad om att den håller helt längre.
  • Det passerar in i området för ny akademisk forskning. Vi kan ’ inte bevisa ett negativt här, eftersom vi kan ’ t bevisa att statliga skådespelare inte ’ t har enheter som kan anslutas direkt till ditt bärbara varumärke ’ s expansionsportar, få direkt nordbuss eller PCI-bussåtkomst och injicera skadlig programvara direkt i RAM, vilket blir injiceras i bagagerummet så snart din bärbara dator är upplåst. Om du vill ha ett svar som är mer uppdaterad än det mantra vi upprepar här, vill du titta på peer review-tidskrifter och prata med forskarna som skickar artiklar till dem.

Svar

Vad du beskriver är en Evil Maid-attack. Det finns en massa sätt att gå åt för att få tillgång i detta scenario, men det viktigaste är DMA .

M.2 ger dig direkt och fullständig åtkomst till systemminnet via DMA, förutsatt att IOMMU inte är konfigurerad för att förhindra detta, vilket det nästan säkert inte kommer att vara som standard för ett direkt PCI- e-länk. Detsamma gäller om du har en ExpressCard-kortplats. En verktygsuppsättning för detta är PCILeech , som kan dumpa de första 4 GB minnet från ett system utan OS-interaktion eller drivrutiner installerade och allt minne om en drivrutin installeras först.

Det är också möjligt om din bärbara dator har Thunderbolt eller USB-C, eftersom båda dessa gränssnitt stöder DMA.Generellt sett tenderar dessa gränssnitt nu att ha härdningsfunktioner i firmware och drivrutiner för att förhindra godtycklig DMA med IOMMU, men detta skydd är inte perfekt eller universellt, och det har förekommit några problem (t.ex. Thunderclap ) som gör det möjligt för en angripare att kringgå IOMMU i viss hårdvara.

Vad du kanske vill göra är att aktivera Virtualisation Based Security (VBS) och Windows Credential Guard (WCG), som placerar hela ditt operativsystem i en Hyper-V hypervisor och flyttar det mesta av LSASS-tjänsten (som cachar autentiseringsuppgifter) till en isolerad virtuell maskin. Det finns få, om några, verktygslådor där ute för tillfället som gör det möjligt för en angripare att återställa den cachade BitLocker-masterkrypteringsnyckel från WCG-enklaven med hjälp av en icke-interaktiv minnesdump.Detta låter dig också aktivera Device Guard och KMCI / HVCI, vilket skulle göra det extremt svårt för en angripare att få uthållighet på systemet från en engångs-DMA attack.

Kommentarer

  • Fantastiskt svar, tack! Får jag rätt när jag antar att anslutning av en M.2 PCIe-enhet kräver att du startar om den bärbara datorn – > rensar RAM-minnet, vilket lämnar Bitlocker-nyckelextraktion på nystartat system som den enda livskraftiga attacken?
  • Det ’ går ner till enskild hårdvara och firmware. Vanligtvis fungerar M.2 hotplug ’ inte på konsumentenheter, men det ses oftare på arbetsstations- och serversystem. ExpressCard fungerar eftersom det är utformat för hotplug. Extra PCIe-kortplatser (inklusive mini-PCIe, som bärbara WiFi-moduler ofta använder) fungerar också på vissa modeller om du har tur. Ett knep du kan göra är dock att sova den bärbara datorn, ansluta M.2- eller PCIe-kortet och sedan väcka det, vilket utlöser återräkning utan att stänga av eller rensa minne.
  • Få mer frågor: 1. Hur kan den skadliga pcienheten läsa minnet direkt? Jag trodde att all minnesåtkomst går via IOMMU och OS måste uttryckligen mappa de begärda sidorna. 2. Hur förhindrar virtualisering extraktion av bitlocker-tangenten? Är inte ’ den nyckel som fortfarande är lagrad i minnet, bara på en annan plats?
  • I praktiken konfigurerar OS inte IOMMU för att blockera DMA på PCI-e enheter under 4 GB-gränsen av kompatibilitetsskäl. Enheten kan bara be om att dessa sidor ska kunna kartläggas och operativsystemet kräver. VBS / WCG garanterar inte ’ t att du kan ’ t läser tangenterna, det gör det bara svårare för tillfället eftersom den ’ är en ny funktion och minnesmedicinska verktygslådor har inte tagit ’ än.
  • Är det möjligt att konfigurera om Windows för att rensa dessa mappningar, med tanke på att endast PCIe-kringutrustning i min bärbara dator är 1. en NVMe SSD-enhet, 2. modernt Intel WiFi-kort, eller skulle det strida mot någon del av PCIe / IOMMU-standarden?

Svar

Som med många säkerhetssituationer beror det ”. Om du inte är ett mål för en kraftfull angripare och din definition av ”farlig fysisk tillgång” utesluter någon form av avsiktlig fysisk skada (av vilka vissa inte kommer att synas för dig när du återvänder), kan du vara okej. du är ett mål, eller din definition av ”farlig” inkluderar fysisk skada, det är definitivt farligt.

För att förstå de möjliga hoten måste du definiera två saker:

  • Vad anses vara ett hot? Du anger bara ”farligt”, men detta är mycket vagt. Skulle någon ersätta din bärbara dator med en identisk modell som ser exakt samma farliga ut? Den andra bärbara datorn kan konfigureras för att skicka ut alla skrivna lösenord , som du skulle behöva skriva eftersom ditt fingeravtryck inte loggar in. Det kan också skicka ut data från din fingeravtrycksläsare som skulle användas för att logga in på din bärbara dator. Detta är mer en nationalstat, Men skulle det vara farligt att sätta SuperGlue i den bärbara HDMI / USB-platsen eller stjäla din hårddisk (vilket kommer att vara det) obemärkt vid återkomst om din bärbara dator är låst med skärmen avstängd)?

  • Vem är hotaktörer? Kraftfulla angripare som nationalstat kan ha verktyg som skulle kunna dumpa ditt låsta bärbara minne, eventuellt inklusive dekrypteringsnycklarna (detta beror på hur du definierar ”låst”). De kan lägga till hårdvara inuti som skulle sniffa ut viktiga data eller störa funktionaliteten; detta kunde göras på mycket kort tid av en kraftfull angripare som förberett allt i förväg.

Slutligen, ”om dålig kille hade tillgång till din dator är det inte din dator längre ”har mycket sanning. Men ”skurkar” skiljer sig åt i deras avsikter och makt. Så det är möjligt att även NSA som har din dator i ett år inte gör något åt det om de bestämmer att du inte är deras mål.

Lämna ett svar

Din e-postadress kommer inte publiceras. Obligatoriska fält är märkta *