Узлом фізічных прылад (атака «злой дзевы»): праверка ноўтбука без нагляду і ўмацаванне DMA¶

Калі вы вярнуліся ў нумар гатэля, зону дадатковага дагляду мытні аэрапорта, канферэнц-канферэнц-канферэнц-канферэнц-канферэнц-стол або агульны стол для каворкінга, каб выявіць, што ваш ноўтбук, смартфон або кашалёк з крыптавалютным абсталяваннем быў закрануты, перамешчаны, абуджаны са сну або адкрыты, калі вы знаходзіліся па-за вашым полем зроку, з'яўляецца сур'ёзным інцыдэнтам з фізічнай бяспекай, вядомым у крыптаграфіі і контрразведцы як атака "Злая служанка" (прыдуманая даследчыкам бяспекі Джаанай). Руткоўская). Класічны праграмны брандмаўэр або антывірусная праграма мяркуе, што зламыснік знаходзіцца па іншы бок Інтэрнэту; зламыснік Evil Maid мае фізічны практычны доступ да вашага абсталявання на працягу ад 2 да 30 хвілін, пакуль вы не знаходзіцеся на сняданку, на сустрэчы ці ўтрымліваецеся ў пакоі для агляду. У залежнасці ад дасведчанасці зламысніка, 90 секунд фізічнага доступу дастаткова, каб падключыць BadUSB з націскам клавіш і гумовым качачком або PCIe/Thunderbolt Direct Memory Access (DMA) падключыце прыладу да спячага ноўтбука, замацуеце флэш-праграматар CH341A SPI коштам 15 долараў на чып BIOS мацярынскай платы або панюхайце незашыфраваны LPC/SPI Шына TPM, заменіце зарадны кабель USB-C на кабель імплантата бесправаднога кейлоггера (O.MG Cable), або замяніць незашыфраваны /boot перагародка (initramfs), таму ён захоплівае вашу парольную фразу шыфравання поўнага дыска пры наступным яе ўводзе. Пракансультуйцеся з інфармацыяй аб атаках на кіёск для зарадкі USB у аэрапортах блакіроўшчыкі дадзеных публічных зарадных кіёскаў і ін'екцыя BadUSB HID; калі ваш дыск BitLocker, FileVault або LUKS раптам запытвае ключ аднаўлення падчас загрузкі пасля таго, як нехта дакрануўся да вашага ноўтбука, гл. Блакіроўка ключа аднаўлення шыфравання BitLocker, FileVault і LUKS і скід TPM; і калі ваша прылада была канчаткова захоплена, пераключыцеся на скрадзены ноўтбук або тэлефон дыстанцыйнае сціранне і блакіроўка ўліковага запісу. Калі вам пагражае непасрэдная фізічная небяспека або пагражае незаконнае затрыманне, патэлефануйце ў мясцовы нумар службы экстранай дапамогі (911 у Злучаных Штатах і Канадзе, 112 па ўсім Еўрапейскім Саюзе, 999 у Злучаным Каралеўстве) або пракансультуйцеся з нашым каталогам міжнародных нумары экстраных службаў.

Зрабіце гэта зараз¶

1. НЕ ўводзьце шыфраванне поўнага дыска (BitLocker / LUKS / FileVault) фразу-пароль, пароль для ўваходу ў АС або галоўны пароль у падазраваны ноўтбук, калі ён раптам запытвае пароль або ключ аднаўлення пасля таго, як яго пакінулі без нагляду:
2. Класічная атака Evil Maid замяняе незашыфраваны загрузчык або initramfs малюнак на ноўтбуку, у якога адсутнічае прымяненне Measured Boot / Secure Boot (або падключаецца празрысты апаратны USB ключ кейлоггера паміж клавіятурай/док-станцыяй і ноўтбукам), каб у наступны раз, калі вы ўводзіце свой LUKS або BitLocker фразу-пароль, траянскі загрузнік запісвае вашу фразу-пароль у адкрытым выглядзе і перадае яе ці хавае на дыску.
3. Перш чым дакранацца да клавіятуры, выканайце 60-секундны знешні фізічны агляд усіх партоў, кабеляў і шруб пад святлодыёдным ліхтарыкам тэлефона:
4. Адключыце і праверце ўсе кабелі USB-C, USB-A, HDMI, Ethernet і кабелі сілкавання, падлучаныя да ноўтбука або размешчаныя на стале ў гасцініцы. Зламыснікі часта мяняюць стандартны белы кабель Apple або чорны USB-C для зарадкі ахвяры на ідэнтычны на выгляд O.MG Cable / USB Ninja кабель (які змяшчае схаваную кропку доступу Wi-Fi і мікракантролер, схаваны ўнутры абалонкі раздыма USB-C, які ўводзіць націсканні клавіш і рэгіструе трафік).
5. Перавярніце ноўтбук дагары нагамі і праверце шрубы ніжняй крышкі і гумовыя ножкі: шукайце свежыя мікраскапічныя металічныя задзірыны на P5 Pentalobe, Torx T5, або Phillips галоўкі шруб, адсутнасць герметызатараў у адтулінах для шруб або ніжні вуглавы шво, які не знаходзіцца на адным узроўні, таму што шасі было спешна адкрыта, каб прымацаваць унутраны флэш-заціск SPI або M.2 Імплантат PCIe.
6. Праверце, ці быў ваш ноўтбук у рэжыме сну / чакання (S3 / S0ix Сучасны рэжым чакання)" супраць "Цалкам выключаны (S5 / Зазімаваў S4)" без нагляду:
7. Калі ваш ноўтбук проста спаў (крышка зачынена), калі зламыснік атрымаў да яго доступ: ваша Шыфраванне поўнага дыска (BitLocker, FileVault, LUKS) ключ шыфравання галоўнага тома (VMK) расшыфраваны ў выглядзе звычайнага тэксту ў памылцы вашага ноўтбука DRAM чыпы памяці ўвесь час. Зламыснік з прыладай Thunderbolt/USB4 DMA (на старых сістэмах без выпраўленняў), атакай з замарожваннем аператыўнай памяці пры халоднай загрузцы або вядомым абыходам экрана блакіроўкі можа прачытаць актыўную памяць, не ведаючы вашага пароля.
8. Калі вы падазраяце, што спячы ноўтбук быў падроблены: утрымлівайце фізічную Кнопку сілкавання націснутай на працягу 10 поўных секунд, каб неадкладна прымусова выключыць сілкаванне (ачысціўшы энерганезалежныя ключы DRAM), а не адчыняць крышку і ўваходзіць у сістэму.
9. Загрузка з заведама-чыстага вонкавага Live USB, даступнага толькі для чытання (Ubuntu Live / Tails / SystemRescue увесь час знаходзіцца пры сабе), каб праверыць унутраны дыск у незашыфраваным выглядзе /boot і EFI System Partition (ESP) хэшы:
10. Калі вы запускаеце Linux з LUKS або Windows з BitLocker, загрузка з чыстага вонкавага USB-назапашвальніка на асобнай або праверанай машыне дазваляе хэшаваць кожны файл /boot/efi/ (ESP) і /boot/initramfs-* (sha256sum) і праверце, ці пазнакі часу змены падзелу (stat) змянілася роўна ў 2-гадзіннае акно, калі вы не выходзілі з гасцінічнага нумара.
11. Праверце журналы падзей АС (Windows Event Viewer, macOS unified log, Linux journalctl) з бяспечнага асяроддзя толькі для чытання, каб убачыць, ці была адкрыта вечка, ці была ўстаўлена прылада USB, ці была перазагружана машына, пакуль вас не было:
12. Кожная сучасная аперацыйная сістэма запісвае нязменную апаратную метку часу з дакладнасцю да мілісекунды кожны раз, калі ACPI Lid Switch адкрываецца, сістэма выходзіць са сну (Kernel-Power Event ID 42 / 107 у Windows, Wake reason: EC.LidOpen на macOS), або новы USB VID:PID прылада пералічана на шыне.
13. Калі вы з'яўляецеся аб'ектам высокай рызыкі (журналіст, абарончы падрадчык, кіраўнік, юрыст па правах чалавека або падпісант крыптаказначэйства) і знаходзіце важкія доказы адкрыцця фізічнага шасі, нечаканых скідаў BitLocker/TPM PCR або несанкцыянаваных падзей абуджэння, знаходзячыся па-за вашым валоданнем, разглядайце абсталяванне як згарэлае (Quarantine Device):
14. Не падключайце падазроны ноўтбук да вашай карпаратыўнай VPN або хатняй Wi-Fi. Выкарыстоўвайце асобны чысты смартфон (які застаўся ў вашай кішэні), каб павярнуць свае ўліковыя дадзеныя, адклікаць актыўныя сеансы (выкраданне файлаў cookie сесіі і ануляванне ключа доступу), а таксама пераводзіць сродкі або сакрэты з дапамогай чыстага абсталявання.

Дрэва рашэнняў: ацэнка пакінутага без нагляду ноўтбука або прылады пасля меркаванага фізічнага доступу¶

Выканайце наступны працоўны працэс, каб вызначыць, ці ажыццяўляўся фізічны доступ да вашай прылады без нагляду або яна была зменена, і які ўзровень выпраўлення патрабуецца:

flowchart TD
    Start["Ноўтбук, тэлефон або апаратны кашалёк, пакінуты без нагляду ў гасцінічным нумары, на памежным кантролі або ў каворкінгу"] --> StateCheck{"У якім стане быў ноўтбук, калі яго не было ў вас?"}

    StateCheck -->|"У рэжыме сну/чакання (вечка закрыта, аператыўная памяць працуе) АБО разблакіравана"| HighRiskState["ВЫСОКАЯ РЫЗЫКА: ключы шыфравання дыска і файлы cookie сеанса былі жывыя ў аператыўнай памяці (успрымальныя да BadUSB, абыходу блакіроўкі экрана або вымання DMA/RAM)"]

    StateCheck -->|"Цалкам выключаны (халоднае адключэнне S5)"| ColdState["МЕНШЫ РЫЗЫКА Аператыўнай памяці: ключы не былі ў аператыўнай памяці, таму зламыснік павінен альбо змяніць загрузчык (/boot / EFI), перазагрузіць SPI BIOS, альбо апаратны кейлоггер"]

    HighRiskState --> PhysCheck["КРОК 1: Праверце знешнія шрубы, ніжні шво, USB-порты і зарадныя кабелі пад яркім святлом ліхтарыка (не выкарыстоўвайце паўторна пакінутыя без нагляду кабелі)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Што адбываецца, калі вы правяраеце вымярэнні цэласнасці загрузкі / TPM?"}

    BootBehavior -->|"BitLocker / TPM раптам патрабуе 48-значны ключ аднаўлення АБО Secure Boot паказвае адключанае / змененае"| BootTamper["ПАЦВЕРДЖАНАЯ ЗМЯНА ШЛЯХУ ЗАГРУЗКІ: TPM PCR (0, 2, 4, 7) Выяўлена мадыфікаванае прашыўка BIOS, дадатковае ПЗУ або загрузнік EFI"]

    BootBehavior -->|"Нармальна загружаецца (або правяраецца толькі для чытання праз знешні Live USB)"| LogCheck["КРОК 2: Аўдыт ACPI Lid-Open/Wake Logs & USB Connection History падчас вашага акна адсутнасці"]

    LogCheck -->|"Журналы паказваюць, што вечка адкрыта, USB-прылада падключана або невытлумачальная перазагрузка, пакуль вас не было"| ConfirmedTouch["ПАТЦВЕРДЖАНЫ НЕСАНКЦЫЯНАВАНЫ ФІЗІЧНЫ ДОСТУП"]
    LogCheck -->|"Нуль падзей абуджэння, нуль прабелаў пры перазагрузцы, непашкоджаныя ўшчыльненні шруб і правераныя хэшы /boot"| CleanPass["Няма доказаў электроннага абуджэння або мадыфікацыі загрузкі -> Прымяніць пароль BIOS + Абарона DMA ядра + Палітыка поўнага выключэння"]

    BootTamper --> BurnDevice["НЕ ЎВОДЗІЦЕ ПАРОЛІ НА ГЭТАЙ МАШЫНЕ: каранціннае абсталяванне, адкліканне ўсіх воблачных сеансаў/ключоў SSH з чыстага тэлефона і крыміналістычны дыск Image"]
    ConfirmedTouch --> BurnDevice

5 тэхнічных вектараў атакі «Злой дзевы».¶

Каб ведаць, якія крыміналістычныя падказкі шукаць, зразумейце пяць фактычных метадаў, якія выкарыстоўваюцца падчас фізічных практычных нападаў на ноўтбукі і апаратныя кашалькі:

Этап 1: Судова-медыцынская экспертыза падазраванага пакінутага без нагляду ноўтбука (перад уваходам у сістэму)¶

Калі вы вяртаецеся ў свой нумар у гатэлі або атрымліваеце свой ноўтбук пасля памежнага агляду і хочаце даведацца, ці нехта адкрываў, прачынаўся або падключаў да яго прыладу падчас вашага адсутнасці, выканайце наступныя праверкі:

1. Крок 1: Аўдыт фізічнага порта, кабеля і шрубы шасі¶

1. Змесціце на каранцін усе кабелі, якія засталіся ў пакоі:
2. O.MG Cable або USB Ninja выглядае на 100 працэнтаў неадрозным ад сапраўднага плеценага кабеля Apple USB-C, кабеля Anker або адаптара Dell USB-C, аж да выгравіраваных лазерам серыйных нумароў на гільзе раздыма.
3. Калі вы пакінулі кабель USB-C, блок харчавання або USB-канцэнтратар без нагляду ў асяроддзі высокай рызыкі, спыніце падключаць яго лініі перадачы дадзеных да вашага ноўтбука; альбо заменіце яго заведама спраўным кабелем з запячатанай сумкі, альбо ўстаўце блакіравальнік дадзеных USB толькі для харчавання (USB прэзерватыў) у серыі з ім.
4. Праверце шрубы ніжняй вечка і шво пад святлом ліхтарыка:
5. Трымайце ліхтарык смартфона пад невялікім вуглом 15 градусаў ("заграбанне святла") насупраць кожнай галоўкі шрубы ўнізе вашага ноўтбука.
6. Завадскія шрубы, закручаныя адзін раз на зборачным прадпрыемстве, маюць чыстае аднастайнае анадаванае пакрыццё ўнутры зорчатых/крыжавых пазаў. Шруба, якую адкруцілі ў гасцінічным нумары сталёвай насадкай, паказвае яркія серабрыстыя металічныя драпіны ўнутры паглыблення для шрубы, парушаны сіні/чырвоны пыл фіксатара разьбы або невялікае зрушэнне ніжняй алюмініевай пласціны ўздоўж заціскаў задняй вентыляцыйнай адтуліны.

2. Крок 2: Праверка журналаў абуджэння АС, адкрыцця вечка і перазагрузкі (ці ўключыўся ноўтбук, калі вас не было?)¶

Запомніце дакладны час, калі вы знаходзіліся ўдалечыні ад ноўтбука (напрыклад, 12:15 PM to 01:45 PM). Нават калі зламыснік загружае Live USB-назапашвальнік, нечаканы разрыў або халодная загрузка ў часе бесперабойнай працы вашай АС, або падзея ACPI Lid-Open падчас гэтага акна, даказвае, што ноўтбук быў фізічна маніпуляваны:

У macOS (MacBook Air / MacBook Pro):¶

Адкрыйце Тэрмінал і запусціце гэту каманду, каб адлюстраваць кожную асобную апаратную падзею Адкрыццё вечка, закрыццё вечка, абуджэнне, сон і ўключэнне/выключэнне з Кантролера кіравання сістэмай (SMC / PMU) за апошнія 24 гадзіны:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

У Linux (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Праверыць systemd-journald для любых падзей загрузкі/выключэння або пераходаў вечка/сну падчас вашай адсутнасці:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. Праверце, што ваш незашыфраваны /boot і /boot/efi падзелы НЕ былі зменены, пакуль машына была выключана: Праверце дакладна Modify і Change (ctime) пазнакі часу inode кожнага вобраза ядра, initramfs, і GRUB Двайковы файл EFI ўнутры /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Калі ёсць файл унутры /boot або /boot/efi мае а Change або Modify пазнака часу, калі вы былі па-за памяшканнем, або з моманту апошняга apt/dnf абнаўленне ядра, ваш загрузнік быў падроблены.)

У Windows 10/11:¶

Адкрыйце акно Administrator PowerShell і запытвайце журнал сістэмных падзей пры кожным уключэнні (ID 12), Выключэнне (ID 13), Сон (ID 42), Прачнуцца ад сну (ID 1 / ID 107) і нечаканая страта магутнасці (ID 41) за апошнія 24 гадзіны:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Фаза 2: Чаму Apple Silicon Mac & Modern TPM 2.0 + PIN Сістэмы цяжэй паддаюцца «злой дзеве» (і як іх правільна наладзіць)¶

Не ўсе ноўтбукі аднолькава ўразлівыя да фізічнага ўмяшання. Вось як працуюць сучасныя апаратныя карані даверу і дакладныя налады, якія вы павінны ўключыць:

1. Apple Silicon MacBook (M1, M2, M3, M4)¶

Apple Silicon Mac з'яўляюцца аднымі з найбольш устойлівых да Evil-Maid спажывецкіх наўтбукаў, калі-небудзь створаных, калі выключаны (S5) і наладжаны з дапамогай FileVault + Firmware/Recovery Security: - Загрузачнае ПЗУ выгравіравана ў нязменным крэмніі ўнутры SoC серыі M (Hardware Root of Trust). Кожны этап ланцужка загрузкі (iBoot -> macOS Kernel -> Крыптаграфічна падпісаны сістэмны том SSV) перад выкананнем правяраецца апаратным ключом Apple. - Мікрасхемы NAND для захоўвання дадзеных апаратна зашыфраваны Secure Enclave (AES-XTS) з выкарыстаннем ключоў, прывязаных да вашага пароля FileVault, з апаратнымі абмежаваннямі хуткасці ўдару. - Тры абавязковыя налады, якія вы павінны праверыць на сваім MacBook прама зараз: 1. FileVault УКЛЮЧАН: Сістэмныя налады > Прыватнасць і бяспека > FileVault -> УКЛЮЧАН. 2. Адключыць аўтаматычны ўваход і патрабаваць пароль адразу ў рэжыме сну: Сістэмныя налады > Экран блакіроўкі -> Патрабаваць пароль пасля запуску застаўкі або выключэння дысплея -> Неадкладна. 3. Блакіраваць несанкцыянаваныя аксэсуары USB / Thunderbolt, калі яны заблакіраваны: перайдзіце ў Сістэмныя налады > Канфідэнцыяльнасць і бяспека > Дазволіць падключэнне аксесуараў і ўсталюйце "Запытваць новыя аксэсуары" або "Пытаць кожны раз" (ніколі "Аўтаматычна пры разблакіраванні" або "Заўсёды"). Калі ўстаноўлена "Пытаць кожны раз", падключэнне a BadUSB інжэктар націску клавішы або інструмент Thunderbolt DMA у заблакаваны MacBook пераводзіць порт у рэжым толькі сілкавання і блакуе ўвесь пералік дадзеных PCIe/USB на ўзроўні апаратнага кантролера.

2. Windows 10 / 11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

Па змаўчанні на 99 працэнтах ноўтбукаў Windows (Dell, Lenovo, HP, Surface) BitLocker наладжана ў "TPM-Only" Рэжым (Празрыстая праца): - Калі вы націснеце кнопку харчавання на a TPM-Only Ноўтбук BitLocker, ноутбук загружаецца адразу з экрана блакіроўкі Windows, не запытваючы PIN-код BitLocker, што азначае, што чып TPM аўтаматычна расшыфраваў галоўны ключ дыска (VMK) і загрузіў АС Windows у аператыўную памяць. - На любым ноўтбуку, які выкарыстоўвае дыскрэтны чып TPM, падлучаны да працэсара праз мацярынскую плату SPI або LPC аўтобус, зламыснік, які адкрывае ніжнюю крышку і замацоўвае лагічны аналізатар коштам 50 долараў на чыпе TPM MOSI/MISO штыфт чытае ваш галоўны ключ гучнасці BitLocker (VMK) адразу з провада за 5 секунд (BitPixie / TPM-Sniffing), не ведаючы вашага пароля Windows. - Загрузка аж да экрана ўваходу ў Windows таксама адкрывае ядро ​​Windows, стэк Wi-Fi і шыну PCIe без нагляду.

Як уключыць абавязковы PIN-код запуску перад загрузкай BitLocker (TPM + PIN) у Windows за 2 хвіліны:¶

Даданне PIN-кода BitLocker перад загрузкай прымушае апаратнае забеспячэнне TPM 2.0 чып, каб ключ шыфравання дыска быў заблакіраваны ўнутры абароненага ад несанкцыянаванага доступу крэмнія, пакуль вы фізічна не ўвядзеце свой PIN-код перад загрузкай з 6 да 20 сімвалаў на чорным экране BIOS/BitLocker: 1. Прэса Win + R, увядзіце gpedit.msc і націсніце Enter (у Windows 10/11 Pro, Enterprise або Education). 2. Перайдзіце да: Канфігурацыя кампутара > Адміністрацыйныя шаблоны > Кампаненты Windows > Шыфраванне дыска BitLocker > Дыскі аперацыйнай сістэмы. 3. Двойчы пстрыкніце "Патрабаваць дадатковую аўтэнтыфікацыю пры запуску", усталюйце для яго значэнне Уключана і ўсталюйце Наладзіць PIN-код запуску TPM: на Require startup PIN with TPM. 4. Адкрыйце Камандны радок адміністратара або PowerShell і ўсталюйце новы PIN-код BitLocker перад загрузкай (каб дазволіць літарна-лічбавыя фразы-паролі, таксама ўключыце "Дазволіць пашыраныя PIN-коды для запуску" у той жа папцы групавой палітыкі):

manage-bde -protectors -add C: -TPMAndPIN

3. Linux (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

На ноўтбуках Linux (Ubuntu, Fedora, Debian, Arch, Qubes OS), стандартны LUKS поўнадыскавае шыфраванне ўжо патрабуе ад вас увесці парольную фразу перад загрузкай перад тым, як дыск разблакіруецца, што спыняе пасіўнае праслухоўванне шыны TPM. Аднак стандартныя ўстаноўкі Linux пакідаюць /boot (initramfs і vmlinuz) у незашыфраваным выглядзе, што робіць іх уразлівымі для класічнай 2-хвіліннай USB Evil Maid /boot замена, калі вы не выканаеце наступныя тры этапы ўмацавання: 1. Усталюйце надзейны пароль кіраўніка UEFI / BIOS і адключыце загрузку з вонкавага USB/сеткі: - Увайдзіце ў BIOS вашага ноўтбука (F2, F1, F10, або Del пры ўключэнні) -> перайдзіце ў Бяспека > Пароль адміністратара / супервізора і ўсталюйце надзейную парольную фразу, каб зламыснік не мог націснуць F12 пры загрузцы, каб загрузіць USB-назапашвальнік. 2. Уключыць бяспечную загрузку UEFI + зарэгістраваць карыстальніцкія ключы / падпісаныя ўніфікаваныя выявы ядра (sbctl + UKI): - Такія інструменты, як sbctl (Arch, Fedora, Debian, Ubuntu) аб'яднаць ядро ​​Linux, камандны радок ядра і initramfs у адзіны Уніфікаваны вобраз ядра з крыптаграфічным подпісам (UKI .efi) праверана вашым апаратным ключом бяспечнай загрузкі UEFI (PK / KEK / db). Калі злая дзева змяняе адзін байт вашага initramfs, прашыўка UEFI адмаўляецца загружаць яго і паказвае чырвонае папярэджанне Парушэнне бяспечнай загрузкі перад тым, як вы ўводзіце пароль LUKS. 3. Праверыць IOMMU / Kernel DMA Protection і ўсталяваць USBGuard: - Праверце, ці актыўна ядро ​​Linux IOMMU (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") і ўсталяваць usbguard (sudo apt install usbguard), каб заблакіраваць новыя ўстаўленыя HID клавіятуры (03:*:*), калі ваш экран заблакіраваны.

Этап 3: самаробныя пломбы для выяўлення фізічнага ўмяшання для паездак з высокай рызыкай ("Лак для пазногцяў з бляскам" і Haven)¶

Афіцэры спецслужбаў, даследчыкі апаратнага забеспячэння і журналісты, якія займаюцца расследаваннямі, выкарыстоўваюць два недарагія, непадробныя метады выяўлення фізічнага ўмяшання:

1. Шрубавая пячатка «Лак для пазногцяў з бляскам + макрафота» (Uncounterfeitable Entropy)¶

Стандартныя камерцыйныя галаграфічныя налепкі "ПУСКІ, КАЛІ ВЫДАЛЕНЫ" можна набыць на Amazon за 10 долараў, ачысціць і замяніць ідэнтычнай налепкай. Бліскучы лак для пазногцяў матэматычна немагчыма падрабіць: 1. Купіце бутэльку празрыстага лаку для пазногцяў, напоўненага рознакаляровымі рознакалібернымі металічнымі бліскаўкамі за 5 долараў. 2. Намалюйце невялікім бліскучым лакам для пазногцяў два ўтопленыя шрубы ніжняй вечка (злучаючы галоўку шрубы з навакольным металам корпуса) і ніжні шво вашага ноўтбука (або папярок стужкі, якая герметызуе мяккую сумку для ноўтбука). 3. Пасля таго, як яна высахне, зрабіце макрафатаграфію ў высокім разрозненні кожнай бліскучай пячаткі з дапамогай камеры смартфона (якая застаецца ў вас у кішэні). 4. Чаму зламыснік не можа яго перамагчы: нават калі зламыснік мае пры сабе лак для пазногцяў той жа маркі, выпадковая двухмерная геаметрычная арыентацыя, размеркаванне колеру і вуглы перакрыцця 80 асобных бліскучых шматкоў утвараюць унікальны фізічны адбітак пальца. Калі вы вернецеся ў свой гасцінічны нумар, зрабіце другі фотаздымак шрубавай пломбы з таго ж ракурсу і параўнайце фатаграфіі "Да" і "Пасля" на вашым тэлефоне: калі адзін шрубу павярнуць хоць бы на 5 градусаў, бліскучы малюнак прыкметна зрушыцца.

2. Ператварэнне старога запаснога тэлефона Android у фізічны датчык пранікнення ў гасцінічным нумары (Haven дадатак)¶

• Бясплатнае прыкладанне для Android з адкрытым зыходным кодам, створанае Guardian Project і Freedom of the Press FoundationHaven: Keep Watch** ператварае любы запасны тэлефон Android у дэтэктар руху, гуку, вібрацыі (акселерометр) і навакольнага асвятлення.
• Перад тым, як пакінуць ноўтбук у сейфе або скрыні нумара гатэля, запусціце запасны тэлефон Haven прама на вашым ноўтбуку ў закрытай шуфлядзе або сумцы: калі хто-небудзь адкрые шуфляду (змяніўшы паказанні датчыка навакольнага асвятлення) або дакранецца да ноўтбука, Haven бясшумна робіць фатаграфіі, запісвае аўдыё і адпраўляе зашыфраванае абвестку Сігнал на асноўны тэлефон у вашай кішэні.

3. Бяспечнае перасячэнне міжнародных межаў і дадатковыя праверкі ў аэрапорце¶

Калі вы падарожнічаеце за мяжу праз юрысдыкцыі з высокай рызыкай, дзе мытнікі або памежнікі могуць забраць ноўтбукі і тэлефоны з поля зроку: 1. Падарожнічайце са спецыяльным ноўтбукам і тэлефонам "Clean Travel / Burner": ніколі не пераносіце асноўную карпаратыўную працоўную станцыю, пажыццёвае сховішча пароляў або ключы SSH праз межы высокай рызыкі. Вазьміце з сабой чысты Chromebook або ноўтбук з толькі што створаным вобразам, які змяшчае толькі пэўныя файлы, неабходныя для гэтай паездкі, і атрымлівайце доступ да канфідэнцыяльнай працы выключна праз сеанс аддаленага працоўнага стала з аўтэнтыфікацыяй пасля прыбыцця. 2. Цалкам выключыць сілкаванне (S5) За 10 хвілін да ўваходу ў мытню: цалкам выключыце ноўтбук і тэлефон (Power Off) перад выхадам з самалёта, каб DRAM цалкам разладзілася і біяметрычная разблакіроўка (Face ID / Touch ID) адключаецца на карысць надзейнай літарна-лічбавай фразы-пароля.

Рэгіянальныя нумары экстраных службаў і пратаколы агенцтваў¶

Аб фізічным умяшанні ў камп'ютарнае абсталяванне, устанаўленні тайных апаратных кейлоггераў або несанкцыянаваным шпіянажы на мяжы/гатэлі трэба паведамляць у нацыянальныя органы контрразведкі і кіберабароны:

• Злучаныя Штаты і Канада:
• Аварыйныя службы: набярыце 911 калі вы выявіце зламысніка ў вашым гасцінічным нумары або рэзідэнцыі.
• Федэральнае бюро расследаванняў (FBI) Аддзел контрразведкі і кіберпрасторы / IC3: Калі вы амерыканскі падарожнік, абаронны падрадчык, даследчык або кіраўнік, чый ноўтбук або тэлефон быў падроблены за мяжой або ў гасцініцы, паведаміце аб інцыдэнце ў мясцовы Аддзел контрразведкі ФБР або па адрасе ic3.gov і cisa.gov/report (захавайце падроблены кабель або ноўтбук некранутымі ў сумцы Фарадэя для лабараторнага аналізу ФБР).
• Канадская служба бяспекі і разведкі (CSIS) & Cyber Center: Тэлефануйце 1-833-CYBER-88 або звярніцеся ў CSIS (613-993-9620) за падазрэнне на фальсіфікацыю іншароднай фізічнай прылады.
• Вялікабрытанія:
• Аварыйныя службы: набярыце 999 (або 101 для паліцыі).
• Нацыянальны цэнтр кібербяспекі (NCSC) і Упраўленне нацыянальнай аховы (NPSA): Урад Вялікабрытаніі, акадэмічныя і прадпрыемствы, якія падарожнічаюць, павінны прытрымлівацца Інструкцый NCSC / NPSA па прыладах для замежных падарожжаў і паведамляць аб падазрэнні на фізічнае ўмяшанне ў абсталяванне праз ncsc.gov.uk.
• Еўрапейскі саюз:
• Аварыйныя службы: набярыце 112 ва ўсіх краінах ЕС.
• Нацыянальныя CSIRT / Агенцтвы ўнутранай бяспекі (ANSSI Францыя, BSI Германія, AIVD/NCSC-NL Нідэрланды): Паведаміце аб падазрэнні на ўбудаванне ўбудаванага праграмнага забеспячэння або абсталявання ў нацыянальны CSIRT для судовай праверкі SPI/UEFI апаратнага забеспячэння.
• Аўстралія і Новая Зеландыя:
• Аварыйныя службы: набярыце 000 у Аўстраліі або 111 у Новай Зеландыі.
• Аўстралійскі цэнтр кібербяспекі (ACSC / ASD) & ASIO Outreach: Тэлефануйце 1300 CYBER1 (1300 292 371).
• Індыя і Азіяцка-Ціхаакіянскі рэгіён:
• Індыя (CERT-In / Экстраная сітуацыя): Набярыце 112 у паліцыю або паведамляйце аб інцыдэнтах з бяспекай абсталявання/праграмнага забеспячэння incident@cert-in.org.in.

Часта задаюць пытанні¶

Чаму мой ноўтбук з Windows раптам перастаў нармальна загружацца і запытаў мой 48-значны ключ аднаўлення BitLocker адразу пасля таго, як я пакінуў яго ў сваім гасцінічным нумары?¶

Калі BitLocker уключаны на ноўтбуку Windows, абсталяванне Модуль даверанай платформы (`TPM 2.0`) вымярае крыптаграфічны хэш SHA-256 вашай прашыўкі BIOS/UEFI (`PCR 0`), дадатковыя ПЗУ (`PCR 2`), Дыспетчар загрузкі UEFI (`PCR 4`), і стан бяспечнай загрузкі (`PCR 7`) кожны раз, калі ноўтбук уключаецца. Калі нехта дакрануўся да вашага ноўтбука, калі вы былі па-за памяшканнем, і ён раптам спыніўся на сінім экране з патрабаваннем вашага 48-значнага ключа аднаўлення BitLocker, адбылося адно з двух: альбо толькі што ўстаноўлена законнае абнаўленне BIOS, або нехта змяніў ваш парадак загрузкі BIOS, адключыў бяспечную загрузку, загрузіў знешні USB-назапашвальнік або змяніў прашыўку загрузніка, выклікаючы змяненне хэшаў TPM PCR і запускаючы блакіроўку BitLocker супраць несанкцыянаванага доступу. Не ўводзьце свой 48-значны ключ аднаўлення пакуль вы не праверыце журналы BIOS і ланцужок загрузкі, таму што ўвод ключа аднаўлення ў сапсаванае асяроддзе загрузкі агаляе ваш дыск.

Калі я заблакіраваў свой экран Windows або Mac (Win+L / Ctrl+Cmd+Q) перш чым сысці ў кавярню ці гасцініцу, можа хто-небудзь узламаць яго праз порт USB-C?¶

Гэта залежыць ад двух налад: па-першае, калі хтосьці падключае a Інжэктар націску клавіш BadUSB (`Flipper Zero` або `Rubber Ducky`) у заблакаваны ноўтбук, фальшывая клавіятура можа ўводзіць толькі ў поле пароля на экране блакіроўкі (яна не можа адкрыць тэрмінал, калі экран заблакаваны). Па-другое, аднак, калі ноўтбук мае больш стары Порт Thunderbolt 3/4 або USB4 без уключанай абароны ядра DMA, спецыялізаваны апаратны інструмент PCIe DMA (`PCILeech`) можа чытаць і запісваць сістэмную аператыўную памяць непасрэдна праз шыну PCIe, калі экран заблакіраваны. Уключэнне Абарона DMA ядра у Windows (`System Information > Kernel DMA Protection: On`) або ўстаноўка macOS **Дазволіць падключэнне аксесуараў -> Пытаць кожны раз** цалкам блакуе доступ да даных USB-C/Thunderbolt, калі экран заблакіраваны.

Ці магу я прасканаваць убудаванае праграмнае забеспячэнне UEFI / BIOS маёй мацярынскай платы знутры Linux або Windows, каб даведацца, ці не ўсталявала злая дзева ўбудаванае праграмнае забеспячэнне?¶

так. Інструменты бяспекі прашыўкі з адкрытым зыходным кодам, у прыватнасці, распрацаваныя Intel і даследчыкамі бяспекі ЧЫПСЕК (`github.com/chipsec/chipsec`) і fwupd (`fwupdmgr security`) на Linux дазваляе вам ствараць жывы вобраз флэш-памяці SPI непасрэдна з мацярынскай платы (`chipsec_util spi dump rom.bin`), праверце, ці працуе апаратная абарона BIOS ад запісу (`BIOS_CNTL` `BLE`/`BWE` біты і `PR0-PR4` Protected Range registers) належным чынам заблакаваны, і параўнайце свой крыптаграфічны хэш SPI flash з афіцыйным выявай BIOS вытворцы.

Ці бяспечна замыкаць мой ноўтбук або апаратны крыптакашалёк у электронным сейфе гасцінічнага нумара?¶

Ніколі не спадзявайцеся на стандартны электронны сейф з клавіятурай у гасцінічным нумары, каб абараніцца ад нападу Злой пакаёўкі. Амаль у кожным гасцінічным электронным сейфе ёсць універсальная механічная замочная свідравіна, схаваная за пластыкавым значком з лагатыпам на пярэдняй панэлі, а таксама заводскі галоўны код адмены (`000000` або `999999`), вядомы персаналу гатэля. Калі ваш адзіны варыянт - сейф у гасцінічным нумары, пастаўце выключаны ноўтбук у яго серыйны ахоўны мяшок з абаронай ад фальсіфікацыі (або нанёс сфатаграфаваны бліскучы лак для пазногцяў на шво), каб вы адразу даведаліся, ці дакраналіся да вашай прылады.

Што такое «Гібернацыя»S4)" супраць "Сон (S3 / S0ix)", і ці абараняе спячы рэжым ад атак RAM / DMA Evil Maid?¶

Калі ўваходзіць ноўтбук спаць (`S3` або `S0ix`), мікрасхемы аператыўнай памяці застаюцца ўключанымі і захоўваюць расшыфраваныя ключы шыфравання дыска ў энерганезалежнай памяці. Калі ноўтбук ўводзіць true Гібернацыя (`S4`), аперацыйная сістэма запісвае змесціва аператыўнай памяці ў зашыфраваны файл спячага рэжыму (`hiberfil.sys` або зашыфраваны своп) на зашыфраваны SSD, ачышчае галоўныя ключы шыфравання дыска і цалкам адключае электрычнае сілкаванне мацярынскай платы і аператыўнай памяці (гэтак жа, як поўнае адключэнне). Такім чынам, абодва **Поўнае адключэнне (`S5`)** і **Гібернацыя (`S4`) на дыску, абароненым перадзагрузачным PIN-кодам BitLocker або парольнай фразай LUKS**, абараніце вашу аператыўную памяць ад DMA і нападаў халоднай загрузкі, пры ўмове, што бяспечная загрузка і пароль BIOS прадухіляюць `/boot` фальсіфікацыя.

Звязаныя даведнікі¶

• Блакіроўшчык дадзеных публічнага зараднага кіёска (USB прэзерватыў) і ўвядзенне BadUSB HID
• Блакіроўка ключа аднаўлення шыфравання BitLocker, FileVault і LUKS і скід TPM
• Абнаўленне ўбудаванага праграмнага забеспячэння BIOS і UEFI, страта харчавання і рэтраспекцыя Dual-BIOS
• Скрадзены ноўтбук або тэлефон: выдаленае выдаленне і блакіроўка ўліковага запісу
• Уцечка кашалька криптовалюты і кампраметацыя пачатковай фразы
• Нумары экстраных службаў па краінах

Крыніцы і афіцыйнае кіраўніцтва¶

• Нацыянальны інстытут стандартаў і тэхналогій (NIST) (Злучаныя Штаты): Спецыяльная публікацыя 800-147B (Інструкцыі па абароне BIOS для сервераў і працоўных станцый) і SP 800-155 (Інструкцыі па вымярэнні цэласнасці BIOS).
• Агенцтва нацыянальнай бяспекі (NSA) і Агенцтва па кібербяспецы і бяспецы інфраструктуры (CISA) (Злучаныя Штаты): * Узмацненне бяспечнай загрузкі UEFI, модуль даверанай платформы (TPM 2.0) Канфігурацыя PIN-кода перад загрузкай і змякчэнне прамога доступу да памяці Thunderbolt/PCIe (DMA) Атакі*.
• Нацыянальны цэнтр кібербяспекі (NCSC) і Упраўленне нацыянальнай аховы (NPSA) (Злучанае Каралеўства): Бяспека фізічных прылад у ланцужку паставак і замежных паездках, пячаткі з прыкметамі несанкцыянаванага доступу і праверка цэласнасці загрузкі.
• Дакументацыя па бяспецы абсталявання Microsoft і ядро Linux IOMMU / fwupd Спецыфікацыя бяспекі хаста (HSI): Абарона ядра DMA (VT-d / AMD-Vi) і супрацьдзеянне BitLocker супраць дыскрэтнага праслухоўвання шыны TPM.