Подправяне на физическо устройство (атака „Зла прислужница“): Проверка на лаптоп без надзор и DMA втвърдяване¶

Връщането в хотелска стая, зона за вторична проверка на митницата на летището, конферентен салон за високоговорители или споделено коуъркинг бюро, за да откриете, че вашият лаптоп, смартфон или хардуерен портфейл с криптовалута е бил докоснат, преместен, събуден от сън или отворен, докато сте извън полезрението ви, е инцидент с висока степен на физическа сигурност, известен в криптографията и контраразузнаването като Атака на злата прислужница (измислен от изследователя по сигурността Джоана Рутковска). Класическа софтуерна защитна стена или антивирусна програма предполага, че нападателят е от другата страна на интернет; нападателят на Evil Maid има физически практически достъп до вашия хардуер за 2 до 30 минути, докато сте на закуска, на среща или сте задържани в стая за проверка. В зависимост от сложността на нападателя, 90 секунди физически достъп са достатъчни, за да включите BadUSB гумено патенце с инжектиране на клавиши или PCIe/Thunderbolt директен достъп до паметта (DMA) прехвърлете устройство в заспал лаптоп, закачете $15 CH341A SPI флаш програматор върху BIOS чипа на дънната платка или подушете некриптирания LPC/SPI TPM шина, сменете вашия USB-C кабел за зареждане с имплантен кабел за безжичен кийлогър (O.MG Cable), или заменете некриптирания /boot преграда (initramfs), така че той улавя вашата парола за криптиране на целия диск следващия път, когато я въведете. За атаки на павилиони за USB зареждане на летищата, консултирайте се блокери на данни за павилион за обществено зареждане и инжектиране на BadUSB HID; ако вашето устройство BitLocker, FileVault или LUKS внезапно поиска ключ за възстановяване при зареждане, след като някой е докоснал вашия лаптоп, вижте Блокирането на ключа за възстановяване на шифроване на BitLocker, FileVault и LUKS и нулиране на TPM; и ако устройството ви е взето за постоянно, превключете на откраднат лаптоп или телефон дистанционно изтриване и заключване на акаунт. Ако сте в непосредствена физическа опасност или сте изправени пред незаконно задържане, обадете се на местния номер за спешни повиквания (911 в Съединените щати и Канада, 112 в целия Европейски съюз, 999 в Обединеното кралство) или се консултирайте с нашия указател за международни номера за спешни случаи.

Направете това сега¶

1. НЕ въвеждайте своето криптиране на целия диск (BitLocker / LUKS / FileVault) парола, парола за влизане в ОС или главна парола в подозрителния лаптоп, ако внезапно поиска парола или ключ за възстановяване, след като е оставен без надзор:
2. Класическата атака Evil Maid замества некриптирания буутлоудър или initramfs изображение на лаптоп, на който липсва Measured Boot/Secure Boot enforcement (или включва прозрачен хардуерен USB keylogger донгъл между вашата клавиатура/докинг станция и лаптопа), така че още следващия път, когато въведете вашия LUKS или BitLocker парола, троянизираният буутлоудър записва вашата парола в обикновен текст и я предава или скрива на диска.
3. Преди да докоснете клавиатурата, извършете 60-секундна външна физическа проверка на всички портове, кабели и винтове на шасито под LED фенерчето на вашия телефон:
4. Изключете и проверете всеки USB-C, USB-A, HDMI, Ethernet и захранващ кабел, включен в лаптопа или поставен на бюрото ви в хотела. Нападателите често сменят стандартния бял Apple или черен USB-C кабел за зареждане на жертвата с идентичен на вид O.MG Cable / USB Ninja кабел (който съдържа скрита Wi-Fi точка за достъп и микроконтролер, скрит в корпуса на USB-C конектора, който инжектира натискания на клавиши и регистрира трафик).
5. Обърнете лаптопа с главата надолу и проверете винтовете на долния капак и гумените крачета: Потърсете пресни микроскопични метални неравности по P5 Pentalobe, Torx T5, или Phillips глави на винтове, липсващи тамперни уплътнения на дупки за винтове или шев в долния ъгъл, който не се изравнява, защото шасито е било набързо отворено, за да се прикрепи вътрешен SPI светкавица или M.2 PCIe имплант.
6. Проверете дали вашият лаптоп е бил оставен в режим на заспиване/готовност (S3 / S0ix Модерен режим на готовност)" срещу "Напълно изключен (S5 / Хибернация S4)" докато е без надзор:
7. Ако вашият лаптоп просто е заспал (капакът е затворен), когато нападателят е осъществил достъп до него: Вашето Пълнодисково криптиране (BitLocker, FileVault, LUKS) главен ключ за шифроване на обем (VMK) седеше декриптиран в обикновен текст във непостоянния файл на вашия лаптоп DRAM чипове памет през цялото време. Нападател с Thunderbolt/USB4 DMA устройство (на по-стари системи без корекция), атака със замразяване на RAM при студено зареждане или известен байпас на заключен екран може да прочете активната памет, без да знае паролата ви.
8. Ако подозирате, че спящият лаптоп е манипулиран: Задръжте физическия Бутон за захранване натиснат за 10 пълни секунди, за да принудите незабавно твърдо изключване (изчистване на летливите DRAM ключове), вместо да отваряте капака и да влизате.
9. Стартиране от познато-чисто външно Live USB устройство само за четене (Ubuntu Live / Tails / SystemRescue съхранявани при вас през цялото време), за да проверите вътрешното устройство некриптирано /boot и EFI System Partition (ESP) хешове:
10. Ако използвате Linux с LUKS или Windows с BitLocker, зареждането от чист външен USB стик на отделна или проверена машина ви позволява да хеширате всеки файл /boot/efi/ (ESP) и /boot/initramfs-* (sha256sum) и проверете дали времевите клейма за модификация на дяла (stat) се промени точно през 2-часовия прозорец, през който сте били извън хотелската си стая.
11. Проверете регистрационните файлове на събитията на ОС (Windows Event Viewer, macOS unified log, Linux journalctl) от безопасна среда само за четене, за да видите дали капакът е бил отворен, дали е поставено USB устройство или машината е била рестартирана, докато ви е нямало:
12. Всяка съвременна операционна система записва неизменно хардуерно времево клеймо до милисекунда, когато ACPI Lid Switch се отвори, системата се събужда от заспиване (Kernel-Power Event ID 42 / 107 на Windows, Wake reason: EC.LidOpen на macOS), или нов USB VID:PID устройството е изброено в шината.
13. Ако сте високорискова цел (журналист, отбранителен изпълнител, изпълнителен директор, адвокат по правата на човека или подписващ крипто съкровищница) и откриете твърди доказателства за физическо отваряне на шасито, неочаквани BitLocker/TPM PCR нулирания или неоторизирани събития за събуждане, докато сте извън ваше притежание, третирайте хардуера като изгорен (Quarantine Device):
14. Не свързвайте подозрителния лаптоп към вашата корпоративна VPN или домашна Wi-Fi мрежа. Използвайте отделен, чист смартфон (който е останал в джоба ви), за да завъртите идентификационните си данни, да отмените активни сесии (отвличане на сесийни бисквитки и анулиране на парола) и прехвърляне на средства или тайни чрез чист хардуер.

Дърво на решения: оценка на необслужван лаптоп или устройство след съмнение за физически достъп¶

Следвайте този работен процес, за да определите дали вашето необслужвано устройство е било физически достъпено или модифицирано и какво ниво на коригиране е необходимо:

flowchart TD
    Start["Лаптоп, телефон или хардуерен портфейл, оставен без надзор в хотелска стая, гранична инспекция или пространство за съвместна работа"] --> StateCheck{"В какво състояние на мощност е бил лаптопът, докато не сте го притежавали?"}

    StateCheck -->|"Заспал/Режим на готовност (капакът е затворен, RAM захранва) ИЛИ е отключен"| HighRiskState["ВИСОК РИСК: Ключовете за шифроване на диска и сесийните бисквитки бяха живи в RAM (податливи на BadUSB, байпас на заключен екран или извличане на DMA/RAM)"]

    StateCheck -->|"Напълно изключен (студено изключване на S5)"| ColdState["ПО-НИСЪК РИСК от RAM: Ключовете не са били в RAM, така че нападателят трябва или да промени Bootloader (/boot / EFI), Flash SPI BIOS или Plant Hardware Keylogger"]

    HighRiskState --> PhysCheck["СТЪПКА 1: Проверете външните винтове, долния шев, USB портовете и кабелите за зареждане под ярко фенерче (не използвайте повторно оставени без надзор кабели)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Какво се случва, когато проверявате целостта на зареждането / измерванията на TPM?"}

    BootBehavior -->|"BitLocker / TPM внезапно изисква 48-цифрен ключ за възстановяване ИЛИ Secure Boot показва деактивирано / променено"| BootTamper["ПОТВЪРДЕНА ПРОМЯНА НА ПЪТЯ ЗА ЗАРЕЖДАНЕ: TPM PCR (0, 2, 4, 7) Открит модифициран BIOS фърмуер, допълнителен ROM или EFI Bootloader"]

    BootBehavior -->|"Зарежда се нормално (или инспектиран само за четене чрез външен Live USB)"| LogCheck["СТЪПКА 2: Одит на ACPI Lid-Open/Wake Logs & USB Connection History по време на вашия прозорец за отсъствие"]

    LogCheck -->|"Регистри показват отворен капак, включено USB устройство или необяснимо рестартиране, докато ви е нямало"| ConfirmedTouch["ПОТВЪРЖДЕН НЕОТОРИЗИРАН ФИЗИЧЕСКИ ДОСТЪП"]
    LogCheck -->|"Нула събуждащи събития, нулеви пропуски при рестартиране, непокътнати уплътнения на винтове и проверени хешове /boot"| CleanPass["Няма доказателства за електронно събуждане или модификация при зареждане -> Налагане на BIOS парола + DMA защита на ядрото + Правила за пълно изключване"]

    BootTamper --> BurnDevice["НЕ ВЪПЪЖДАЙТЕ ПАРОЛИ НА ТАЗИ МАШИНА: Хардуер под карантина, Отмяна на всички облачни сесии/SSH ключове от Clean Phone и Image Drive криминално"]
    ConfirmedTouch --> BurnDevice

5-те технически вектора на атака на "Зла прислужница".¶

За да знаете какви криминалистични улики да търсите, разберете петте действителни техники, използвани по време на физически атаки срещу лаптопи и хардуерни портфейли:

Фаза 1: Криминалистична проверка на заподозрян лаптоп без надзор (преди влизане)¶

Ако се върнете в хотелската си стая или получите лаптопа си обратно след гранична проверка и искате да знаете дали някой е отворил, събудил или включил устройство в него, докато сте отсъствали, изпълнете следните проверки по ред:

1. Стъпка 1: Одит на физическия порт, кабела и винта на шасито¶

1. Поставете под карантина всички кабели, които са били оставени в стаята:
2. един O.MG Cable или USB Ninja изглежда 100 процента неразличим от оригинален Apple USB-C вплетен кабел, кабел Anker или Dell USB-C адаптер, чак до лазерно гравираните серийни номера на ръкава на конектора.
3. Ако сте оставили USB-C кабел, захранваща тухла или USB хъб без надзор във високорискова среда, спрете да включвате неговите линии за данни във вашия лаптоп; или го заменете с известен добър кабел от вашия запечатан плик, или поставете захранващ USB блок за данни (USB презерватив) в серия с него.
4. Проверете винтовете и шева на долния капак под светлината на фенерчето:
5. Дръжте фенерчето на смартфона си под плитък 15-градусов ъгъл („разтърсваща светлина“) през главата на всеки винт в долната част на вашия лаптоп.
6. Фабричните винтове, затегнати веднъж в завода за сглобяване, имат чисто, равномерно анодизирано покритие вътре в слотовете звезда/кръст. Винт, който беше развит в хотелска стая със стоманен накрайник, показва ярки сребристи метални драскотини във вдлъбнатината на винта, нарушен син/червен прах от фиксатор на резби или леко разместване на долната алуминиева плоча по протежение на задните вентилационни скоби.

2. Стъпка 2: Проверка на регистрационните файлове за събуждане на ОС, отваряне на капака и рестартиране (включи ли се лаптопът, докато ви нямаше?)¶

Отбележете точния период от време, през който сте били далеч от лаптопа (например 12:15 PM to 01:45 PM). Дори ако нападател стартира Live USB стик, неочаквана празнина или студено зареждане във времето за работа на вашата операционна система или събитие ACPI Lid-Open по време на този прозорец, доказва, че лаптопът е бил физически манипулиран:

В macOS (MacBook Air / MacBook Pro):¶

Отворете Терминал и изпълнете тази команда, за да покажете всяко отделно хардуерно събитие Отворен капак, Затворен капак, събуждане, заспиване и включване/изключване от контролера за управление на системата (SMC / PMU) през последните 24 часа:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

На Linux (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Проверете systemd-journald за всякакви събития при зареждане/изключване или преходи на капак/заспиване по време на ваше отсъствие:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. Проверете дали сте некриптирани /boot и /boot/efi дяловете НЕ са били модифицирани, докато машината е била изключена: Проверете точното Modify и Change (ctime) inode timestamps на всяко изображение на ядрото, initramfs, и GRUB EFI двоичен вътре /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Ако има файл вътре /boot или /boot/efi има a Change или Modify клеймо за време, когато сте били извън стаята или от последното ви време apt/dnf актуализация на ядрото, вашият буутлоудър е манипулиран.)

В Windows 10/11:¶

Отворете прозорец на Administrator PowerShell и направете заявка в регистъра на системните събития за всяко включване (ID 12), Изключване (ID 13), Сън (ID 42), събуждане от сън (ID 1 / ID 107) и неочаквана загуба на мощност (ID 41) през последните 24 часа:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Фаза 2: Защо Apple Silicon Mac & Modern TPM 2.0 + PIN Системите са по-трудни за „Злата прислужница“ (и как да ги конфигурирате правилно)¶

Не всички лаптопи са еднакво уязвими на физически манипулации. Ето как работят съвременните хардуерни корени на доверие и точните настройки, които трябва да активирате:

1. Apple Silicon MacBook (M1, M2, M3, M4)¶

Apple Silicon Mac са сред най-устойчивите на Evil-Maid потребителски лаптопи, създавани някога, когато са изключени (S5) и конфигуриран с FileVault + Firmware/Recovery Security: - Зареждащият ROM е гравиран в неизменен силиций вътре в M-серията SoC (Hardware Root of Trust). Всеки етап от веригата за зареждане (iBoot -> macOS Kernel -> Криптографски подписан системен том SSV) се проверява от хардуерния ключ на Apple преди изпълнение. - NAND чиповете за съхранение са хардуерно криптирани от Secure Enclave (AES-XTS) с помощта на ключове, свързани с вашата парола за FileVault с хардуерни ограничения на скоростта против чукване. - Трите задължителни настройки, които трябва да проверите на вашия MacBook точно сега: 1. FileVault е ВКЛЮЧЕНО: Системни настройки > Поверителност и сигурност > FileVault -> ВКЛЮЧЕНО. 2. Деактивирайте автоматичното влизане и изисквайте парола незабавно при заспиване: Системни настройки > Заключен екран -> Изискване на парола след стартиране на скрийнсейвъра или дисплеят е изключен -> Веднага. 3. Блокиране на неоторизирани USB / Thunderbolt аксесоари, когато са заключени: Отидете на Системни настройки > Поверителност и сигурност > Разрешаване на свързване на аксесоари и го задайте на „Искане за нови аксесоари“ или „Питай всеки път“ (никога „Автоматично при отключване“ или „Винаги“). Когато е зададено на "Питай всеки път", включването на a BadUSB инжектор за натискане на клавиш или инструмент Thunderbolt DMA в заключен MacBook пуска порта в режим само на захранване и блокира цялото изброяване на PCIe/USB данни на ниво хардуерен контролер.

2. Windows 10 / 11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

По подразбиране на 99 процента от лаптопите с Windows (Dell, Lenovo, HP, Surface), BitLocker е конфигуриран в "TPM-Only" (Прозрачна работа) режим: - Когато натиснете бутона за захранване на a TPM-Only Лаптоп с BitLocker, лаптопът се зарежда направо към екрана за заключване на Windows, без да ви пита за PIN за BitLocker, което означава, че TPM чипът автоматично дешифрира главния ключ на устройството (VMK) и зареди операционната система Windows в RAM. - На всеки лаптоп, който използва дискретен TPM чип, свързан към процесора чрез дънната платка SPI или LPC автобус, нападател, който отваря долния капак и закача логически анализатор за $50 върху TPM чипа MOSI/MISO pin чете вашия обикновен ключ за сила на звука на BitLocker (VMK) направо от жицата за 5 секунди (BitPixie / TPM-Sniffing) без да знаете паролата си за Windows. - Зареждането до екрана за влизане в Windows също разкрива ядрото на Windows, Wi-Fi стека и PCIe шината, докато не се наблюдава.

Как да активирате задължителен BitLocker ПИН при стартиране преди зареждане (TPM + PIN) на Windows за 2 минути:¶

Добавянето на ПИН за BitLocker преди зареждане принуждава хардуера TPM 2.0 чип, за да запази ключа за шифроване на диска заключен в неговия устойчив на фалшифициране силикон, докато физически не въведете вашия ПИН код преди зареждане от 6 до 20 знака на черния екран на BIOS/BitLocker: 1. Натиснете Win + R, тип gpedit.msc и натиснете Enter (в Windows 10/11 Pro, Enterprise или Education). 2. Навигирайте до: Компютърна конфигурация > Административни шаблони > Компоненти на Windows > Шифроване на устройство с BitLocker > Дискове на операционна система. 3. Щракнете двукратно върху „Изискване на допълнително удостоверяване при стартиране“, задайте го на Активирано и задайте Конфигуриране на TPM стартиращ PIN: на Require startup PIN with TPM. 4. Отворете Administrator Command Prompt или PowerShell и задайте новия си ПИН код за BitLocker преди зареждане (за да разрешите буквено-цифрови пароли, активирайте и "Разрешаване на подобрени ПИН кодове за стартиране" в същата папка с групови правила):

manage-bde -protectors -add C: -TPMAndPIN

3. Linux (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

На лаптопи с Linux (Ubuntu, Fedora, Debian, Arch, Qubes OS), стандартен LUKS шифроването на целия диск вече изисква да въведете парола преди зареждане, преди устройството да се отключи, което спира пасивното подслушване на TPM шина. Стандартните инсталации на Linux обаче остават /boot (initramfs и vmlinuz) некриптирани, което ги прави уязвими за класическата 2-минутна USB Evil Maid /boot подмяна, освен ако не предприемете тези три стъпки за втвърдяване: 1. Задайте силна парола за надзорник на UEFI / BIOS и деактивирайте външно USB/мрежово зареждане: - Влезте в BIOS на вашия лаптоп (F2, F1, F10, или Del при включване) -> отидете на Сигурност > Парола на администратор/надзирател и задайте силна парола, така че нападателят да не може да натисне F12 при зареждане, за да заредите USB памет. 2. Активирайте UEFI Secure Boot + Enroll Custom Keys / Signed Unified Kernel Images (sbctl + UKI): - Инструменти като sbctl (Arch, Fedora, Debian, Ubuntu) обединява ядрото на Linux, командния ред на ядрото и initramfs в едно криптографски подписано Унифицирано изображение на ядрото (UKI .efi) потвърдено от вашия хардуерен ключ за UEFI Secure Boot (PK / KEK / db). Ако зла прислужница промени един байт от вашия initramfs, фърмуерът на UEFI отказва да го стартира и показва червено предупреждение Secure Boot Violation, преди да въведете паролата си за LUKS. 3. Проверете IOMMU / Kernel DMA Protection и Инсталирайте USBGuard: - Проверете дали ядрото на Linux IOMMU е активно (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") и инсталирайте usbguard (sudo apt install usbguard), за да блокирате нововмъкнато HID клавиатури (03:*:*), докато екранът ви е заключен.

Фаза 3: Направи си сам уплътнения за откриване на физически намеси за високорискови пътувания („Блестящ лак за нокти“ и Haven)¶

Офицери от разузнаването, изследователи на хардуер и разследващи журналисти използват две евтини, неподправени техники за откриване на физически манипулации:

1. Уплътнението на винта "Блестящ лак за нокти + макро снимка" (Uncounterfeitable Entropy)¶

Стандартните търговски холографски стикери „VOID IF REMOVED“ могат да бъдат закупени от Amazon за $10, отлепени и заменени с идентичен стикер. Блестящият лак за нокти е математически неподправен: 1. Купете бутилка за $5 прозрачен лак за нокти, пълен с многоцветни метални блестящи люспи с различни размери. 2. Нанесете малка капка блестящ лак за нокти върху два вдлъбнати винта на долния капак (свързващи главата на винта към околния метал на шасито) и през долния шев на вашия лаптоп (или през лентата, запечатваща вашата подплатена чанта за лаптоп). 3. След като изсъхне, направете макро снимка с висока разделителна способност на всеки блестящ печат с помощта на камерата на вашия смартфон (която остава в джоба ви). 4. Защо нападателят не може да го победи: Дори ако нападателят носи точно същата марка блестящ лак за нокти, произволната 2D геометрична ориентация, разпределение на цветовете и ъгли на припокриване на 80 отделни блестящи люспи образуват уникален физически пръстов отпечатък. Когато се върнете в хотелската си стая, направете втора снимка на уплътнението на винта от същия ъгъл и сравнете снимките „Преди“ и „След“ на телефона си: ако един винт беше завъртян дори с 5 градуса, шарката на блясъка се измества забележимо.

2. Превръщане на резервен стар телефон с Android във физически сензор за проникване в хотелска стая (Haven приложение)¶

• Създадено от Guardian Project и Freedom of the Press Foundation, безплатното приложение за Android с отворен код Haven: Keep Watch превръща всеки резервен телефон с Android в детектор за движение, звук, вибрация (акселерометър) и околна светлина.
• Преди да оставите лаптопа си в сейф или чекмедже на хотелска стая, поставете резервния телефон да работи Haven точно върху вашия лаптоп в затвореното чекмедже или чанта: ако някой отвори чекмеджето (променяйки показанията на сензора за околна светлина) или докосне лаптопа, Haven безшумно прави снимки, записва аудио и изпраща криптиран Сигнал предупреждение до основния телефон в джоба ви.

3. Безопасно пресичане на международни граници и вторични проверки на летището¶

Ако пътувате в международен план през високорискови юрисдикции, където митническите или граничните служители могат да изнесат лаптопи и телефони извън полезрението им: 1. Пътувайте със специален лаптоп и телефон "Clean Travel / Burner": Никога не пренасяйте вашата основна корпоративна работна станция, хранилище за доживотни пароли или SSH ключове през високорискови граници. Носете чист Chromebook или лаптоп с прясно изображение, съдържащ само конкретните файлове, необходими за това пътуване, и осъществявайте достъп до поверителна работа строго през удостоверена сесия на отдалечен работен плот след пристигането. 2. Изключете напълно (S5) 10 минути преди влизане в митницата: Изключете напълно лаптопа и телефона (Power Off) преди да слезете от самолета, така че DRAM да се разпадне напълно и биометрично отключване (Face ID / Touch ID) е деактивиран в полза на силна буквено-цифрова фраза за достъп.

Регионални номера за спешни повиквания и протоколи на агенцията¶

Физическа манипулация на компютърен хардуер, поставяне на тайни хардуерни кийлогъри или неоторизиран граничен/хотелски шпионаж трябва да се докладва на националните агенции за контраразузнаване и киберзащита:

• САЩ и Канада:
• Спешни услуги: Наберете 911 ако откриете натрапник във вашата хотелска стая или жилище.
• Федерално бюро за разследване (FBI) Отдел за контраразузнаване и кибернетично пространство / IC3: Ако сте американски пътешественик, отбранителен изпълнител, изследовател или изпълнителен директор, чийто лаптоп или телефон е бил манипулиран в чужбина или в хотел, докладвайте за инцидента на вашия местен Контраразузнавателен отряд на ФБР или на ic3.gov и cisa.gov/report (запазете повредения кабел или лаптопа недокоснати в чанта Faraday за съдебномедицински лабораторен анализ на ФБР).
• Канадската разузнавателна служба за сигурност (CSIS) & Кибер център: Обадете се 1-833-CYBER-88 или се свържете с CSIS (613-993-9620) за предполагаемо подправяне на чуждо физическо устройство.
• Обединено кралство:
• Спешни услуги: Наберете 999 (или 101 за полицията).
• Национален център за киберсигурност (NCSC) & Национален орган за защита и сигурност (NPSA): Пътуващите от правителството, академичните среди и предприятията в Обединеното кралство трябва да следват NCSC / NPSA указания за устройства за задгранични пътувания и да съобщават за предполагаемо физическо хардуерно манипулиране чрез ncsc.gov.uk.
• Европейски съюз:
• Спешни услуги: Наберете 112 във всички страни членки на ЕС.
• Национални CSIRT/агенции за вътрешна сигурност (ANSSI Франция, BSI Германия, AIVD/NCSC-NL Холандия): Докладвайте предполагаем фърмуер или хардуерни импланти на вашия национален CSIRT за криминалистична проверка на хардуера SPI/UEFI.
• Австралия и Нова Зеландия:
• Спешни услуги: Наберете 000 в Австралия или 111 в Нова Зеландия.
• Австралийски център за киберсигурност (ACSC / ASD) & ASIO Outreach: Обадете се 1300 CYBER1 (1300 292 371).
• Индия и Азиатско-тихоокеанския регион:
• Индия (CERT-In / Спешно): Наберете 112 за полиция или докладвайте за инциденти със сигурността на хардуера/фърмуера на incident@cert-in.org.in.

Често задавани въпроси¶

Защо лаптопът ми с Windows изведнъж спря да се зарежда нормално и поиска моя 48-цифрен ключ за възстановяване на BitLocker веднага след като го оставих в хотелската си стая?¶

Когато BitLocker е активиран на лаптоп с Windows, хардуерът Доверен платформен модул (`TPM 2.0`) измерва криптографския SHA-256 хеш на вашия BIOS/UEFI фърмуер (`PCR 0`), допълнителни ROM (`PCR 2`), UEFI Boot Manager (`PCR 4`) и състояние на защитено зареждане (`PCR 7`) всеки път, когато лаптопът се включи. Ако някой докосне лаптопа ви, докато сте били извън стаята, и той внезапно спре на син екран, изискващ вашия 48-цифрен ключ за възстановяване на BitLocker, се е случило едно от двете неща: или току-що инсталирана законна актуализация на BIOS, или някой е променил реда на стартиране на вашия BIOS, деактивирал е Secure Boot, стартирал е външен USB стик или е модифицирал фърмуера на вашия буутлоудър, което води до промяна на хешовете на TPM PCR и задейства блокирането на BitLocker против подправяне. Не въвеждайте своя 48-цифрен ключ за възстановяване докато не проверите регистрационните файлове на BIOS и веригата за зареждане, тъй като въвеждането на вашия ключ за възстановяване в среда за подправено зареждане излага вашето устройство.

Ако заключа екрана на Windows или Mac (Win+L / Ctrl+Cmd+Q) преди да отидете в кафене или хотел, може ли някой да го хакне през USB-C порта?¶

Зависи от две настройки: Първо, ако някой включи a BadUSB инжектор за натискане на клавиши (`Flipper Zero` или `Rubber Ducky`) в заключен лаптоп, фалшивата клавиатура може да въвежда само в полето за парола на заключения екран (не може да отвори терминал, докато екранът е заключен). Второ обаче, ако лаптопа е с по-стар Thunderbolt 3/4 или USB4 порт без активирана DMA защита на ядрото, специализиран PCIe DMA хардуерен инструмент (`PCILeech`) може да чете и записва системна RAM директно през PCIe шината, докато екранът е заключен. Активиране DMA защита на ядрото в Windows (`System Information > Kernel DMA Protection: On`) или настройка на macOS **Разрешаване на свързване на аксесоари -> Питай всеки път** блокира напълно USB-C/Thunderbolt достъп до данни, докато екранът е заключен.

Мога ли да сканирам UEFI/BIOS фърмуера на дънната си платка от Linux или Windows, за да видя дали Evil Maid е внедрил имплант на фърмуер?¶

да Инструменти за защита на фърмуера с отворен код, разработени по-специално от Intel и изследователи по сигурността CHIPSEC (`github.com/chipsec/chipsec`) и fwupd (`fwupdmgr security`) на Linux, ви позволяват да изхвърлите вашето SPI флаш ROM изображение на живо директно от дънната платка (`chipsec_util spi dump rom.bin`), проверете дали хардуерната BIOS защита от запис (`BIOS_CNTL` `BLE`/`BWE` битове и `PR0-PR4` Protected Range registers) е правилно заключен и сравнете вашия SPI флаш криптографски хеш с официалния BIOS образ на производителя.

Безопасно ли е да заключа моя лаптоп или хардуерен крипто портфейл в електронен сейф на хотелска стая?¶

Никога не разчитайте на стандартен сейф с електронна клавиатура в хотелска стая, за да се предпазите от атака на Evil Maid. Почти всеки хотелски електронен сейф има универсална механична байпасна ключалка, скрита зад пластмасовата значка с лого на предния панел, както и фабричен главен код за отмяна (`000000` или `999999`), познат на персонала на хотела. Ако сейфът в хотелската стая е единствената ви възможност, поставете изключен лаптоп вътре защитена от подправяне серийна защитна чанта (или нанесете фотографирано запечатване с бляскав лак за нокти върху шева), така че веднага да разберете дали вашето устройство е било докоснато.

Какво е "хибернация (S4)" срещу "Сън (S3 / S0ix)", и хибернацията защитава ли от атаки на RAM / DMA Evil Maid?¶

Когато влезе лаптоп сън (`S3` или `S0ix`)RAM чиповете остават включени и държат вашите декриптирани дискови ключове за криптиране в енергонезависима памет. Когато лаптоп влезе true Хибернация (`S4`), операционната система записва съдържанието на RAM в шифрован файл за хибернация (`hiberfil.sys` или шифрован суап) на шифрования SSD, изчиства главните ключове за криптиране на диска и прекъсва изцяло електрическото захранване на дънната платка и RAM паметта (точно като пълно изключване). Следователно и двете **Пълно изключване (`S5`)** и **хибернация (`S4`) на устройство, защитено с BitLocker PIN преди зареждане или LUKS парола** защита на вашата RAM от DMA и атаки при студено зареждане, при условие че Secure Boot и парола за BIOS предотвратяват `/boot` подправяне.

Свързани ръководства¶

• Блокиране на данни в павилион за обществено зареждане (USB презерватив) и инжектиране на BadUSB HID
• Блокирането на ключа за възстановяване на шифроване на BitLocker, FileVault и LUKS и нулиране на TPM
• Тухла за актуализиране на фърмуера на BIOS и UEFI, загуба на захранване и Dual-BIOS Flashback
• Откраднат лаптоп или телефон: дистанционно изтриване и блокиране на акаунт
• Източване на портфейла на криптовалута и компрометиране на начална фраза
• Номера за спешни повиквания по държави

Източници и официални указания¶

• Национален институт по стандарти и технологии (NIST) (САЩ): Специална публикация 800-147B (Указания за защита на BIOS за сървъри и работни станции) & SP 800-155 (Указания за измерване на целостта на BIOS).
• Агенция за национална сигурност (NSA) & Агенция за киберсигурност и сигурност на инфраструктурата (CISA) (САЩ): * Втвърдяване на UEFI Secure Boot, Trusted Platform Module (TPM 2.0) Конфигуриране на ПИН преди стартиране и смекчаване на Thunderbolt/PCIe директен достъп до паметта (DMA) Атаки*.
• Национален център за киберсигурност (NCSC) & Национален орган за защита и сигурност (NPSA) (Обединеното кралство): Сигурност на физическите устройства във веригата за доставки и задграничните пътувания, запечатвания срещу фалшифициране и проверка на целостта на зареждането.
• Документация за хардуерна сигурност на Microsoft и Linux ядро IOMMU / fwupd Спецификация за сигурност на хоста (HSI): DMA защита на ядрото (VT-d / AMD-Vi) и BitLocker контрамерки срещу дискретно подслушване на TPM шина.