Ometanje fizičkog uređaja (napad 'Zle sluškinje'): pregled prijenosnog računala bez nadzora i DMA otvrdnjavanje¶

Povratak u hotelsku sobu, prostor za sekundarnu inspekciju carine u zračnoj luci, konferencijski govornički salon ili zajednički coworking stol da otkrijete da je vaše prijenosno računalo, pametni telefon ili hardverski novčanik za kriptovalutu dodirnut, pomaknut, probuđen iz stanja mirovanja ili otvoren dok vam nije bilo vidljivo predstavlja fizički sigurnosni incident visokog rizika poznat u kriptografiji i protuobavještajnoj službi kao napad "Zle sluškinje" (koja je osmislila istraživačica sigurnosti Joanna Rutkowska). Klasični softverski vatrozid ili antivirusni program pretpostavlja da je napadač s druge strane interneta; napadač Evil Maid ima fizički praktičan pristup vašem hardveru u trajanju od 2 do 30 minuta dok ste odsutni na doručku, na sastanku ili ste zadržani u inspekcijskoj sobi. Ovisno o sofisticiranosti napadača, 90 sekundi fizičkog pristupa dovoljno je da se priključi BadUSB guma za ubrizgavanje pritiskom na tipku ili PCIe/Thunderbolt izravni pristup memoriji (DMA) ubacite uređaj u prijenosno računalo koje spava, pričvrstite CH341A SPI flash programator za 15 USD na BIOS čip matične ploče ili ponjuškajte nešifrirani LPC/SPI TPM sabirnica, zamijenite svoj USB-C kabel za punjenje kabelom implantata bežičnog keyloggera (O.MG Cable), ili zamijenite nešifrirani /boot pregrada (initramfs) tako da bilježi vašu zaporku za šifriranje cijelog diska sljedeći put kada je upišete. Za napade kioska za USB punjenje u zračnim lukama, konzultirajte se blokatori podataka kioska za javno punjenje i BadUSB HID injection; ako vaš BitLocker, FileVault ili LUKS pogon iznenada traži ključ za oporavak pri pokretanju nakon što je netko dirao vaše prijenosno računalo, pogledajte Zaključavanje ključa za oporavak šifriranja BitLocker, FileVault i LUKS i ponovno postavljanje TPM-a; i ako je vaš uređaj trajno uzet, prijeđite na daljinsko brisanje ukradenog prijenosnog računala ili telefona i zaključavanje računa. Ako ste u neposrednoj fizičkoj opasnosti ili ste suočeni s nezakonitim pritvaranjem, nazovite svoj lokalni broj za hitne slučajeve (911 u Sjedinjenim Državama i Kanadi, 112 diljem Europske unije, 999 u Ujedinjenom Kraljevstvu) ili pogledajte naš imenik međunarodnih hitne brojeve.

Učinite to sada¶

1. NEMOJTE upisivati šifriranje cijelog diska (BitLocker / LUKS / FileVault) lozinku, lozinku za prijavu u OS ili glavnu lozinku u sumnjivo prijenosno računalo ako iznenada traži lozinku ili ključ za oporavak nakon što je ostavljeno bez nadzora:
2. Klasični napad Evil Maid zamjenjuje nešifrirani bootloader ili initramfs slika na prijenosnom računalu kojemu nedostaje mjereno pokretanje/sigurno pokretanje (ili uključuje prozirni hardverski USB keylogger ključ između vaše tipkovnice/priključne stanice i prijenosnog računala) tako da sljedeći put kada upišete LUKS ili BitLocker zaporku, trojanizirani bootloader bilježi vašu zaporku u otvorenom tekstu i šalje je ili skriva na disku.
3. Prije nego dodirnete tipkovnicu, izvršite 60-sekundni vanjski fizički pregled svih priključaka, kabela i vijaka kućišta ispod LED svjetiljke vašeg telefona:
4. Isključite i provjerite svaki USB-C, USB-A, HDMI, Ethernet i kabel za napajanje uključen u prijenosno računalo ili koji se nalazi na vašem hotelskom stolu. Napadači često mijenjaju žrtvin standardni bijeli Apple ili crni USB-C kabel za punjenje za identičan O.MG Cable / USB Ninja kabel (koji sadrži skrivenu Wi-Fi pristupnu točku i mikrokontroler skriven unutar ljuske USB-C konektora koji ubacuje pritiske tipki i bilježi promet).
5. Okrenite prijenosno računalo naopako i pregledajte vijke donjeg poklopca i gumene nožice: potražite svježe mikroskopske metalne brazde na P5 Pentalobe, Torx T5, ili Phillips glave vijaka, nedostajuće zaštitne brtve na rupama za vijke ili šav na donjem kutu koji nije u ravnini jer je kućište na brzinu otvoreno kako bi se pričvrstila unutarnja SPI flash kopča ili M.2 PCIe implantat.
6. Provjerite je li vaše prijenosno računalo ostalo u stanju mirovanja/pripravnosti (S3 / S0ix Moderno stanje pripravnosti)" u odnosu na "Potpuno isključeno (S5 / U hibernaciji S4)" bez nadzora:
7. Ako je vaše prijenosno računalo samo spavalo (poklopac zatvoren) kada mu je napadač pristupio: Vaša Šifriranje cijelog diska (BitLocker, FileVault, LUKS) glavni ključ za šifriranje volumena (VMK) nalazio se dešifriran u običnom tekstu unutar nestabilnog prijenosnog računala DRAM memorijskih čipova cijelo vrijeme. Napadač s Thunderbolt/USB4 DMA uređajem (na starijim sustavima bez zakrpa), napadom zamrzavanjem RAM-a pri hladnom pokretanju ili poznatim zaobilaženjem zaključanog zaslona mogao bi čitati aktivnu memoriju bez da zna vašu lozinku.
8. Ako sumnjate da je uspavano prijenosno računalo petljano: držite fizičku Gumb za uključivanje pritisnutim punih 10 sekundi kako biste nametnuli trenutačno čvrsto isključivanje (čišćenje nepostojanih DRAM ključeva) umjesto da otvorite poklopac i prijavite se.
9. Pokretanje s poznatog čistog vanjskog Live USB-a samo za čitanje (Ubuntu Live / Tails / SystemRescue stalno pri sebi) kako biste provjerili nekriptirani interni pogon /boot i EFI System Partition (ESP) hashevi:
10. Ako koristite Linux sa LUKS ili Windows sa BitLocker, dizanje s čistog vanjskog USB sticka na zasebnom ili provjerenom stroju omogućuje vam raspršivanje svake datoteke /boot/efi/ (ESP) i /boot/initramfs-* (sha256sum) i provjerite jesu li vremenske oznake izmjene particije (stat) promijenio se tijekom točno 2-satnog prozora u kojem ste bili izvan svoje hotelske sobe.
11. Provjerite zapisnike događaja OS-a (Windows Event Viewer, macOS unified log, Linux journalctl) iz sigurnog okruženja samo za čitanje da vidite je li poklopac otvoren, je li umetnut USB uređaj ili je stroj ponovno pokrenut dok vas nije bilo:
12. Svaki moderni operativni sustav bilježi nepromjenjivu vremensku oznaku hardvera do milisekunde svaki put kada se ACPI Lid Switch otvori, sustav se budi iz stanja mirovanja (Kernel-Power Event ID 42 / 107 na Windowsima, Wake reason: EC.LidOpen na macOS-u) ili novi USB VID:PID uređaj je naveden na sabirnici.
13. Ako ste visokorizična meta (novinar, obrambeni poduzetnik, rukovoditelj, odvjetnik za ljudska prava ili potpisnik kripto riznice) i pronađete čvrste dokaze o fizičkom otvaranju kućišta, neočekivanim poništavanjima BitLocker/TPM PCR-a ili neovlaštenim događajima buđenja dok niste u vašem posjedu, tretirajte hardver kao spaljen (Quarantine Device):
14. Nemojte spajati sumnjivo prijenosno računalo na svoj poslovni VPN ili kućni Wi-Fi. Upotrijebite zaseban, čisti pametni telefon (koji vam je ostao u džepu) za rotiranje vjerodajnica, opoziv aktivnih sesija (otimanje kolačića sesije i opoziv zaporke) i prijenos sredstava ili tajni korištenjem čistog hardvera.

Stablo odlučivanja: procjena prijenosnog računala ili uređaja bez nadzora nakon sumnje na fizički pristup¶

Slijedite ovaj tijek rada kako biste utvrdili je li vašem nenadziranom uređaju fizički pristupljeno ili izmijenjeno i koja je razina popravka potrebna:

flowchart TD
    Start["Laptop, telefon ili hardverski novčanik ostavljen bez nadzora u hotelskoj sobi, graničnoj inspekciji ili coworking prostoru"] --> StateCheck{"U kojem je stanju napajanja bilo prijenosno računalo dok ga niste posjedovali?"}

    StateCheck -->|"Stanje mirovanja/pripravnosti (poklopac zatvoren, uključen RAM) ILI otključan"| HighRiskState["VISOKI RIZIK: ključevi za šifriranje diska i kolačići sesije bili su živi u RAM-u (osjetljivi na BadUSB, premosnicu zaključanog zaslona ili DMA/RAM ekstrakciju)"]

    StateCheck -->|"Potpuno isključen (hladno isključivanje S5)"| ColdState["NIŽI RIZIK RAM-a: Ključevi nisu bili u RAM-u, pa napadač mora ili izmijeniti Bootloader (/boot / EFI), Flash SPI BIOS ili Plant Hardware Keylogger"]

    HighRiskState --> PhysCheck["1. KORAK: Pregledajte vanjske vijke, donji šav, USB priključke i kabele za punjenje pod jakom svjetiljkom (nemojte ponovno koristiti kabele bez nadzora)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Što se događa kada provjerite integritet pokretanja / TPM mjerenja?"}

    BootBehavior -->|"BitLocker / TPM iznenada zahtijeva 48-znamenkasti ključ za oporavak ILI sigurno pokretanje prikazuje onemogućeno / promijenjeno"| BootTamper["POTVRĐENA PROMJENA PUTA ZA POKRETANJE: TPM PCR-ovi (0, 2, 4, 7) Otkriveni modificirani firmware BIOS-a, opcijski ROM ili EFI Bootloader"]

    BootBehavior -->|"Pokreće se normalno (ili pregledano samo za čitanje putem vanjskog Live USB-a)"| LogCheck["KORAK 2: Revizija ACPI Lid-Open/Wake Logs & USB Connection History tijekom vašeg prozora odsutnosti"]

    LogCheck -->|"Dnevnici pokazuju otvoren poklopac, priključen USB uređaj ili neobjašnjivo ponovno pokretanje dok vas nije bilo"| ConfirmedTouch["POTVRĐEN NEOVLAŠTENI FIZIČKI PRISTUP"]
    LogCheck -->|"Nula događaja buđenja, nula praznina pri ponovnom pokretanju, neoštećene brtve na vijcima & Verified /boot hashovi"| CleanPass["Nema dokaza o modifikaciji elektroničkog pokretanja ili pokretanja -> Nametni lozinku za BIOS + DMA zaštita kernela + Pravila potpunog isključivanja"]

    BootTamper --> BurnDevice["NE UPISAVAJTE LOZINKE NA OVOM STROJU: karantena hardvera, opoziv svih sesija u oblaku/SSH ključeva s čistog telefona i forenzički pogon slike"]
    ConfirmedTouch --> BurnDevice

5 tehničkih vektora napada "Zle sluškinje".¶

Da biste znali koje forenzičke tragove trebate potražiti, razumite pet stvarnih tehnika koje se koriste tijekom fizičkih napada na prijenosna računala i hardverske novčanike:

Faza 1: Forenzički pregled sumnjivog prijenosnog računala bez nadzora (prije prijave)¶

Ako se vratite u hotelsku sobu ili primite svoje prijenosno računalo nakon granične inspekcije i želite znati je li ga netko otvorio, probudio ili priključio uređaj dok ste bili odsutni, izvršite ove provjere redom:

1. Korak 1: Revizija fizičkog priključka, kabela i vijaka kućišta¶

1. Stavite u karantenu sve kablove koji su ostali u sobi:
2. O.MG Cable ili USB Ninja izgleda 100 posto nerazlučivo od originalnog Apple USB-C pletenog kabela, Anker kabela ili Dell USB-C adaptera, sve do laserski urezanih serijskih brojeva na rukavcu konektora.
3. Ako ste ostavili USB-C kabel, strujnu ciglu ili USB čvorište bez nadzora u visokorizičnom okruženju, prestanite spajati njegove podatkovne linije u svoje prijenosno računalo; ili ga zamijenite s poznatim dobrim kabelom iz zatvorene vrećice ili postavite samo za napajanje USB blokator podataka (USB kondom) u seriji s njim.
4. Provjerite vijke donjeg poklopca i šavove ispod svjetla svjetiljke za grabljenje:
5. Držite baterijsku svjetiljku svog pametnog telefona pod plitkim kutom od 15 stupnjeva ("raking light") preko svake glave vijka na dnu prijenosnog računala.
6. Tvornički vijci zategnuti jednom u tvornici za montažu imaju čistu, ujednačenu anodiziranu prevlaku unutar zvjezdastih/križnih utora. Vijak koji je odvrnut u hotelskoj sobi čeličnim nastavkom pokazuje svijetle srebrne metalne ogrebotine unutar udubljenja vijka, poremećenu plavo/crvenu prašinu od osiguravača navoja ili blago neusklađeno donje aluminijsko postolje duž stražnjih kvačica za ventilaciju.

2. Korak 2: Provjera zapisnika pokretanja OS-a, otvaranja poklopca i ponovnog pokretanja (je li se prijenosno računalo uključilo dok vas nije bilo?)¶

Zabilježite točan vremenski okvir u kojem ste bili odsutni od prijenosnog računala (na primjer, 12:15 PM to 01:45 PM). Čak i ako napadač pokrene Live USB stick, neočekivani jaz ili hladno pokretanje u vremenu rada vašeg OS-a ili događaj ACPI Lid-Open tijekom tog prozora, dokazuje da je prijenosno računalo fizički manipulirano:

Na macOS-u (MacBook Air / MacBook Pro):¶

Otvorite Terminal i pokrenite ovu naredbu za prikaz svakog pojedinačnog hardverskog događaja Otvaranje poklopca, Zatvaranje poklopca, buđenje, spavanje i uključivanje/isključivanje iz kontrolera upravljanja sustavom (SMC / PMU) u posljednja 24 sata:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

Na Linuxu (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Provjerite systemd-journald za sve događaje pokretanja/isključivanja ili prijelaza poklopac/spavanje tijekom vaše odsutnosti:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. Provjerite jeste li nekriptirani /boot i /boot/efi particije NISU mijenjane dok je stroj bio isključen: Provjerite točan Modify i Change (ctime) inode vremenske oznake svake slike kernela, initramfs, i GRUB EFI binarni unutra /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Ako postoji neka datoteka unutra /boot ili /boot/efi ima Change ili Modify vremenska oznaka kada ste bili izvan sobe ili od posljednjeg apt/dnf ažuriranje kernela, vaš bootloader je neovlašteno mijenjan.)

U sustavu Windows 10/11:¶

Otvorite prozor Administrator PowerShell i potražite zapisnik događaja sustava za svako uključivanje (ID 12), Isključivanje (ID 13), Spavanje (ID 42), Probuditi se iz sna (ID 1 / ID 107), i Neočekivani gubitak snage (ID 41) u zadnja 24 sata:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Faza 2: Zašto Apple Silicon Macovi i moderni TPM 2.0 + PIN Sustave je teže "zloj sluškinji" (i kako ih ispravno konfigurirati)¶

Nisu sva prijenosna računala podjednako osjetljiva na fizičko diranje. Evo kako funkcioniraju moderni hardverski korijeni povjerenja i točne postavke koje morate omogućiti:

1. Apple Silicon MacBook (M1, M2, M3, M4)¶

Apple Silicon Mac računala među potrošačkim prijenosnim računalima koja su najotpornija na Evil-Maid ikad napravljena kada su isključena (S5) i konfiguriran s FileVault + Firmware/Recovery Security: - ROM za pokretanje ugraviran je u nepromjenjivi silicij unutar M-serije SoC (Hardware Root of Trust). Svaka faza lanca pokretanja (iBoot -> macOS Kernel -> Kriptografski potpisani svezak sustava SSV) provjerava se Appleovim hardverskim ključem prije izvršenja. - NAND čipovi za pohranu hardverski su šifrirani pomoću Secure Enclave (AES-XTS) pomoću ključeva povezanih s vašom lozinkom za FileVault s hardverskim ograničenjima stope udara. - 3 obavezne postavke koje morate odmah provjeriti na svom MacBooku: 1. FileVault je UKLJUČEN: Postavke sustava > Privatnost i sigurnost > FileVault -> UKLJUČEN. 2. Onemogući automatsku prijavu i zahtijevaj lozinku odmah nakon mirovanja: Postavke sustava > Zaključani zaslon -> Zahtijevaj lozinku nakon pokretanja čuvara zaslona ili isključivanja zaslona -> Odmah. 3. Blokiraj neovlaštene USB / Thunderbolt dodatke kada su zaključani: Idite na Postavke sustava > Privatnost i sigurnost > Dopusti povezivanje dodataka i postavite na "Traži nove dodatke" ili "Pitaj svaki put" (nikada "Automatski kada se otključa" ili "Uvijek"). Kada je postavljeno na "Pitaj svaki put", priključivanje a BadUSB injektor pritiska tipke ili Thunderbolt DMA alat u zaključani MacBook ispušta port u način rada samo za napajanje i blokira sve popise PCIe/USB podataka na razini hardverskog kontrolera.

2. Windows 10 / 11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

Prema zadanim postavkama na 99 posto Windows prijenosnih računala (Dell, Lenovo, HP, Surface), BitLocker je konfiguriran u "TPM-Only" (Transparentni rad) način: - Kada pritisnete tipku za napajanje na a TPM-Only BitLocker prijenosno računalo, prijenosno računalo pokreće se izravno na zaključani zaslon sustava Windows bez traženja BitLocker PIN-a, što znači da je TPM čip automatski dešifrirao glavni ključ pogona (VMK) i učitao Windows OS u RAM. - Na bilo kojem prijenosnom računalu koje koristi diskretni TPM čip povezan s CPU-om putem matične ploče SPI ili LPC bus, napadač koji otvori donji poklopac i zakači logički analizator od 50 USD na TPM čip MOSI/MISO pin čita vaš čisti tekst BitLocker Volume Master Key (VMK) odmah sa žice za 5 sekundi (BitPixie / TPM-Sniffing) bez da znate svoju Windows lozinku. - Dizanje sve do zaslona za prijavu na Windows također izlaže Windows kernel, Wi-Fi stack i PCIe sabirnicu dok su bez nadzora.

Kako omogućiti obavezni BitLocker PIN prije pokretanja (TPM + PIN) na Windowsima u 2 minute:¶

Dodavanje PIN-a BitLocker prije pokretanja prisiljava hardver TPM 2.0 čip za držanje ključa za šifriranje diska zaključanim unutar silicija otpornog na neovlašteno korištenje dok fizički ne upišete svoj PIN prije pokretanja od 6 do 20 znakova na crnom BIOS/BitLocker zaslonu: 1. Pritisnite Win + R, tip gpedit.msc i pritisnite Enter (na Windows 10/11 Pro, Enterprise ili Education). 2. Idite do: Konfiguracija računala > Administrativni predlošci > Windows komponente > BitLocker šifriranje pogona > Pogoni operativnog sustava. 3. Dvaput kliknite "Zahtijeva dodatnu provjeru autentičnosti pri pokretanju", postavite ga na Omogućeno i postavite Konfiguriraj PIN za pokretanje TPM-a: na Require startup PIN with TPM. 4. Otvorite Administratorski naredbeni redak ili PowerShell i postavite svoj novi BitLocker PIN prije pokretanja (kako biste omogućili alfanumeričke zaporke, također omogućite "Dopusti poboljšane PIN-ove za pokretanje" u istoj mapi pravila grupe):

manage-bde -protectors -add C: -TPMAndPIN

3. Linux (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

Na prijenosnim računalima s Linuxom (Ubuntu, Fedora, Debian, Arch, Qubes OS), standardno LUKS enkripcija cijelog diska već zahtijeva da unesete zaporku prije pokretanja prije nego se pogon otključa, što zaustavlja pasivno njuškanje TPM sabirnice. Međutim, standardne instalacije Linuxa ostaju /boot (initramfs i vmlinuz) nekriptirani, što ih čini ranjivima na klasičnu 2-minutnu USB Evil Maid /boot zamjena osim ako ne poduzmete ova tri koraka otvrdnjavanja: 1. Postavite snažnu UEFI / BIOS lozinku nadzornika i onemogućite vanjsko USB/mrežno pokretanje: - Unesite BIOS prijenosnog računala (F2, F1, F10, ili Del pri uključivanju) -> idite na Sigurnost > Lozinka administratora/nadzornika i postavite jaku zaporku kako napadač ne bi mogao pritisnuti F12 pri pokretanju za učitavanje USB sticka. 2. Omogući UEFI Secure Boot + Enroll Custom Keys / Signed Unified Kernel Images (sbctl + UKI): - Alati poput sbctl (Arch, Fedora, Debian, Ubuntu) spajaju jezgru Linuxa, naredbeni redak jezgre i initramfs u jednu kriptografski potpisanu Objedinjenu sliku jezgre (UKI .efi) potvrđeno vašim hardverskim ključem UEFI Secure Boot (PK / KEK / db). Ako Zla sluškinja modificira jedan vaš bajt initramfs, UEFI firmware ga odbija pokrenuti i prikazuje crveno upozorenje Secure Boot Violation prije nego što upišete svoju LUKS lozinku. 3. Potvrdi IOMMU / Kernel DMA Protection i Instaliraj USBGuard: - Provjerite je li Linux kernel IOMMU aktivan (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") i instalirajte usbguard (sudo apt install usbguard) za blokiranje novoumetnutog HID tipkovnice (03:*:*) dok je zaslon zaključan.

Faza 3: DIY pečati za otkrivanje fizičkog neovlaštenog otvaranja za visokorizična putovanja ("Svjetlucavi lak za nokte" & Haven)¶

Obavještajni službenici, istraživači hardvera i istraživački novinari koriste dvije jeftine tehnike otkrivanja neovlaštenih fizičkih promjena:

1. "Svjetlucavi lak za nokte + makro fotografija" pečat za navoj (Uncounterfeitable Entropy)¶

Standardne komercijalne holografske naljepnice "VOID IF REMOVED" mogu se kupiti na Amazonu za 10 dolara, skinuti ih i zamijeniti identičnom naljepnicom. Svjetlucavi lak za nokte matematički se ne može krivotvoriti: 1. Kupite bočicu prozirnog laka za nokte ispunjenog raznobojnim metalik svjetlucavim pahuljicama od 5 dolara. 2. Nanesite malu mrlju svjetlucavog laka za nokte preko dva udubljena vijka na donjem poklopcu (premošćuju glavu vijka s okolnim metalom kućišta) i preko donjeg spoja vašeg prijenosnog računala (ili preko trake koja brtvi vašu podstavljenu torbu za prijenosno računalo). 3. Nakon što se osuši, snimite makro fotografiju visoke rezolucije svakog svjetlucavog pečata pomoću kamere pametnog telefona (koja ostaje u vašem džepu). 4. Zašto ga napadač ne može pobijediti: Čak i ako napadač nosi potpuno istu marku svjetlucavog laka za nokte, nasumična 2D geometrijska orijentacija, raspodjela boja i kutovi preklapanja 80 pojedinačnih svjetlucavih pahuljica čine jedinstveni fizički otisak prsta. Kada se vratite u svoju hotelsku sobu, snimite drugu fotografiju brtve vijka iz istog kuta i usporedite fotografije "Prije" i "Poslije" na svom telefonu: ako je jedan vijak okrenut za čak 5 stupnjeva, svjetlucavi uzorak se primjetno pomiče.

2. Pretvaranje rezervnog starog Android telefona u fizički senzor upada u hotelskoj sobi (Haven aplikacija)¶

• Stvorili Guardian Project i Freedom of the Press Foundation, besplatnu Android aplikaciju otvorenog koda Haven: Keep Watch svaki dodatni Android telefon pretvara u detektor pokreta, zvuka, vibracija (akcelerometar) i ambijentalnog svjetla.
• Prije nego što ostavite prijenosno računalo u sefu ili ladici hotelske sobe, stavite rezervni telefon da radi Haven točno na vrhu prijenosnog računala unutar zatvorene ladice ili torbe: ako bilo tko otvori ladicu (mijenjajući očitanje senzora ambijentalnog svjetla) ili dotakne prijenosno računalo, Haven tiho snima fotografije, snima zvuk i šalje šifrirano upozorenje Signal na primarni telefon u vašem džepu.

3. Siguran prelazak međunarodnih granica i sekundarni pregledi u zračnoj luci¶

Ako putujete u inozemstvo kroz visokorizične jurisdikcije gdje carinski ili granični službenici mogu uzeti prijenosna računala i telefone izvan vidokruga: 1. Putujte s namjenskim prijenosnim računalom i telefonom "Clean Travel / Burner": Nikada nemojte nositi svoju primarnu korporativnu radnu stanicu, doživotni trezor zaporki ili SSH ključeve preko visokorizičnih granica. Nosite čisti Chromebook ili svježe snimljeno prijenosno računalo koje sadrži samo određene datoteke potrebne za to putovanje i pristupite osjetljivim poslovima isključivo putem autentificirane sesije udaljene radne površine nakon dolaska. 2. Potpuno isključite (S5) 10 minuta prije ulaska u carinarnicu: potpuno isključite laptop i telefon (Power Off) prije izlaska iz zrakoplova kako bi se DRAM potpuno raspao i biometrijsko otključavanje (Face ID / Touch ID) je onemogućen u korist jake alfanumeričke šifre.

Regionalni brojevi za hitne slučajeve i protokoli agencija¶

Fizičko diranje u računalni hardver, postavljanje tajnih hardverskih keyloggera ili neovlaštenu graničnu/hotelsku špijunažu treba prijaviti nacionalnim agencijama za protuobavještajnu službu i kibernetičku obranu:

• Sjedinjene Države i Kanada:
• Hitne službe: Birajte 911 ako otkrijete uljeza u svojoj hotelskoj sobi ili rezidenciji.
• Federalni istražni biro (FBI) Protuobavještajni i kibernetički odjel / IC3: Ako ste putnik iz SAD-a, vojni poduzetnik, istraživač ili izvršni direktor čije je prijenosno računalo ili telefon neovlašteno manipulirao u inozemstvu ili u hotelu, prijavite incident svom lokalnom FBI-jevom odjelu za protuobavještajne poslove ili na ic3.gov i cisa.gov/report (sačuvajte neovlašteni kabel ili prijenosno računalo nedirnuto u Faraday torbi za FBI-evu forenzičku laboratorijsku analizu).
• Kanadska sigurnosno-obavještajna služba (CSIS) & Cyber Centre: Nazovite 1-833-CYBER-88 ili kontaktirajte CSIS (613-993-9620) za sumnju na neovlašteno rukovanje stranim fizičkim uređajem.
• Ujedinjeno Kraljevstvo:
• Hitne službe: Birajte 999 (ili 101 za policiju).
• Nacionalni centar za kibernetičku sigurnost (NCSC) & Nacionalna zaštitna sigurnosna uprava (NPSA): Vlada Ujedinjenog Kraljevstva, akademski i poslovni putnici trebali bi slijediti NCSC / NPSA upute za uređaje za prekomorska putovanja i prijaviti sumnju na neovlašteno oštećenje fizičkog hardvera putem ncsc.gov.uk.
• Europska unija:
• Hitne službe: Birajte 112 u svim zemljama članicama EU.
• Nacionalni CSIRT-ovi/Domaće sigurnosne agencije (ANSSI Francuska, BSI Njemačka, AIVD/NCSC-NL Nizozemska): prijavite sumnju na firmver ili hardverske implantate svom nacionalnom CSIRT-u radi forenzičke provjere hardvera SPI/UEFI.
• Australija i Novi Zeland:
• Hitne službe: Birajte 000 u Australiji ili 111 na Novom Zelandu.
• Australski centar za kibernetičku sigurnost (ACSC / ASD) & ASIO Outreach: Nazovite 1300 CYBER1 (1300 292 371).
• Indija i Azija-Pacifik:
• Indija (CERT-In / Hitna pomoć): Birajte 112 za policiju ili prijavite hardverske/firmverske sigurnosne incidente na incident@cert-in.org.in.

Često postavljana pitanja¶

Zašto se moje Windows prijenosno računalo odjednom prestalo normalno pokretati i tražilo moj 48-znamenkasti BitLocker ključ za oporavak odmah nakon što sam ga ostavio u hotelskoj sobi?¶

Kada je BitLocker omogućen na Windows prijenosnom računalu, hardver Trusted Platform Module (`TPM 2.0`) mjeri kriptografski SHA-256 hash vašeg BIOS/UEFI firmvera (`PCR 0`), opcijski ROM-ovi (`PCR 2`), UEFI Boot Manager (`PCR 4`), i stanje sigurnog pokretanja (`PCR 7`) svaki put kada se laptop uključi. Ako je netko dotaknuo vaše prijenosno računalo dok ste bili izvan sobe i ono se iznenada zaustavi na plavom ekranu tražeći vaš 48-znamenkasti ključ za oporavak BitLockera, dogodila se jedna od dvije stvari: ili legitimno ažuriranje BIOS-a upravo instalirano, ili je netko promijenio redoslijed pokretanja vašeg BIOS-a, onemogućio Secure Boot, pokrenuo vanjski USB stick ili izmijenio firmware vašeg pokretačkog programa, uzrokujući promjenu TPM PCR hashova i aktivirajući BitLockerovo zaključavanje protiv neovlaštenog otvaranja. Nemojte unositi svoj 48-znamenkasti ključ za oporavak dok ne pregledate zapise BIOS-a i lanac pokretanja, jer upisivanje ključa za oporavak u neovlašteno okruženje pokretanja izlaže vaš pogon.

Ako zaključam svoj Windows ili Mac zaslon (Win+L / Ctrl+Cmd+Q) prije nego što odete u kafić ili hotel, može li ga netko ipak hakirati putem USB-C priključka?¶

Ovisi o dvije postavke: Prvo, ako netko priključi a BadUSB injektor pritiska tipke (`Flipper Zero` ili `Rubber Ducky`) u zaključano prijenosno računalo, lažna tipkovnica može upisivati samo u okvir za lozinku na zaključanom zaslonu (ne može otvoriti terminal dok je zaslon zaključan). Drugo, međutim, ako laptop ima stariji Thunderbolt 3/4 ili USB4 priključak bez omogućene Kernel DMA Protection, specijalizirani PCIe DMA hardverski alat (`PCILeech`) može čitati i pisati RAM sustava izravno preko PCIe sabirnice dok je zaslon zaključan. Omogućavanje DMA zaštita jezgre u sustavu Windows (`System Information > Kernel DMA Protection: On`) ili postavka macOS **Dopusti povezivanje pribora -> Pitaj svaki put** u potpunosti blokira USB-C/Thunderbolt pristup podacima dok je zaslon zaključan.

Mogu li skenirati UEFI/BIOS firmware svoje matične ploče unutar Linuxa ili Windowsa da vidim je li Zla Sluškinja bljeskala ugrađeni firmware?¶

Da. Sigurnosni alati firmvera otvorenog koda razvili su Intel i posebno istraživači sigurnosti CHIPSEC (`github.com/chipsec/chipsec`) i fwupd (`fwupdmgr security`) na Linuxu, omogućuju vam da izbacite živu SPI flash ROM sliku izravno s matične ploče (`chipsec_util spi dump rom.bin`), provjerite je li hardverska BIOS zaštita od pisanja (`BIOS_CNTL` `BLE`/`BWE` bitovi i `PR0-PR4` Protected Range registers) pravilno zaključan i usporedite svoj SPI flash kriptografski hash sa slikom BIOS-a službenog proizvođača.

Je li sigurno zaključati moje prijenosno računalo ili hardverski kripto novčanik unutar elektroničkog sefa hotelske sobe?¶

Nikad se ne oslanjajte na standardni sef s elektroničkom tipkovnicom hotelske sobe za zaštitu od napada Zle sluškinje. Gotovo svaki hotelski elektronički sef ima univerzalnu mehaničku premosnu ključanicu skrivenu iza plastične značke s logotipom na prednjoj ploči, kao i tvornički glavni kod za poništavanje (`000000` ili `999999`) poznato osoblju hotela. Ako vam je sef u hotelskoj sobi jedina opcija, stavite svoje isključeno prijenosno računalo unutra serijska sigurnosna vrećica koja je evidentna neovlaštena (ili nanesite fotografirani svjetlucavi lak za nokte preko šava) kako biste odmah znali je li vaš uređaj dodirnut.

Što je "hibernacija (S4)" u odnosu na "Spavanje (S3 / S0ix)", i štiti li Hibernacija od napada RAM-a/DMA Evil Maid-a?¶

Kad uđe laptop spavanje (`S3` ili `S0ix`), RAM čipovi ostaju uključeni i čuvaju ključeve šifriranja dešifriranog diska u nestabilnoj memoriji. Kada laptop unese true Hibernacija (`S4`), operativni sustav zapisuje sadržaj RAM-a u šifriranu datoteku hibernacije (`hiberfil.sys` ili kriptirani swap) na kriptiranom SSD-u, čisti glavne ključeve za šifriranje diska i potpuno prekida napajanje matične ploče i RAM-a (baš kao potpuno gašenje). Stoga, oba **Potpuno isključivanje (`S5`)** i **Hibernacija (`S4`) na pogonu zaštićenom BitLocker PIN-om prije pokretanja ili LUKS zaporkom** zaštitite svoj RAM od DMA i napada hladnog pokretanja, pod uvjetom da Secure Boot i lozinka za BIOS sprječavaju `/boot` petljanje.

Povezani vodiči¶

• Javni blokator podataka kioska za punjenje (USB kondom) i BadUSB HID injekcija
• Zaključavanje ključa za oporavak šifriranja BitLocker, FileVault i LUKS i ponovno postavljanje TPM-a
• Brick za ažuriranje firmvera BIOS-a i UEFI-a, gubitak napajanja i Dual-BIOS Flashback
• Ukradeno prijenosno računalo ili telefon: daljinsko brisanje i zaključavanje računa
• Ispuštanje novčanika kriptovalute i kompromitacija početne fraze
• Brojevi hitnih službi po državama

Izvori i službene upute¶

• Nacionalni institut za standarde i tehnologiju (NIST) (Sjedinjene Države): Posebna publikacija 800-147B (Smjernice za zaštitu BIOS-a za poslužitelje i radne stanice) & SP 800-155 (Smjernice za mjerenje integriteta BIOS-a).
• Agencija za nacionalnu sigurnost (NSA) & Agencija za kibernetičku sigurnost i sigurnost infrastrukture (CISA) (Sjedinjene Države): * Ojačavanje UEFI Secure Boot, Trusted Platform Module (TPM 2.0) Konfiguracija PIN-a prije pokretanja i ublažavanje Thunderbolt/PCIe izravnog pristupa memoriji (DMA) Napadi*.
• Nacionalni centar za kibernetičku sigurnost (NCSC) & Nacionalna zaštitna sigurnosna uprava (NPSA) (Ujedinjeno Kraljevstvo): Sigurnost fizičkih uređaja u lancu opskrbe i inozemnim putovanjima, pečati koji su vidljivi neovlašteno i provjera integriteta pokretanja.
• Dokumentacija o sigurnosti hardvera Microsofta i jezgra Linuxa IOMMU / fwupd Sigurnosna specifikacija hosta (HSI): DMA zaštita jezgre (VT-d / AMD-Vi) i BitLocker protumjere protiv diskretnog njuškanja TPM sabirnice.