Manipilasyon Aparèy Fizik (Atak 'Evil Maid'): Enspeksyon Laptop san siveyans ak DMA Hardening¶

Lè w retounen nan yon chanm otèl, yon zòn enspeksyon segondè nan koutim ayewopò, yon sal konferans, oswa yon biwo koworking pataje pou w jwenn ke laptop ou, smartphone, oswa bous pyès ki nan konpitè kriptografik ou te manyen, deplase, reveye nan dòmi, oswa louvri pandan w pa wè w se yon ensidan sekirite fizik ki gen gwo enjman ke yo rekonèt nan kriptografi ak kont-entèlijans kòm yon **"Evil Maid ** Rechèch sekirite (Joann atake). Yon pare-feu lojisyèl klasik oswa pwogram antivirus sipoze ke atakè a se sou lòt bò a nan entènèt la; yon atakè Evil Maid gen aksè fizik pratik nan pyès ki nan konpitè ou pou 2 a 30 minit pandan w ale nan manje maten, nan yon reyinyon, oswa nan prizon nan yon chanm enspeksyon. Tou depan de bagay konplike atakè a, 90 segonn aksè fizik se ase pou ploge yon BadUSB keystroke-injection rubber ducky oswa PCIe/Thunderbolt Direct Memory Access (PCIe/Thunderbolt Direct Memory Access) (DMA) aparèy sansi nan yon laptop k ap dòmi, klipe yon $15 CH341A SPI pwogramè flash sou chip BIOS plak mèr la oswa santi l ki pa kode. LPC/SPI Otobis TPM, chanje kab USB-C chaje w pou yon kab implant kelodje san fil (O.MG Cable), oswa ranplase ki pa chifre a /boot patisyon (initramfs) kidonk li kaptire pasfraz chifreman ki plen disk ou a pwochen fwa ou tape li. Pou atak kyòs USB chaje nan èpòt, konsilte blokaj done kyòs chaje piblik ak piki BadUSB HID; si kondwi BitLocker, FileVault, oswa LUKS ou toudenkou mande pou yon kle rekiperasyon sou bòt apre yon moun te manyen laptop ou, gade BitLocker, FileVault, ak kle rekiperasyon chifreman LUKS ak reset TPM; epi si yo te pran aparèy ou an pou tout tan, chanje a yo vòlè laptop oswa telefòn aleka siye ak fèmen kont. Si w an danje fizik imedyat oswa si w ap fè fas a detansyon ilegal, rele nimewo ijans lokal ou a (911 nan Etazini ak Kanada, 112 atravè Inyon Ewopeyen an, 999 nan Wayòm Ini) oswa konsilte anyè entènasyonal nou an nimewo ijans.

Fè sa kounye a¶

1. ** PA tape chifreman konplè disk ou a (BitLocker / LUKS / FileVault) pasfraz, modpas pou konekte OS, oswa Modpas Mèt nan laptop sispèk la si li toudenkou mande yon modpas oswa yon kle rekiperasyon apre li te kite poukont li**:
2. Klasik Evil Maid atak la ranplase bootloader ki pa chiffres oswa initramfs imaj sou yon konpitè pòtatif ki pa gen aplikasyon pou Bòt Mezire / Sekirize (oswa ploge yon dongle kelogger USB transparan pyès ki nan konpitè ant klavye/waf ou ak laptop la) pou pwochen fwa ou tape ou. LUKS oswa BitLocker pasfraz, bootloader trojanize a anrejistre pasfraz tèks klè ou a epi transmèt li oswa kache li sou disk.
3. Avan ou manyen klavye a, fè yon enspeksyon fizik ekstèn 60 segonn nan tout pò, câbles, ak vis chasi anba flach ki ap dirije telefòn ou a:
4. Debranche epi enspekte chak USB-C, USB-A, HDMI, Ethernet, ak kab kouran ki konekte sou laptop la oswa chita sou biwo otèl ou a. Atakè yo souvan echanje estanda Apple blan oswa nwa USB-C kab chaje yon viktim pou yon idantik ki sanble O.MG Cable / USB Ninja kab (ki gen yon pwen aksè kache Wi-Fi ak mikrokontwolè kache andedan koki konektè USB-C a ki enjekte frap ak mòso bwa trafik).
5. Vire laptop la tèt anba epi enspekte vis kouvèti anba yo ak pye kawoutchou: Chèche fre mikwoskopik metal fre sou la. P5 Pentalobe, Torx T5, oswa Phillips Tèt vis, twou vis ki manke sele, oswa yon kouti kwen anba ki pa chita paske chasi a te prese louvri pou tache yon clip entèn SPI flash oswa M.2 PCIe implant.
6. Tcheke si yo te kite laptop ou an nan "Dòmi / Standby (S3 / S0ix Modèn Standby)" vs "Konplètman Powered Off (S5 / Ibènasyon S4)" pandan w pa siveye:
7. Si laptop ou a te jis ap dòmi (kouvèt fèmen) lè atakè a te jwenn aksè nan li: Full-Disk Encryption ou a (BitLocker, FileVault, LUKS) kle chifreman volim mèt (VMK) te chita dechifre nan tèks klè andedan temèt laptop ou a DRAM memwa chips tout tan an. Yon atakè ki gen yon aparèy Thunderbolt/USB4 DMA (sou ansyen sistèm san patch), yon atak friz RAM frèt-demaraj, oswa yon kontourne ekran fèmen li te ye te kapab li memwa aktif san yo pa konnen modpas ou.
8. Si w sispèk yo te manipile laptop ki ap dòmi an: Kenbe Bouton Pouvwa a desann pandan 10 segonn konplè pou fòse yon koupe kouran imedyat (purge kle DRAM temèt) olye ke ouvri kouvèti a epi konekte.
9. Bòt soti nan yon ekstèn Live USB ekstèn ki pwòp, li sèlman (Ubuntu Live / Tails / SystemRescue kenbe sou moun ou a tout tan) pou enspekte kondwi entèn la dekode /boot epi EFI System Partition (ESP) hash:
10. Si ou kouri Linux ak LUKS oswa Windows ak BitLocker, demaraj soti nan yon baton USB pwòp ekstèn sou yon machin separe oswa verifye pèmèt ou hache chak dosye nan /boot/efi/ (ESP) ak /boot/initramfs-* (sha256sum) epi tcheke si timestamp modifikasyon patisyon yo (stat) chanje pandan fenèt egzak 2 èdtan ou te soti nan chanm otèl ou a.
11. Enspekte jounal evènman OS yo (Windows Event Viewer, macOS unified log, Linux journalctl) soti nan yon anviwonman ki an sekirite pou li sèlman pou wè si kouvèti a te ouvri, si yo te mete yon aparèy USB, oswa si machin nan te rekòmanse pandan w te ale:
12. Chak sistèm opere modèn anrejistre yon timestamp pyès ki nan konpitè ki pa chanje jiska milisgond chak fwa ACPI Lid Switch la louvri, sistèm nan reveye soti nan dòmi (Kernel-Power Event ID 42 / 107 sou Windows, Wake reason: EC.LidOpen sou macOS), oswa yon nouvo USB VID:PID aparèy enimere nan bis la.
13. Si ou se yon sib ki gen gwo risk (jounalis, kontraktè defans, egzekitif, avoka dwa moun, oswa siyatè krypto trezò) epi jwenn prèv solid ouvèti chasi fizik, reset BitLocker/TPM PCR inatandi, oswa evènman reveye san otorizasyon pandan w pa posede w, trete pyès ki nan konpitè a kòm boule (Quarantine Device)*:
14. Pa konekte laptop sispèk la ak VPN antrepriz ou a oswa Wi-Fi lakay ou. Sèvi ak yon smartphone separe, pwòp (ki rete nan pòch ou) pou vire kalifikasyon w yo, anile sesyon aktif yo (sesyon bonbon vòl ak revokasyon passkey), epi transfere lajan oswa sekrè lè l sèvi avèk pyès ki nan konpitè pwòp.

Pyebwa desizyon: evalye yon laptop oswa aparèy poukont li apre yo sispèk aksè fizik¶

Swiv workflow sa a pou detèmine si yo te jwenn aksè fizik oswa modifye aparèy ou an poukont ou epi ki nivo ratrapaj ki nesesè:

flowchart TD
    Start["Laptop, telefòn, oswa pyès ki nan konpitè pòtfèy kite san siveyans nan chanm otèl la, enspeksyon fwontyè, oswa espas koworking"] --> StateCheck{"Nan ki eta pouvwa Laptop la te ye pandan w pa posede w?"}

    StateCheck -->|"Dòmi / Standby (Kouvri fèmen, RAM Powered) OSWA debloke"| HighRiskState["GWO RISK: Kle chifreman disk ak bonbon sesyon yo te viv nan RAM (sansib a BadUSB, Lock-Screen Bypass, oswa DMA/RAM Ekstraksyon)"]

    StateCheck -->|"Konplètman Powered Off (Frèt S5 fèmen)"| ColdState["RISK RAM BISSE: Kle yo pa t nan RAM, kidonk atakè a dwe swa modifye Bootloader (/boot / EFI), Flash SPI BIOS, oswa Plant Hardware Keylogger."]

    HighRiskState --> PhysCheck["ETAP 1: Enspekte Vis Eksteryè, Kouti Anba, Pò USB, ak Câble Chaje Anba Flach klere (Pa Reitilize Câbles poukont yo)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Kisa k ap pase lè ou enspekte mezi Entegrite bòt / TPM?"}

    BootBehavior -->|"BitLocker / TPM toudenkou mande kle rekiperasyon 48 chif oswa bòt ki an sekirite montre enfim / chanje"| BootTamper["KONFIME CHIM BÒT ALTÈ: TPM PCRs (0, 2, 4, 7) Detekte modifye BIOS Firmware, Opsyon ROM, oswa EFI Bootloader"]

    BootBehavior -->|"Bòt nòmalman (oswa enspekte lekti sèlman atravè USB ekstèn Live)"| LogCheck["ETAP 2: Odit ACPI Lid-Open / Wake Logs & Istwa Koneksyon USB Pandan Fenèt Absans Ou"]

    LogCheck -->|"Jounal yo montre kouvèti ki louvri, aparèy USB konekte, oswa rdemare san rezon pandan w te ale."| ConfirmedTouch["KONFIME AKSÈ FIZIK SAN OTORIZASYON"]
    LogCheck -->|"Zewo Evènman Wake, zewo rekòmanse twou vid ki genyen, sele vis entak ak Verifye /Hashes bòt"| CleanPass["Pa gen prèv reveye elektwonik oswa modifikasyon bòt -> Ranfòse modpas BIOS + Pwoteksyon DMA Kernel + Règleman fèmen konplè"]

    BootTamper --> BurnDevice["PA TAPE MO PAS SOU MACHIN SA A: Mete karantèn Materyèl, Anile Tout Sesyon Cloud/Kle SSH ki soti nan Telefòn Netwaye, ak Kondwi Imaj nan yon fason legal legal."]
    ConfirmedTouch --> BurnDevice

5 vektè teknik yon atak "move sèvant".¶

Pou konnen ki endikasyon legal pou chèche, konprann senk teknik aktyèl yo itilize pandan atak fizik pratik kont laptops ak bous pyès ki nan konpitè:

Faz 1: Enspeksyon legal yon Laptop sispèk poukont li (anvan konekte)¶

Si w retounen nan chanm otèl ou oswa ou resevwa laptop ou tounen apre yon enspeksyon fwontyè epi ou vle konnen si yon moun te louvri, reveye, oswa konekte yon aparèy nan li pandan w te ale, fè chèk sa yo nan lòd:

1. Etap 1: Pò Fizik, Kab, ak Chasi Vis Odit¶

1. Karantin nenpòt kab ki te rete dèyè nan sal la:
2. Yon O.MG Cable oswa USB Ninja sanble 100 pousan endistenabl ak yon otantik Apple USB-C trikote kab, Anker kab, oswa Dell USB-C adaptè, jis jiska nimewo seri yo grave lazè sou manch konektè a.
3. Si ou kite yon kab USB-C, brik pouvwa, oswa sant USB poukont ou nan yon anviwònman ki gen gwo risk, sispann konekte liy done li yo sou laptop ou; swa ranplase li ak yon kab ki byen konnen ki soti nan sak sele ou oswa mete yon bloke done USB ki gen pouvwa sèlman (USB kapòt) an seri ak li.
4. Enspekte Vis kouvèti anba yo ak kouti anba limyè flach raking:
5. Kenbe flach smartphone ou a nan yon fon 15 degre ang ("raking limyè") atravè chak tèt vis sou anba a nan laptop ou.
6. Vis faktori torqued yon fwa nan plant asanble a gen pwòp, inifòm anodize kouch andedan fant yo zetwal / kwa. Yon vis ki te devise nan yon chanm otèl ak yon ti moso asye montre rayur metal ajan klere andedan rekreyasyon vis la, pousyè fil ble/wouj deranje, oswa ti aliyman plak aliminyòm anba a ansanm klip vantilasyon dèyè yo.

2. Etap 2: Tcheke OS Wake, Lid-Open, ak rdemare mòso bwa (Èske laptop la te limen pandan w te ale?)¶

Remake tan egzak fenèt ou te lwen laptop la (pa egzanp, 12:15 PM to 01:45 PM). Menm si yon atakè bòt yon baton USB Live, yon espas inatandi oswa yon bòt frèt nan disponiblite OS ou a, oswa yon evènman ACPI Lid-Open pandan fenèt sa a, pwouve ke laptop la te manipile fizikman:

Sou macOS (MacBook Air / MacBook Pro):¶

Louvri Tèminal epi kouri kòmandman sa a pou montre chak evènman pyès ki nan konpitè Kouvri Louvri, Fèmen kouvèti, Reveye, Dòmi, ak Power-On/Fermen ki soti nan System Management Controller (SMC / PMU) pandan dènye 24 èdtan yo:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

Sou Linux (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Tcheke systemd-journald pou nenpòt evènman bòt/fèr oswa tranzisyon kouvèti/dòmi pandan absans ou:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. Verifye ke ou pa ankode /boot epi /boot/efi patisyon yo PA te modifye pandan machin nan te etenn: Tcheke egzak la Modify epi Change (ctime) timestamps inode chak imaj nwayo, initramfs, ak GRUB EFI binè andedan /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Si gen yon dosye andedan /boot oswa /boot/efi gen yon Change oswa Modify timestamp lè ou te soti nan chanm lan, oswa depi dènye ou apt/dnf aktyalizasyon nwayo a, booloader ou a te manyen.)

Sou Windows 10 / 11:¶

Louvri yon fenèt Administratè PowerShell epi mande Log Evènman Sistèm lan pou chak Power-On (ID 12), fèmen (ID 13), dòmi (ID 42), Reveye nan dòmi (ID 1 / ID 107), ak Pèt pouvwa inatandi (ID 41) nan dènye 24 èdtan yo:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Faz 2: Poukisa Apple Silicon Macs & Modern TPM 2.0 + PIN Sistèm yo pi rèd pou "move sèvant" (ak kijan pou konfigure yo dwat)¶

Se pa tout laptops ki egalman vilnerab a manipulasyon fizik. Men ki jan rasin kenkayri modèn nan konfyans travay ak paramèt egzak ou dwe pèmèt:

1. Apple Silisyòm MacBooks (M1, M2, M3, M4)¶

Apple Silisyòm Mac yo se pami òdinatè pòtab konsomatè ki pi rezistan a Evil-Maid yo te janm konstwi lè yo koupe (S5) ak konfigirasyon ak FileVault + Firmware/Recovery Security: - ROM bòt la grave nan Silisyòm imuiabl andedan SoC M-seri a (Hardware Root of Trust). Chak etap nan chèn bòt la (iBoot -> macOS Kernel -> Volim sistèm kriptografik siyen SSV) se verifye pa kle pyès ki nan konpitè Apple la anvan ekzekisyon. - Depo NAND chips yo kode pyès ki nan konpitè pa Secure Enclave (AES-XTS) lè l sèvi avèk kle ki mare nan modpas FileVault ou a ak limit to pyès ki nan konpitè anti-mato. - Twa paramèt obligatwa ou dwe verifye sou MacBook ou kounye a: 1. FileVault ON: Anviwònman Sistèm > Konfidansyalite & Sekirite > FileVault -> ON. 2. Enfim oto-konekte epi mande modpas imedyatman sou dòmi: Anviwònman sistèm > Fèmen ekran -> Mande modpas apre ekran ekonomizeur kòmanse oswa ekspozisyon etenn -> Touswit. 3. Bloke Akseswa USB / Thunderbolt ki pa otorize lè yo fèmen: Ale nan Anviwònman Sistèm > Konfidansyalite & Sekirite > Pèmèt akseswa konekte epi mete l sou "Mande nouvo Pwodwi pou Telefòn" oswa "Mande chak fwa" (pa janm "Otomatikman lè debloke" oswa "Toujou"). Lè yo mete sou "Mande chak fwa", branche a BadUSB keystroke injector oswa zouti Thunderbolt DMA nan yon MacBook fèmen pò a gout nan mòd pouvwa-sèlman epi bloke tout done PCIe/USB enimerasyon nan nivo kontwolè pyès ki nan konpitè.

2. Windows 10 / 11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

Pa default sou 99 pousan nan Windows laptops (Dell, Lenovo, HP, Sifas), BitLocker se configuré nan "TPM-Only" (Operasyon transparan) mòd: - Lè ou peze bouton pouvwa a sou yon TPM-Only Laptop BitLocker, bòt pòtab yo tou dwat nan ekran fèmen Windows la san yo pa mande w yon PIN BitLocker, sa vle di chip TPM la otomatikman dekripte kle kondwi mèt la (VMK) ak chaje Windows OS nan RAM. - Sou nenpòt laptop ki sèvi ak yon diskrè chip TPM ki konekte ak CPU a atravè plak mèr la SPI oswa LPC bis, yon atakè ki louvri kouvèti anba a epi klip yon analizè lojik $50 sou chip TPM la. MOSI/MISO PIN ** li tèks klè BitLocker Volim Mèt Key ou a (VMK) dwa koupe fil la nan 5 segonn (BitPixie / TPM-Sniffing)** san w pa konnen modpas Windows ou. - Bòt tout wout la nan ekran login Windows la tou ekspoze nwayo Windows, pile Wi-Fi, ak otobis PCIe pandan y ap san siveyans.

Ki jan yo pèmèt yon PIN obligatwa BitLocker Pre-Boot Startup (TPM + PIN) sou Windows nan 2 minit:¶

Ajoute yon Pre-Boot BitLocker PIN fòse pyès ki nan konpitè a TPM 2.0 chip pou kenbe kle chifreman disk la fèmen andedan Silisyòm ki reziste li a jiskaske ou fizikman tape PIN 6-a-20 karaktè pre-demaraj ou a nan ekran nwa BIOS/BitLocker la: 1. Peze Win + R, tape gpedit.msc, epi peze Entre (sou Windows 10/11 Pro, Enterprise, oswa Education). 2. Navige nan: Konfigirasyon Òdinatè > Modèl Administratif > Konpozan Windows > BitLocker Drive Encryption > Operating System Drives. 3. Double-klike sou "Mande otantifikasyon adisyonèl nan demaraj", mete l sou Activé, epi mete Konfigure PIN demaraj TPM: sou Require startup PIN with TPM. 4. Louvri yon Envit Kòmandman Administratè oswa PowerShell epi mete nouvo PIN BitLocker anvan demaraj ou a (pou pèmèt fraz pas alfanumerik, tou pèmèt "Pèmèt PIN amelyore pou demaraj" nan menm dosye Règleman Gwoup la):

manage-bde -protectors -add C: -TPMAndPIN

3. Linux (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

Sou pòtab Linux (Ubuntu, Fedora, Debian, Arch, Qubes OS), estanda LUKS cryptage plen-disk deja mande pou ou tape yon pasfraz pre-demaraj anvan kondwi a debloke, ki sispann sniff pasif otobis TPM. Sepandan, estanda Linux enstale kite /boot (initramfs epi vmlinuz) unencrypted, fè yo vilnerab a klasik 2 minit USB Evil Maid la /boot ranplasman sof si ou pran twa etap redi sa yo: 1. Fikse yon modpas sipèvizè UEFI / BIOS fò ak Enfim USB ekstèn/bòt rezo: - Antre nan BIOS laptop ou a (F2, F1, F10, oswa Del nan limen) -> ale nan Sekirite> Modpas Administratè / Sipèvizè epi mete yon pasfraz fò pou yon atakè pa ka peze F12 nan bòt chaje yon baton USB. 2. Pèmèt UEFI Secure Boot + Enskri Custom Keys / Siyen Inifye Kernel Imaj (sbctl + UKI)*: - Zouti tankou sbctl (Arch, Fedora, Debian, Ubuntu) pake nwayo Linux, liy kòmand nwayo a, ak initramfs nan yon sèl kriptografik siyen Imaj Kernel Inifye (UKI .efi) verifye pa kle pyès ki nan konpitè UEFI Secure Boot ou a (PK / KEK / db). Si yon Evil Maid modifye yon sèl byte nan ou initramfs, firmwèr UEFI a refize demare li epi li montre yon avètisman wouj Secure Boot Violation anvan ou janm tape modpas LUKS ou. 3. Verifye IOMMU / Kernel DMA Protection ak Enstale USBGuard: - Tcheke ke IOMMU nwayo Linux a aktif (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") epi enstale usbguard (sudo apt install usbguard) pou bloke ki fèk mete HID klavye (03:*:*) pandan ekran ou fèmen.

Faz 3: Brikoleur Fizik Deteksyon Tamper Seals pou vwayaj ki gen gwo risk ("Glitter Nail Polish" & Haven)¶

Ofisye entèlijans yo, chèchè pyès ki nan konpitè, ak jounalis envestigasyon yo itilize de teknik deteksyon fizik ki pa chè, ki pa janm bliye:

1. "Glitter Nail Polish + Macro Photo" Vis sele (Uncounterfeitable Entropy)¶

Yo ka achte fichye olografik komèsyal estanda "VOID IF REMOVED" sou Amazon pou $10, dekale epi ranplase ak yon fich ki idantik. Polis klou glite se matematikman infalsab: 1. Achte yon boutèy $5 nan polon klou klè plen ak plizyè koulè, plizyè gwosè flak ekla metalik. 2. Penti yon ti gout nan poli klou briye atravè de vis ki kouvri anba ankastre (pon tèt vis la ak metal chasi ki antoure a) ak atravè kouti anba a nan laptop ou a (oswa atravè tep sele sak pou laptop ou Matlasye). 3. Yon fwa li seche, pran yon foto macro-wo rezolisyon nan chak sele briye lè l sèvi avèk kamera smartphone ou (ki rete nan pòch ou). 4. Poukisa yon atakè pa ka defèt li: Menm si atakè a pote egzak mak la nan klou briye, oryantasyon jeyometrik 2D o aza, distribisyon koulè, ak ang sipèpoze nan 80 flak briye endividyèl fòme yon anprent fizik inik. Lè ou retounen nan chanm otèl ou a, menen yon dezyèm foto sele vis la nan menm ang lan epi konpare foto "Anvan" ak "Apre" sou telefòn ou: si yon sèl vis te vire pa menm 5 degre, modèl briye a chanje notables.

2. Vire yon ansyen telefòn andwad rezèv nan yon Capteur fizik entrizyon chanm otèl (Haven Aplikasyon)¶

• Kreye pa Gadyen Pwojè a ak Freedom of the Press Foundation, aplikasyon android gratis ouvè Haven: Keep Watch fè nenpòt telefòn andwad rezèv nan yon detektè mouvman, son, vibrasyon (akseleromèt) ak limyè anbyen.
• Anvan ou kite laptop ou nan yon chanm otèl ki an sekirite oswa nan tiwa, mete telefòn rezèv la ap kouri Haven dwat anlè laptop ou andedan tiwa oswa sak ki fèmen: si yon moun ouvri tiwa a (chanje lekti Capteur limyè anbyen) oswa manyen laptop la, Haven an silans pran foto, anrejistre odyo, epi voye yon alèt Siyal chiffres nan telefòn prensipal la nan pòch ou.

3. Travèse Fwontyè Entènasyonal ak Enspeksyon Segondè Ayewopò yo an sekirite¶

Si w vwayaje entènasyonalman nan jiridiksyon ki gen gwo risk kote otorite ladwàn yo oswa fwontyè yo ka pa wè òdinatè pòtab ak telefòn yo: 1. Vwayaje ak yon Laptop ak Telefòn Espesyal pou "Vwayaj Netwaye/Burner": Pa janm pote prensipal estasyon travay antrepriz ou a, bwat modpas pou tout lavi, oswa kle SSH atravè fwontyè ki gen gwo risk. Pote yon Chromebook pwòp oswa yon laptop ki fèk imaj ki gen sèlman dosye espesifik ki nesesè pou vwayaj sa a, epi jwenn aksè nan travay sansib entèdi sou yon sesyon biwo otantifye aleka apre yo rive. 2. ** Etenn nèt (S5) 10 minit anvan ou antre nan Sal Ladwàn nan**: Fèmen laptop la ak telefòn lan nèt (Power Off) anvan ou desann avyon an pou DRAM dekonpoze nèt ak byometrik debloke (Face ID / Touch ID) enfim an favè yon fraz pas alfanumerik fò.

Nimewo ijans rejyonal yo ak pwotokòl ajans yo¶

Yo ta dwe rapòte bay ajans nasyonal counter-entèlijans ak cyber-defans manipilasyon fizik nan pyès ki nan konpitè, plante keyloggers kenkayri kache, oswa espyonaj fwontyè/otèl san otorizasyon:

• Etazini ak Kanada:
• Sèvis Ijans: Rele 911 si ou dekouvri yon entrigan nan chanm otèl ou oswa rezidans ou.
• ** Biwo Federal Envestigasyon (FBI) Divizyon kont espyon ak Cyber / IC3**: Si ou se yon vwayajè ameriken, yon kontraktè defans, yon chèchè, oswa yon egzekitif ki gen laptop oswa telefòn ki te manipile aletranje oswa nan yon otèl, rapòte ensidan an bay FBI Field Office Counterintelligence Squad oswa nan .ic3.gov ak cisa.gov/report (konsève kab falsifye oswa laptop la san manyen nan yon sak Faraday pou analiz laboratwa legal FBI).
• Sèvis entèlijans sekirite Kanadyen (CSIS) & Cyber Center: Rele 1-833-CYBER-88 oswa kontakte CSIS (613-993-9620) pou sispèk etranje aparèy fizik manipulation.
• Wayòm Ini:
• Sèvis Ijans: Rele 999 (oswa 101 pou lapolis).
• Sant Nasyonal Sibè Sekirite (NCSC) & Otorite Sekirite Nasyonal Pwoteksyon (NPSA): Gouvènman UK, vwayajè akademik, ak antrepriz yo ta dwe swiv NCSC / NPSA Overseas Travel Device Guidance epi rapòte sispèk kenkayri fizik yo atravè ncsc.gov.uk.
• Inyon Ewopeyen an:
• Sèvis Ijans: Rele 112 atravè tout eta manm Inyon Ewopeyen yo.
• CSIRT Nasyonal / Ajans Sekirite Domestik (ANSSI Lafrans, BSI Almay, AIVD/NCSC-NL Netherlands): Rapòte sispèk firmwèr oswa enplantasyon pyès ki nan konpitè bay CSIRT nasyonal ou a pou verifikasyon legal SPI/UEFI pyès ki nan konpitè.
• Ostrali ak Nouvèl Zeland:
• Sèvis Ijans: Rele 000 nan Ostrali oswa 111 nan Nouvèl Zeland.
• Sant Sekirite Sibèr Ostralyen (ACSC / ASD) & ASIO Outreach: Rele 1300 CYBER1 (1300 292 371).
• Lend ak Azi-Pasifik:
• ** Lend (CERT-In / Ijans)**: Rele 112 pou lapolis oswa rapòte ensidan sekirite pyès ki nan konpitè/firmware bay incident@cert-in.org.in.

Kesyon yo poze souvan¶

Poukisa laptop Windows mwen an toudenkou sispann demaraj nòmalman epi mande kle 48 chif BitLocker Recovery mwen an touswit apre mwen te kite l nan chanm otèl mwen an?¶

Lè BitLocker aktive sou yon laptop Windows, pyès ki nan konpitè Modil platfòm Trusted (`TPM 2.0`) mezire hash kriptografik SHA-256 nan firmwèr BIOS/UEFI ou a (`PCR 0`), ROM opsyon (`PCR 2`), Manadjè bòt UEFI (`PCR 4`), ak eta Secure Boot (`PCR 7`) chak fwa laptop la limen. Si yon moun te manyen laptop ou pandan ou te deyò nan chanm lan epi li rete konsa nan yon ekran ble mande kle 48-chif BitLocker Recovery Key ou a, youn nan de bagay ki te rive: swa yon aktyalizasyon BIOS lejitim jis enstale, oswa yon moun chanje lòd BIOS ou a, li enfim Secure Boot, demare yon baton USB ekstèn, oswa modifye firmwèr bootloader ou., sa ki lakòz hashes TPM PCR yo chanje ak deklanche fèmen BitLocker a anti-manipulasyon. Pa antre kle rekiperasyon 48 chif ou a jiskaske ou enspekte mòso bwa BIOS yo ak chèn bòt, paske tape kle rekiperasyon ou a nan yon anviwònman bòt falsif ekspoze kondwi ou a.

Si mwen fèmen ekran Windows oswa Mac mwen an (Win+L / Ctrl+Cmd+Q) anvan ou ale nan yon kafe oswa otèl, èske yon moun ka toujou pirate li atravè pò USB-C la?¶

Sa depann de de paramèt: Premyèman, si yon moun ploge yon BadUSB keystroke injector (`Flipper Zero` oswa `Rubber Ducky`) nan yon laptop fèmen, fo klavye a ka sèlman tape nan bwat modpas la sou ekran an fèmen (li pa ka louvri yon tèminal pandan ekran an fèmen). Dezyèmman, sepandan, si laptop la gen yon pi gran Thunderbolt 3/4 oswa pò USB4 san pwoteksyon DMA Kernel pèmèt, yon zouti espesyalize PCIe DMA pyès ki nan konpitè (`PCILeech`) ka li ak ekri RAM sistèm dirèkteman nan otobis PCIe a pandan ekran an fèmen. Pèmèt Kernel DMA Pwoteksyon nan Windows (`System Information > Kernel DMA Protection: On`) oswa mete macOS **Pèmèt akseswa yo konekte -> Mande chak fwa** bloke aksè done USB-C/Thunderbolt nèt pandan ekran an fèmen.

Èske mwen ka tcheke firmwèr UEFI / BIOS kat mèr mwen an soti nan Linux oswa Windows pou wè si yon Evil Maid te flash yon implant firmware?¶

Wi. Open-source zouti sekirite firmwèr devlope pa Intel ak chèchè sekirite yo, espesyalman CHIPSEC (`github.com/chipsec/chipsec`) ak fwupd (`fwupdmgr security`) sou Linux, pèmèt ou jete imaj SPI flash ROM vivan ou a dirèkteman nan mèr la (`chipsec_util spi dump rom.bin`), verifye si pyès ki nan konpitè BIOS Write Protection (`BIOS_CNTL` `BLE`/`BWE` bits ak `PR0-PR4` Enskri Proteksyon Range) byen fèmen, epi konpare hash kriptografik flash SPI ou a ak imaj ofisyèl BIOS manifakti a.

Èske li an sekirite pou fèmen pòtatif mwen an oswa bous kriptografik pyès ki nan konpitè andedan yon sekirite elektwonik chanm otèl?¶

Pa janm konte sou yon klavye elektwonik chanm otèl estanda san danje pou pwoteje kont yon atak Evil Maid. Prèske tout sekirite elektwonik otèl la gen yon twou kle inivèsèl mekanik kontoune ki kache dèyè badj logo plastik la sou panèl la devan, osi byen ke yon kòd kontwòl faktori mèt (`000000` oswa `999999`) anplwaye otèl yo konnen. Si yon chanm otèl san danje se sèl opsyon ou a, mete laptop ki pa gen kouran andedan yon sache sekirite serialize inviolable (oswa aplike yon sele foto briye-klou-polon atravè kouti a) konsa w ap konnen imedyatman si yo te manyen aparèy ou an.

Ki sa ki "Ibènasyon (S4)" vs "Dòmi (S3 / S0ix)", epi èske ibènasyon pwoteje kont atak RAM / DMA Evil Maid?¶

Lè yon laptop antre Dòmi (`S3` oswa `S0ix`), chips RAM yo rete limen epi kenbe kle chifreman disk dekripte ou yo nan memwa temèt. Lè yon laptop antre vre ibènasyon (`S4`), sistèm operasyon an ekri sa ki nan RAM nan yon dosye ibènasyon chiffres (`hiberfil.sys` oswa swap chiffres) sou SSD chiffres la, purge kle yo cryptage ki gen kapasite mèt, epi koupe tout pouvwa elektrik nan mèr la ak RAM nèt (jis tankou yon fèmen konplè). Se poutèt sa, tou de **Full Shutdown (`S5`)** ak ** ibènasyon (`S4`) sou yon kondwi ki pwoteje pa yon PIN BitLocker anvan demaraj oswa yon fraz pas LUKS** pwoteje RAM ou kont DMA ak atak frèt demaraj, depi Secure Boot ak yon modpas BIOS anpeche `/boot` manipilasyon.

Gid ki gen rapò¶

• Piblik chaje kyòs done bloke (kapòt USB) ak piki BadUSB HID
• BitLocker, FileVault, ak kle rekiperasyon chifreman LUKS ak reset TPM
• BIOS ak UEFI firmwèr aktyalizasyon brik, pèt pouvwa, ak Dual-BIOS Flashback
• Yo vòlè laptop oswa telefòn: siye adistans ak fèmen kont
• Drenaj bous Cryptocurrency ak konpwomi grenn-fraz
• Nimewo ijans pa peyi

Sous ak konsèy ofisyèl yo¶

• Enstiti Nasyonal pou Estanda ak Teknoloji (NIST) (Etazini): Piblikasyon espesyal 800-147B (BIOS Pwoteksyon Gid pou sèvè ak estasyon travay) & SP 800-155 (BIOS Entegrite Measurement Guidelines).
• Ajans Sekirite Nasyonal (NSA) & Sibèsekirite ak Ajans Sekirite Enfrastrikti (CISA) (Etazini): * Hardening UEFI Secure Boot, Trusted Platform Modil (TPM 2.0) Konfigirasyon PIN pre-demaraj, ak diminye aksè nan memwa Thunderbolt/PCIe (DMA) Atak*.
• Sant Sekirite Sibè Nasyonal (NCSC) & Otorite Sekirite Nasyonal Pwoteksyon (NPSA) (Wayòm Ini): Sekirite Aparèy Fizik Chèn Apwovizyonman ak Vwayaj Aletranje, Sekirite Sosyal ki Evidan, ak Verifikasyon Entegrite Bòt.
• Microsoft Materyèl Sekirite Dokimantasyon & Linux Kernel IOMMU / fwupd Espesifikasyon Sekirite Lame (HSI): * Kernel DMA Pwoteksyon (VT-d / AMD-Vi) ak BitLocker kont mezi kont diskrè TPM otobis sniffing*.