ការជ្រៀតជ្រែកឧបករណ៍រាងកាយ (ការវាយប្រហារ 'Evil Maid'): ការត្រួតពិនិត្យកុំព្យូទ័រយួរដៃដែលមិនមានការយកចិត្តទុកដាក់ និងការឡើងរឹងរបស់ DMA¶

ការត្រលប់ទៅបន្ទប់សណ្ឋាគារ តំបន់ត្រួតពិនិត្យបន្ទាប់បន្សំរបស់គយអាកាសយានដ្ឋាន កន្លែងនិយាយសន្និសិទ ឬតុធ្វើការរួមគ្នា ដើម្បីរកឱ្យឃើញថាកុំព្យូទ័រយួរដៃ ស្មាតហ្វូន ឬកាបូបផ្នែករឹងរូបិយប័ណ្ណគ្រីបតូរបស់អ្នកត្រូវបានប៉ះ ផ្លាស់ទី ភ្ញាក់ពីដំណេក ឬបើកពេលចេញពីការមើលឃើញរបស់អ្នក គឺជាឧបទ្ទវហេតុសុវត្ថិភាពរាងកាយដែលមានតម្លៃខ្ពស់ដែលគេស្គាល់នៅក្នុង cryptography និង counter-intelligence ជា klzzwxh:0013 research" Attack ។ ជញ្ជាំងលើងកម្មវិធីបុរាណ ឬកម្មវិធីកំចាត់មេរោគសន្មត់ថាអ្នកវាយប្រហារគឺនៅម្ខាងទៀតនៃអ៊ីនធឺណិត។ អ្នកវាយលុក Evil Maid មាន ការចូលប្រើដៃរាងកាយទៅកាន់ផ្នែករឹងរបស់អ្នពី 2 ទៅ 30 នាទី ខណៈពេលដែលអ្នកមិននៅអាហារពេលព្រឹក ក្នុងការប្រជុំ ឬឃខ្លួននៅក្នុងបន្ទប់ត្រួតពិនិត្យ។ អាស្រ័យលើភាពទំនើបរបស់អ្នកវាយប្រហារ ការចូលប្រើរាងកាយ 90 វិនាទីគឺគ្រប់គ្រាន់ដើម្បីដោត BadUSB keystroke-injection rubb ducky** ឬ PCIe/Thunderbolt Direct Memory Access (DMA) ឧបករណ៍បំពង ចូលទៅក្នុងកុំព្យូទ័រយួរដៃដែលកំពុងដេក ខ្ទាស់ $15 CH341A SPI flash programmer ទៅលើបន្ទះឈីប BIOS របស់ motherboard ឬ sniff the unencrypted LPC/SPI ឡានក្រុង TPM ប្តូរខ្សែសាក USB-C របស់អ្នកសម្រាប់ខ្សែ implant keylogger ឥតខ្សែ (O.MG Cable) ឬជំនួសការមិនបានអ៊ិនគ្រីប /boot ភាគថាស (initramfs) ដូច្នេះវាចាប់យកឃ្លាសម្ងាត់នៃការអ៊ិនគ្រីបឌីសពេញរបស់អ្នក នៅពេលដែលអ្នកវាយបញ្ចូលវាលើកក្រោយ។ សម្រាប់ការវាយប្រហាររបស់ប្រអប់បញ្ចូលថ្ម USB នៅក្នុងព្រលានយន្តហោះ សូមពិគ្រោះ ឧបករណ៍ទប់ស្កាត់ទិន្នន័យបញ្ជរសាកថ្មសាធារណៈ និងការចាក់ BadUSB HID; ប្រសិនបើដ្រាយ BitLocker, FileVault, ឬ LUKS របស់អ្នកស្រាប់តែសួររកសោសង្គ្រោះនៅពេលចាប់ផ្ដើមបន្ទាប់ពីនរណាម្នាក់ប៉ះកុំព្យូទ័រយួរដៃរបស់អ្នក សូមមើល BitLocker, FileVault, និង LUKS encryption recovery key lockout and TPM reset; ហើយប្រសិនបើឧបករណ៍របស់អ្នកត្រូវបានយកជាអចិន្ត្រៃយ៍ សូមប្តូរទៅ កុំព្យូទ័រ​យួរ​ដៃ​ឬ​ទូរស័ព្ទ​ដែល​ត្រូវ​បាន​គេ​លួច​លុប និង​បិទ​គណនី. ប្រសិនបើអ្នកស្ថិតក្នុងគ្រោះថ្នាក់រាងកាយភ្លាមៗ ឬប្រឈមមុខនឹងការឃុំខ្លួនដោយខុសច្បាប់ សូមទូរស័ព្ទទៅលេខសង្គ្រោះបន្ទាន់ក្នុងតំបន់របស់អ្នក (911 នៅសហរដ្ឋអាមេរិក និងកាណាដា 112 នៅទូទាំងសហភាពអឺរ៉ុប, 999 នៅចក្រភពអង់គ្លេស) ឬពិគ្រោះជាមួយឯកសារអន្តរជាតិរបស់យើង។ លេខសង្គ្រោះបន្ទាន់.

ធ្វើដូចនេះឥឡូវនេះ¶

1. ** កុំវាយការអ៊ិនគ្រីបពេញថាសរបស់អ្នក (BitLocker / LUKS / FileVault) passphrase, OS login password, or Master Password ចូលទៅក្នុងកុំព្យូទ័រយួរដៃដែលសង្ស័យប្រសិនបើវាត្រូវបានសួររកពាក្យសម្ងាត់ឬសោសង្គ្រោះភ្លាមៗបន្ទាប់ពីត្រូវបានទុកចោលដោយមិនមានការយកចិត្តទុកដាក់ **៖
2. ការវាយប្រហារ Evil Maid បុរាណជំនួសកម្មវិធីចាប់ផ្ដើមប្រព័ន្ធដែលមិនបានអ៊ិនគ្រីប ឬ initramfs រូបភាពនៅលើកុំព្យូទ័រយួរដៃដែលខ្វះ Measured Boot / Secure Boot enforcement (ឬដោតឌុយដោត hardware USB keylogger dongle រវាង keyboard/dock របស់អ្នក និង laptop) ដូច្នេះនៅពេលក្រោយអ្នកវាយអក្សររបស់អ្នក LUKS ឬ BitLocker ឃ្លាសម្ងាត់ កម្មវិធីចាប់ផ្ដើមប្រព័ន្ធ Trojanized កត់ត្រាឃ្លាសម្ងាត់អត្ថបទធម្មតារបស់អ្នក ហើយបញ្ជូនវា ឬលាក់វានៅលើថាស។
3. មុនពេលប៉ះក្តារចុច សូមធ្វើការត្រួតពិនិត្យរាងកាយខាងក្រៅរយៈពេល 60 វិនាទីនៃច្រក ខ្សែ និងវីសតួនៅក្រោមអំពូល LED របស់ទូរសព្ទអ្នក៖
4. ដោះដោត និងពិនិត្យមើលរាល់ USB-C, USB-A, HDMI, Ethernet, និងខ្សែថាមពល ដែលបានដោតចូលទៅក្នុងកុំព្យូទ័រយួរដៃ ឬអង្គុយនៅលើតុសណ្ឋាគាររបស់អ្នក។ អ្នកវាយប្រហារតែងតែប្តូរខ្សែសាក USB-C ពណ៌សស្តង់ដាររបស់ជនរងគ្រោះ ឬខ្សែ USB-C ពណ៌ខ្មៅ ដើម្បីឱ្យមានរូបរាងដូចគ្នាបេះបិទ **O.MG Cable / USB Ninja ខ្សែ ** (ដែលមានចំណុចចូលប្រើ Wi-Fi ដែលលាក់ និងឧបករណ៍បញ្ជា microcontroller ដែលលាក់នៅខាងក្នុងសែលឧបករណ៍ភ្ជាប់ USB-C ដែលចាក់គ្រាប់ចុច និងកត់ត្រាចរាចរណ៍)។
5. បង្វែរ Laptop ឱ្យ​ផ្អៀង​ចុះ​ក្រោម ហើយ​ពិនិត្យ​មើល​វីស​គម្រប​បាត និង​ជើង​កៅស៊ូ៖ រកមើល​ដុំដែក​មីក្រូទស្សន៍​ស្រស់ៗ​នៅលើ P5 Pentalobe, Torx T5, ឬ Phillips ក្បាលវីស ការបិទភ្ជាប់រន្ធវីសដែលបាត់ ឬថ្នេរជ្រុងខាងក្រោមដែលមិនមានសភាពទ្រុឌទ្រោម ដោយសារតួត្រូវបានបើកយ៉ាងលឿនដើម្បីភ្ជាប់ឈុត SPI flash ខាងក្នុង ឬ M.2 ការដាក់បញ្ចូល PCIe ។
6. ** ពិនិត្យមើលថាតើកុំព្យូទ័រយួរដៃរបស់អ្នកត្រូវបានទុកនៅក្នុង "Sleep / Standby (S3 / S0ix Modern Standby)" ទល់នឹង "បានបិទទាំងស្រុង (S5 / Hibernated S4)" ខណៈ​ដែល​មិន​បាន​មើល​ថែ **:
7. ប្រសិនបើកុំព្យូទ័រយួរដៃរបស់អ្នកគ្រាន់តែដេកលក់ (បិទគំរប) នៅពេលដែលអ្នកវាយប្រហារចូលប្រើវា៖ **ការអ៊ិនគ្រីបពេញថាសរបស់អ្នក (BitLocker, FileVault, LUKS) គ្រាប់ចុចអ៊ិនគ្រីបកម្រិតសំឡេងមេ (VMK) កំពុង​អង្គុយ​ឌិគ្រីប​ជា​អក្សរ​ធម្មតា​នៅ​ក្នុង​កុំព្យូទ័រ​យួរ​ដៃ​របស់​អ្នក DRAM បន្ទះឈីបអង្គចងចាំពេញមួយពេល ** ។ អ្នកវាយប្រហារដែលមានឧបករណ៍ Thunderbolt/USB4 DMA (នៅលើប្រព័ន្ធដែលមិនទាន់បានជួសជុលចាស់) ការវាយប្រហារដោយត្រជាក់ RAM បង្កក ឬការរំលងអេក្រង់ចាក់សោដែលគេស្គាល់អាចអានអង្គចងចាំសកម្មដោយមិនស្គាល់ពាក្យសម្ងាត់របស់អ្នក។
8. ** ប្រសិនបើអ្នកសង្ស័យថាកុំព្យូទ័រយួរដៃដែលកំពុងដេកត្រូវបានរំខាន**: សង្កត់ប៊ូតុងថាមពល ** ឱ្យជាប់រយៈពេល 10 វិនាទីពេញ ** ដើម្បីបង្ខំឱ្យបិទថាមពលរឹងភ្លាមៗ (លុបគ្រាប់ចុច DRAM ដែលងាយនឹងបង្កជាហេតុ) ជាជាងបើកគម្រប ហើយចូល។
9. ** ចាប់ផ្ដើមពី USB Live ខាងក្រៅដែលស្គាល់ច្បាស់ និងបានតែអាន (Ubuntu Live / Tails / SystemRescue រក្សាទុកនៅលើមនុស្សរបស់អ្នកគ្រប់ពេល) ដើម្បីពិនិត្យមើលខាងក្នុងរបស់ដ្រាយវ៍ដែលមិនមានការអ៊ិនគ្រីប /boot និង EFI System Partition (ESP) ហាស់ **៖
10. ប្រសិនបើអ្នកដំណើរការលីនុចជាមួយ LUKS ឬ Windows ជាមួយ BitLockerការចាប់ផ្ដើមពីបន្ទះ USB ខាងក្រៅស្អាតនៅលើម៉ាស៊ីនដាច់ដោយឡែក ឬដែលបានផ្ទៀងផ្ទាត់ អាចឱ្យអ្នកហែករាល់ឯកសារចូល /boot/efi/ (ESP) និង /boot/initramfs-* (sha256sum) ហើយពិនិត្យមើលថាតើពេលវេលាកែប្រែភាគថាស (stat) បានផ្លាស់ប្តូរក្នុងអំឡុងពេលបង្អួច 2 ម៉ោងពិតប្រាកដដែលអ្នកបានចេញពីបន្ទប់សណ្ឋាគាររបស់អ្នក។
11. ** ពិនិត្យមើលកំណត់ហេតុព្រឹត្តិការណ៍ OS (Windows Event Viewer, macOS unified log, Linux journalctl) ពីបរិយាកាសដែលអាចអានបានតែសុវត្ថិភាព ដើម្បីមើលថាតើគម្របត្រូវបានបើក ឧបករណ៍ USB ត្រូវបានបញ្ចូល ឬម៉ាស៊ីនត្រូវបានបិទឡើងវិញ ខណៈពេលដែលអ្នកបានទៅ **៖
12. រាល់ប្រព័ន្ធប្រតិបត្តិការទំនើបៗកត់ត្រាពេលវេលានៃផ្នែករឹងដែលមិនអាចផ្លាស់ប្តូរបានរហូតដល់មិល្លីវិនាទី នៅពេលដែល ACPI Lid Switch បើក ប្រព័ន្ធនឹងភ្ញាក់ពីដំណេក (Kernel-Power Event ID 42 / 107 នៅលើ Windows, Wake reason: EC.LidOpen នៅលើ macOS) ឬ USB ថ្មី។ VID:PID ឧបករណ៍ត្រូវបានរាប់បញ្ចូលនៅលើឡានក្រុង។
13. ** ប្រសិនបើអ្នកជាគោលដៅដែលមានហានិភ័យខ្ពស់ (អ្នកសារព័ត៌មាន អ្នកម៉ៅការការពារក្តី នាយកប្រតិបត្តិ មេធាវីសិទ្ធិមនុស្ស ឬអ្នកចុះហត្ថលេខាលើរតនាគារគ្រីបតូ) ហើយស្វែងរកភស្តុតាងរឹងនៃការបើកតួរាងកាយ ការកំណត់ឡើងវិញ BitLocker/TPM PCR ដែលមិនបានរំពឹងទុក ឬព្រឹត្តិការណ៍ដាស់ដែលមិនមានការអនុញ្ញាតពេលចេញពីកម្មសិទ្ធិរបស់អ្នក សូមចាត់ទុកផ្នែករឹងដូចឆេះ (Quarantine Device) **៖
14. កុំភ្ជាប់កុំព្យូទ័រយួរដៃសង្ស័យទៅនឹង VPN របស់ក្រុមហ៊ុន ឬ Wi-Fi នៅផ្ទះ។ ប្រើស្មាតហ្វូនដាច់ដោយឡែក និងស្អាត (ដែលស្ថិតនៅក្នុងហោប៉ៅរបស់អ្នក) ដើម្បីបង្វិលព័ត៌មានសម្ងាត់របស់អ្នក ដកហូតវគ្គសកម្ម (ការលួចចូលខូគីសម័យ និងការដកហូតលេខសម្ងាត់) និងផ្ទេរប្រាក់ ឬអាថ៌កំបាំងដោយប្រើផ្នែករឹងស្អាត។

មែកធាងនៃការសម្រេចចិត្ត៖ ការវាយតម្លៃកុំព្យូទ័រយួរដៃ ឬឧបករណ៍ដែលមិនបានប្រើប្រាស់ បន្ទាប់ពីមានការសង្ស័យថាមានការចូលប្រើប្រាស់រាងកាយ¶

អនុវត្តតាមដំណើរការការងារនេះ ដើម្បីកំណត់ថាតើឧបករណ៍ដែលមិនបានមើលរបស់អ្នកត្រូវបានចូលប្រើ ឬកែប្រែ ហើយកម្រិតណាដែលទាមទារសំណង៖

flowchart TD
    Start["កុំព្យូទ័រយួរដៃ ទូរស័ព្ទ ឬកាបូបផ្នែករឹងទុកចោលដោយមិនមានអ្នកមើលក្នុងបន្ទប់សណ្ឋាគារ ការត្រួតពិនិត្យព្រំដែន ឬកន្លែងធ្វើការ"] --> StateCheck{"តើ​កុំព្យូទ័រ​យួរ​ដៃ​ស្ថិត​ក្នុង​ស្ថានភាព​អ្វី​ខ្លះ ពេល​ចេញពី​ការ​កាន់កាប់​របស់​អ្នក?"}

    StateCheck -->|"ដេកលក់ / រង់ចាំ (គំរបបិទ, RAM ដំណើរការ) ឬដោះសោ"| HighRiskState["ហានិភ័យខ្ពស់៖ គ្រាប់ចុចអ៊ិនគ្រីបឌីស និងខូគីសម័យគឺស្ថិតនៅក្នុង RAM (ងាយនឹង BadUSB, ចាក់សោអេក្រង់ ឬការស្រង់ចេញ DMA/RAM)"]

    StateCheck -->|"បានបិទទាំងស្រុង (បិទ S5 ត្រជាក់)"| ColdState["ហានិភ័យនៃ RAM ទាប៖ គ្រាប់ចុចមិនមាននៅក្នុង RAM ដូច្នេះអ្នកវាយប្រហារត្រូវតែកែប្រែកម្មវិធីចាប់ផ្ដើមប្រព័ន្ធ (/boot / EFI), Flash SPI BIOS ឬ Plant Hardware Keylogger"]

    HighRiskState --> PhysCheck["ជំហានទី 1៖ ពិនិត្យវីសខាងក្រៅ ថ្នេរខាងក្រោម រន្ធ USB និងខ្សែសាកនៅក្រោមភ្លើងពិលភ្លឺ (កុំប្រើខ្សែដែលមិនបានប្រើឡើងវិញ)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"តើមានអ្វីកើតឡើងនៅពេលអ្នកត្រួតពិនិត្យ Boot Integrity / TPM Measurements?"}

    BootBehavior -->|"BitLocker / TPM ភ្លាមៗទាមទារសោសង្គ្រោះ 48 ខ្ទង់ ឬបង្ហាញការចាប់ផ្ដើមសុវត្ថិភាពដែលបិទ / ផ្លាស់ប្តូរ"| BootTamper["បញ្ជាក់ការកែប្រែផ្លូវចាប់ផ្ដើម៖ TPM PCRs (0, 2, 4, 7) បានរកឃើញកម្មវិធីបង្កប់ BIOS ដែលបានកែប្រែ ជម្រើស ROM ឬ EFI Bootloader"]

    BootBehavior -->|"ចាប់ផ្ដើមជាធម្មតា (ឬត្រួតពិនិត្យបានតែអានតាមរយៈ USB ផ្ទាល់ខាងក្រៅ)"| LogCheck["ជំហានទី 2៖ ធ្វើសវនកម្ម ACPI Lid-Open/Wake Logs & USB Connection History កំឡុងពេលអវត្តមានរបស់អ្នក"]

    LogCheck -->|"កំណត់​ហេតុ​បង្ហាញ​គម្រប​បើក ឧបករណ៍ USB ដែល​បាន​ដោត​ចូល ឬ​មិន​បាន​ពន្យល់​ពី​ការ​ចាប់ផ្ដើម​ឡើង​វិញ​នៅ​ពេល​អ្នក​បាត់"| ConfirmedTouch["បាន​បញ្ជាក់​ការ​ចូល​ប្រើប្រាស់​រាងកាយ​ដែល​មិន​បាន​អនុញ្ញាត"]
    LogCheck -->|"Zero Wake Events, Zero Reboot Gaps, Intact Screw Seals & Verified /boot Hashes"| CleanPass["គ្មានភ័ស្តុតាងនៃការដាស់អេឡិចត្រូនិច ឬការកែប្រែការចាប់ផ្ដើម -> ពង្រឹងពាក្យសម្ងាត់ BIOS + ការការពារខឺណែល DMA + គោលការណ៍បិទពេញលេញ"]

    BootTamper --> BurnDevice["កុំវាយបញ្ចូលលេខសម្ងាត់នៅលើម៉ាស៊ីននេះ៖ ផ្នែករឹងផ្នែកដាច់ពីគេ ដកហូតរាល់ Cloud Sessions/SSH Keys ចេញពីទូរស័ព្ទស្អាត និងរូបភាពបើកបរដោយច្បាប់"]
    ConfirmedTouch --> BurnDevice

វ៉ិចទ័របច្ចេកទេស 5 នៃការវាយប្រហារ "អ្នកបំរើអាក្រក់"¶

ដើម្បីដឹងពីតម្រុយផ្នែកកោសល្យវិច្ច័យដែលត្រូវស្វែងរក សូមស្វែងយល់ពីបច្ចេកទេសជាក់ស្តែងចំនួន 5 ដែលប្រើក្នុងអំឡុងការវាយប្រហារលើកុំព្យូទ័រលើកុំព្យូទ័រយួរដៃ និងកាបូបផ្នែករឹង៖

ដំណាក់កាលទី 1: ការធ្វើកោសល្យវិច្ច័យលើកុំព្យូទ័រយួរដៃរបស់ជនសង្ស័យដែលមិនបានរក្សាទុក (មុនពេលចូល)¶

ប្រសិនបើអ្នកត្រឡប់ទៅបន្ទប់សណ្ឋាគាររបស់អ្នកវិញ ឬទទួលបានកុំព្យូទ័រយួរដៃរបស់អ្នកមកវិញបន្ទាប់ពីការត្រួតពិនិត្យព្រំដែន ហើយចង់ដឹងថាតើមាននរណាម្នាក់បើក ភ្ញាក់ ឬដោតឧបករណ៍ចូលទៅក្នុងវានៅពេលអ្នកមិននៅ សូមធ្វើការត្រួតពិនិត្យទាំងនេះតាមលំដាប់លំដោយ៖

1. ជំហានទី 1: ច្រករូបវិទ្យា ខ្សែ និង Chassis Screw សវនកម្ម¶

1. ** ដាក់ឱ្យនៅដាច់ពីគេនូវខ្សែណាមួយដែលទុកចោលក្នុងបន្ទប់ **៖
2. មួយ O.MG Cable ឬ USB Ninja មើលទៅមិនអាចបែងចែកបាន 100 ភាគរយពីខ្សែ Apple USB-C ត្បាញពិតប្រាកដ ខ្សែ Anker ឬអាដាប់ទ័រ Dell USB-C ត្រង់ចុះក្រោមទៅលេខសៀរៀលដែលឆ្លាក់ដោយឡាស៊ែរនៅលើដៃអាវឧបករណ៍ភ្ជាប់។
3. ប្រសិនបើអ្នកទុកខ្សែ USB-C ខ្សែថាមពល ឬមជ្ឈមណ្ឌល USB ដោយមិនមានការយកចិត្តទុកដាក់ក្នុងបរិយាកាសដែលមានហានិភ័យខ្ពស់ ឈប់ដោតខ្សែទិន្នន័យរបស់វាទៅក្នុងកុំព្យូទ័រយួរដៃរបស់អ្នក; ជំនួសវាដោយខ្សែដែលស្គាល់ល្អពីកាបូបបិទជិតរបស់អ្នក ឬដាក់ ** ឧបករណ៍ទប់ស្កាត់ទិន្នន័យ USB ដែលប្រើតែថាមពល ** (ស្រោមអនាម័យ USB) នៅក្នុងស៊េរីជាមួយវា។
4. **ពិនិត្យគម្របបាតវីស និងថ្នេរក្រោមពន្លឺភ្លើងពិល **៖
5. កាន់ពិលស្មាតហ្វូនរបស់អ្នកនៅមុំ 15 ដឺក្រេ** រាក់ ("ពន្លឺភ្លើង")** ឆ្លងកាត់ក្បាលវីសនីមួយៗនៅផ្នែកខាងក្រោមនៃកុំព្យូទ័រយួរដៃរបស់អ្នក។
6. វីសរោងចក្រដែលត្រូវបានបង្វិលម្តងនៅរោងចក្រដំឡើងមានថ្នាំកូតអាណូឌីសស្អាត និងឯកសណ្ឋាននៅខាងក្នុងរន្ធដោតផ្កាយ/ឈើឆ្កាង។ វីសដែលត្រូវបានដោះវីសនៅក្នុងបន្ទប់សណ្ឋាគារជាមួយនឹងដុំដែកបង្ហាញ ស្នាមដែកពណ៌ប្រាក់ភ្លឺនៅខាងក្នុងរន្ធវីស ធូលីខ្សែពណ៌ខៀវ/ក្រហមដែលរំខាន ឬការតម្រឹមខុសបន្តិចបន្តួចនៃបន្ទះអាលុយមីញ៉ូមខាងក្រោមតាមបណ្តោយរន្ធខ្យល់ខាងក្រោយ។

2. ជំហានទី 2៖ ពិនិត្យមើល OS Wake, Lid-Open, និង Reboot Logs (តើ Laptop បានបើកទេ ខណៈពេលដែលអ្នកបាត់ទៅ?)¶

ចំណាំពេលវេលាពិតប្រាកដដែលអ្នកនៅឆ្ងាយពីកុំព្យូទ័រយួរដៃ (ឧទាហរណ៍ 12:15 PM to 01:45 PM) ទោះបីជាអ្នកវាយប្រហារចាប់ផ្ដើម Live USB stick ក៏ដោយ គម្លាតដែលមិននឹកស្មានដល់ ឬការចាប់ផ្ដើមត្រជាក់នៅក្នុងពេលដំណើរការប្រព័ន្ធប្រតិបត្តិការរបស់អ្នក ឬព្រឹត្តិការណ៍ ACPI Lid-Open អំឡុងពេលបង្អួចនោះ បង្ហាញថាកុំព្យូទ័រយួរដៃត្រូវបានរៀបចំដោយរាងកាយ៖

នៅលើ macOS (MacBook Air / MacBook Pro):¶

បើក Terminal ហើយដំណើរការពាក្យបញ្ជានេះ ដើម្បីបង្ហាញរាល់កម្មវិធី Lid Open, Lid Close, Wake, Sleep, and Power-On/Shutdown hardware event ពី System Management Controller (SMC / PMU) ក្នុងរយៈពេល 24 ម៉ោងចុងក្រោយ៖

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

On Linux (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Check systemd-journald for any boot/shutdown events or lid/sleep transitions during your absence:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. Verify that your unencrypted /boot និង /boot/efi partitions were NOT modified while the machine was powered off: Check the exact Modify និង Change (ctime) inode timestamps of every kernel image, initramfs, និង GRUB EFI binary inside /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (If any file inside /boot ឬ /boot/efi has a Change ឬ Modify timestamp when you were out of the room, or since your last apt/dnf kernel update, your bootloader was tampered with.)

នៅលើ Windows 10/11៖¶

Open an Administrator PowerShell window and query the System Event Log for every Power-On (ID 12), Shutdown (ID 13), Sleep (ID 42), Wake from Sleep (ID 1 / ID 107), and Unexpected Power Loss (ID 41) in the last 24 hours:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Phase 2: Why Apple Silicon Macs & Modern TPM 2.0 + PIN Systems Are Harder to "Evil Maid" (And How to Configure Them Right)¶

Not all laptops are equally vulnerable to physical tampering. Here is how modern hardware roots of trust work and the exact settings you must enable:

1. Apple Silicon MacBooks (M1, M2, M3, M4)¶

Apple Silicon Macs are among the most Evil-Maid-resistant consumer laptops ever built when powered off (S5) and configured with FileVault + Firmware/Recovery Security: - The boot ROM is etched into immutable silicon inside the M-series SoC (Hardware Root of Trust). Every stage of the boot chain (iBoot -> macOS Kernel -> Cryptographically Signed System Volume SSV) is verified by Apple's hardware key before execution. - Storage NAND chips are hardware-encrypted by the Secure Enclave (AES-XTS) using keys tied to your FileVault password with hardware anti-hammering rate limits. - The 3 mandatory settings you must verify on your MacBook right now: 1. FileVault is ON: System Settings > Privacy & Security > FileVault -> ON. 2. បិទការចូលដោយស្វ័យប្រវត្តិ និងទាមទារពាក្យសម្ងាត់ភ្លាមៗនៅពេលគេង៖ ការកំណត់ប្រព័ន្ធ> ចាក់សោអេក្រង់ -> ទាមទារពាក្យសម្ងាត់បន្ទាប់ពីធាតុរក្សាអេក្រង់ចាប់ផ្តើម ឬការបង្ហាញត្រូវបានបិទ -> ភ្លាមៗ។ 3. Block Unauthorized USB / Thunderbolt Accessories When Locked: Go to System Settings > Privacy & Security > Allow accessories to connect and set it to "Ask for New Accessories" or "Ask Every Time" (never "Automatically When Unlocked" or "Always"). When set to "Ask Every Time", plugging a BadUSB keystroke injector or Thunderbolt DMA tool into a locked MacBook drops the port into power-only mode and blocks all PCIe/USB data enumeration at the hardware controller level.

2. Windows 10 / 11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

By default on 99 percent of Windows laptops (Dell, Lenovo, HP, Surface), BitLocker is configured in "TPM-Only" (Transparent Operation) mode: - When you press the power button on a TPM-Only BitLocker laptop, the laptop boots straight to the Windows Lock Screen without asking you for a BitLocker PIN, meaning the TPM chip automatically decrypted the master drive key (VMK) and loaded the Windows OS into RAM. - On any laptop that uses a discrete TPM chip connected to the CPU via the motherboard's SPI ឬ LPC bus, an attacker who opens the bottom cover and clips a $50 logic analyzer onto the TPM chip's MOSI/MISO pin **reads your plaintext BitLocker Volume Master Key (VMK) right off the wire in 5 seconds (BitPixie / TPM-Sniffing) ** ដោយមិនដឹងពាក្យសម្ងាត់ Windows របស់អ្នក។ - Booting all the way to the Windows login screen also exposes the Windows kernel, Wi-Fi stack, and PCIe bus while unattended.

How to Enable a Mandatory BitLocker Pre-Boot Startup PIN (TPM + PIN) on Windows in 2 Minutes:¶

Adding a Pre-Boot BitLocker PIN forces the hardware TPM 2.0 chip to keep the disk encryption key locked inside its tamper-resistant silicon until you physically type your 6-to-20-character pre-boot PIN at the black BIOS/BitLocker screen: 1. Press Win + R, type gpedit.msc, and press Enter (on Windows 10/11 Pro, Enterprise, or Education). 2. Navigate to: Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives. 3. Double-click "Require additional authentication at startup", set it to Enabled, and set Configure TPM startup PIN: to Require startup PIN with TPM។ 4. Open an Administrator Command Prompt or PowerShell and set your new pre-boot BitLocker PIN (to allow alphanumeric passphrases, also enable "Allow enhanced PINs for startup" in the same Group Policy folder):

manage-bde -protectors -add C: -TPMAndPIN

3. លីនុច (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

នៅលើកុំព្យូទ័រយួរដៃលីនុច (Ubuntu, Fedora, Debian, Arch, Qubes OS), ស្តង់ដារ LUKS ការអ៊ិនគ្រីបថាសពេញតម្រូវឱ្យអ្នកវាយពាក្យសំងាត់មុនការចាប់ផ្ដើមមុននឹងការដោះសោរដ្រាយ ** ដែលបញ្ឈប់ការហិតក្លិនរថយន្តក្រុង TPM អកម្ម ** ។ ទោះយ៉ាងណាក៏ដោយ ការដំឡើងស្តង់ដារលីនុចចាកចេញ /boot (initramfs និង vmlinuz) មិនត្រូវបានអ៊ិនគ្រីប ធ្វើឱ្យពួកគេងាយរងគ្រោះទៅនឹង USB Evil Maid ** 2 នាទីបុរាណ /boot ការជំនួស ** លុះត្រាតែអ្នកអនុវត្តជំហានរឹងទាំងបីនេះ៖ 1. **កំណត់ពាក្យសម្ងាត់អ្នកគ្រប់គ្រង UEFI / BIOS ដ៏រឹងមាំ និងបិទ USB ខាងក្រៅ/ការចាប់ផ្ដើមបណ្តាញ ៖ - បញ្ចូល BIOS របស់កុំព្យូទ័រយួរដៃរបស់អ្នក (F2, F1, F10, ឬ Del នៅពេលបើកដំណើរការ) -> ចូលទៅកាន់ Security> Administrator / Supervisor Password ហើយកំណត់ពាក្យសម្ងាត់ខ្លាំង ដូច្នេះអ្នកវាយប្រហារមិនអាចចុចបានទេ។ F12 នៅពេលចាប់ផ្ដើមដើម្បីផ្ទុកបន្ទះ USB ។ 2. បើកដំណើរការ UEFI Sure Boot + ចុះមោះកូនសោផ្ទាល់ខ្លួន / រូបភាពខឺណែលបង្រួបបង្រួមដែលបានចុះហត្ថលេខា (sbctl + UKI) **៖ - ឧបករណ៍ដូចជា **sbctl** (Arch, Fedora, kzwxh:0134, Ubuntu) បណ្តុំខឺណែលលីនុច បន្ទាត់ពាកបញ្ជា ខឺណែល និង initramfs ចូលទៅក្នុងរូបសញ្ញាសម្ងាត់មួយដែលបានចុះហត្ថលេខា **រូបភាពខឺណែលបង្រួបបង្រួម (UKI .efi)** ផ្ទៀងផ្ទាត់ដោយ UEFI Secure Boot hardware key របស់អ្នក (PK / klzzwxh:40 / db)្រសិនបើ Evil Maid កែប្រែមួយបៃរបស់អ្នក initramfsកម្មវិធីបង្កប់ UEFI បដិសេធមិនដំណើរការវា ហើយបង្ហាញការព្រមាន **Secure Bootiolation ពណ៌ក្រហម មុនពអ្នកវាយពាក្យសម្ងាត់ LUKS របស់អ្នក។ 3. ** ផ្ទៀងផ្ទាត់ IOMMU / Kernel DMA Protection និងដំឡើង USBGuard៖ - ពិនិត្យមើលថាខឺណែលលីនុច IOMMU សកម្ម (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") ហើយ​ដំឡើង usbguard (sudo apt install usbguard) ដើម្បីទប់ស្កាត់ការបញ្ចូលថ្មី។ HID keyboards (03:*:*) while your screen is locked.

Phase 3: DIY Physical Tamper Detection Seals for High-Risk Travel ("Glitter Nail Polish" & Haven)¶

មន្រ្តីស៊ើបការណ៍សម្ងាត់ អ្នកស្រាវជ្រាវផ្នែករឹង និងអ្នកសារព័ត៌មានស៊ើបអង្កេតប្រើប្រាស់បច្ចេកទេសរកឃើញការរំខានរាងកាយដែលមិនអាចបំភ្លេចបានចំនួនពីរដែលមិនអាចបំភ្លេចបាន៖

1. The "Glitter Nail Polish + Macro Photo" Screw Seal (Uncounterfeitable Entropy)¶

Standard commercial "VOID IF REMOVED" holographic stickers can be purchased on Amazon for $10, peeled off, and replaced with an identical sticker. Glitter nail polish is mathematically unforgeable: 1. Buy a $5 bottle of clear nail polish filled with multi-colored, multi-sized metallic glitter flakes. 2. Paint a small dab of glitter nail polish across two recessed bottom-cover screws (bridging the screw head to the surrounding chassis metal) and across the bottom seam of your laptop (or across tape sealing your padded laptop bag). 3. Once it dries, take a high-resolution macro photograph of each glitter seal using your smartphone camera (which stays in your pocket). 4. Why an attacker cannot defeat it: Even if the attacker carries the exact same brand of glitter nail polish, the random 2D geometric orientation, color distribution, and overlap angles of 80 individual glitter flakes form a unique physical fingerprint. When you return to your hotel room, snap a second photo of the screw seal from the same angle and compare the "Before" and "After" photos on your phone: if a single screw was turned by even 5 degrees, the glitter pattern shifts noticeably.

2. Turning a Spare Old Android Phone into a Physical Hotel Room Intrusion Sensor (Haven កម្មវិធី)¶

• បង្កើតដោយ គម្រោងអាណាព្យាបាល និង សេរីភាពសារព័ត៌មាន ដែលជាកម្មវិធីប្រភពបើកចំហឥតគិតថ្លៃរបស់ Android Haven: Keep Watch ប្រែក្លាយទូរស័ព្ទ Android ទំនេរណាមួយទៅជាចលនា សំឡេង រំញ័រ (ឧបករណ៍វាស់ល្បឿន) និងឧបករណ៍ចាប់ពន្លឺព័ទ្ធជុំវិញ។
• មុន​ពេល​ទុក​កុំព្យូទ័រ​យួរ​ដៃ​របស់​អ្នក​ក្នុង​បន្ទប់​សណ្ឋាគារ​ដោយ​សុវត្ថិភាព ឬ​ថត​រូប សូម​ដាក់​ទូរសព្ទ​ទំនេរ​ឱ្យ​ដំណើរការ Haven ខាង​លើ​នៃ​កុំព្យូទ័រ​យួរ​ដៃ​របស់​អ្នក​នៅ​ក្នុង​ថត​បិទ​ជិត ឬ​កាបូប៖ បើ​អ្នក​ណា​ម្នាក់​បើក​ថត (ប្តូរ​ការ​អាន​ឧបករណ៍​ចាប់​សញ្ញា​ពន្លឺ​ជុំវិញ) ឬ​ប៉ះ​កុំព្យូទ័រ​យួរដៃ Haven ថតរូបដោយស្ងៀមស្ងាត់ ថតសំឡេង និងផ្ញើការជូនដំណឹង Signal ដែលបានអ៊ិនគ្រីបទៅកាន់ទូរសព្ទចម្បងនៅក្នុងហោប៉ៅរបស់អ្នក។

3. ការឆ្លងកាត់ព្រំដែនអន្តរជាតិ និងការត្រួតពិនិត្យអាកាសយានដ្ឋានបន្ទាប់បន្សំដោយសុវត្ថិភាព¶

ប្រសិនបើអ្នកធ្វើដំណើរទៅក្រៅប្រទេសតាមរយៈយុត្តាធិការដែលមានហានិភ័យខ្ពស់ ដែលមន្ត្រីគយ ឬមន្ត្រីព្រំដែនអាចយកកុំព្យូទ័រយួរដៃ និងទូរស័ព្ទចេញពីការមើលឃើញ៖ 1. ធ្វើដំណើរជាមួយកុំព្យូទ័រយួរដៃ និងទូរស័ព្ទ "Clean Travel/Burner" ដែលឧស្សាហ៍ព្យាយាម៖ កុំយកស្ថានីយការងារចម្បងរបស់អ្នក កន្លែងដាក់ពាក្យសម្ងាត់ពេញមួយជីវិត ឬសោ SSH ឆ្លងកាត់ព្រំដែនដែលមានហានិភ័យខ្ពស់។ យក Chromebook ស្អាត ឬកុំព្យូទ័រយួរដៃដែលមានរូបភាពស្រស់ៗដែលមានតែឯកសារជាក់លាក់ដែលត្រូវការសម្រាប់ការធ្វើដំណើរនោះ ហើយចូលប្រើការងាររសើបយ៉ាងតឹងរ៉ឹងលើវគ្គកុំព្យូទ័រពីចម្ងាយដែលបានផ្ទៀងផ្ទាត់បន្ទាប់ពីមកដល់។ 2. ** បិទភ្លើងទាំងស្រុង (S5) 10 នាទីមុនពេលចូលសាលគយ **៖ បិទកុំព្យូទ័រយួរដៃនិងទូរស័ព្ទទាំងស្រុង (Power Off) មុនពេលចុះពីលើយន្តហោះ ដូច្នេះ DRAM ខូចទាំងស្រុង និងដោះសោជីវមាត្រ (Face ID / Touch ID) ត្រូវ​បាន​បិទ​ជា​ការ​អនុគ្រោះ​នៃ​លេខសម្ងាត់​លេខ​សម្ងាត់​ខ្លាំង។

លេខសង្គ្រោះបន្ទាន់ក្នុងតំបន់ និងពិធីការភ្នាក់ងារ¶

ការជ្រៀតជ្រែករាងកាយជាមួយផ្នែករឹងកុំព្យូទ័រ ការដាំកូនសោផ្នែករឹងលាក់បាំង ឬចារកម្មតាមព្រំដែន/សណ្ឋាគារដែលគ្មានការអនុញ្ញាត គួរតែត្រូវបានរាយការណ៍ទៅភ្នាក់ងារប្រឆាំងចារកម្មជាតិ និងភ្នាក់ងារការពារតាមអ៊ីនធឺណិត៖

• ** សហរដ្ឋអាមេរិក និងកាណាដា **៖
• សេវាសង្គ្រោះបន្ទាន់៖ ចុច911 ប្រសិនបើអ្នករកឃើញអ្នកឈ្លានពាននៅក្នុងបន្ទប់សណ្ឋាគារ ឬលំនៅដ្ឋានរបស់អ្នក។
• ** ការិយាល័យស៊ើបអង្កេតសហព័ន្ធ (FBI) ផ្នែកប្រឆាំងការស៊ើបការណ៍សម្ងាត់ & អ៊ីនធឺណិត / IC3**៖ ប្រសិនបើអ្នកជាអ្នកដំណើរអាមេរិក អ្នកម៉ៅការការពារ អ្នកស្រាវជ្រាវ ឬនាយកប្រតិបត្តិដែលកុំព្យូទ័រយួរដៃ ឬទូរស័ព្ទត្រូវបានរំខាននៅបរទេស ឬនៅក្នុងសណ្ឋាគារ សូមរាយការណ៍ពីឧបទ្ទវហេតុនេះទៅកាន់ FBI Field Office Counterintelligence Squad ឬនៅ ic3.gov និង cisa.gov/report (រក្សាទុកខ្សែ ឬកុំព្យូទ័រយួរដៃដែលមិនប៉ះក្នុងកាបូប Faraday សម្រាប់ការវិភាគមន្ទីរពិសោធន៍កោសល្យវិច្ច័យរបស់ FBI)។
• ** សេវាស៊ើបការណ៍សន្តិសុខកាណាដា (CSIS) & Cyber Centre**: Call 1-833-CYBER-88 ឬទាក់ទង CSIS (613-993-9620) សម្រាប់​ការ​សង្ស័យ​ថា​មាន​ការ​រំខាន​ឧបករណ៍​រាងកាយ​បរទេស។
• ** ចក្រភពអង់គ្លេស **៖
• សេវាសង្គ្រោះបន្ទាន់៖ ចុច999 (ឬ 101 សម្រាប់ប៉ូលីស) ។
• ** មជ្ឈមណ្ឌលជាតិសន្តិសុខតាមអ៊ីនធឺណិត (NCSC) & National Protective Security Authority (NPSA)**: UK government, academic, and enterprise travelers should follow NCSC / NPSA Overseas Travel Device Guidance and report suspected physical hardware tampering via ncsc.gov.uk។
• ** សហភាពអឺរ៉ុប **៖
• សេវាសង្គ្រោះបន្ទាន់៖ ចុច112 នៅទូទាំងរដ្ឋជាសមាជិកសហភាពអឺរ៉ុបទាំងអស់។
• National CSIRTs / Domestic Security Agencies (ANSSI France, BSI Germany, AIVD/NCSC-NL Netherlands): Report suspected firmware or hardware implants to your national CSIRT for hardware SPI/UEFI forensic verification.
• ** អូស្ត្រាលី និងនូវែលសេឡង់ **៖
• សេវាសង្គ្រោះបន្ទាន់៖ ចុច000 នៅប្រទេសអូស្ត្រាលី ឬ 111 នៅប្រទេសនូវែលសេឡង់។
• ** មជ្ឈមណ្ឌលសន្តិសុខអ៊ីនធឺណិតអូស្ត្រាលី (ACSC / ASD) & ASIO Outreach**: Call **1300 CYBER1 (1300 292 371) **។
• ឥណ្ឌា និងអាស៊ីប៉ាស៊ីហ្វិក៖
• ** ប្រទេសឥណ្ឌា (CERT-In / Emergency)**: Dial 112 for police or report hardware/firmware security incidents to incident@cert-in.org.in។

សំណួរដែលគេសួរញឹកញាប់¶

Why did my Windows laptop suddenly stop booting normally and ask for my 48-digit BitLocker Recovery Key right after I left it in my hotel room?¶

When BitLocker is enabled on a Windows laptop, the hardware Trusted Platform Module (`TPM 2.0`) measures the cryptographic SHA-256 hash of your BIOS/UEFI firmware (`PCR 0`), option ROMs (`PCR 2`), UEFI Boot Manager (`PCR 4`), and Secure Boot state (`PCR 7`) every single time the laptop turns on. If someone touched your laptop while you were out of the room and it suddenly halts at a blue screen demanding your 48-digit BitLocker Recovery Key, one of two things happened: either a legitimate BIOS update just installed, or someone changed your BIOS boot order, disabled Secure Boot, booted an external USB stick, or modified your bootloader firmware, causing the TPM PCR hashes to change and triggering BitLocker's anti-tamper lockdown. Do not enter your 48-digit recovery key until you inspect the BIOS logs and boot chain, because typing your recovery key into a tampered boot environment exposes your drive.

If I lock my Windows or Mac screen (Win+L / Ctrl+Cmd+Q) មុនពេលដើរចេញនៅហាងកាហ្វេ ឬសណ្ឋាគារ តើនរណាម្នាក់នៅតែអាច Hack វាតាមរយៈរន្ធ USB-C បានទេ?¶

វាអាស្រ័យលើការកំណត់ពីរ៖ ទីមួយប្រសិនបើនរណាម្នាក់ដោត a ឧបករណ៍ចាក់បញ្ចូលគ្រាប់ចុច BadUSB (`Flipper Zero` ឬ `Rubber Ducky`) ចូលទៅក្នុងកុំព្យូទ័រយួរដៃដែលចាក់សោ ក្តារចុចក្លែងក្លាយអាចវាយបញ្ចូលក្នុងប្រអប់ពាក្យសម្ងាត់នៅលើអេក្រង់ចាក់សោប៉ុណ្ណោះ (វាមិនអាចបើកស្ថានីយខណៈពេលដែលអេក្រង់ត្រូវបានចាក់សោ)។ ទីពីរ ទោះជាយ៉ាងណាក៏ដោយប្រសិនបើកុំព្យូទ័រយួរដៃមានចាស់ជាងនេះ។ ច្រក Thunderbolt 3/4 ឬ USB4 ដោយគ្មាន Kernel DMA Protection ត្រូវបានបើកឧបករណ៍ផ្នែករឹង PCIe DMA ឯកទេស (`PCILeech`) អាចអាន និងសរសេរ RAM ប្រព័ន្ធដោយផ្ទាល់តាមរយៈឡានក្រុង PCIe ខណៈពេលដែលអេក្រង់ត្រូវបានចាក់សោ។ ការបើកដំណើរការ ការការពារខឺណែល DMA នៅក្នុង Windows (`System Information > Kernel DMA Protection: On`) ឬការកំណត់ macOS **អនុញ្ញាតគ្រឿងបន្ថែមដើម្បីភ្ជាប់ -> សួររាល់ពេល** រារាំងការចូលប្រើទិន្នន័យ USB-C/Thunderbolt ទាំងស្រុង ខណៈពេលដែលអេក្រង់ត្រូវបានចាក់សោ។

តើខ្ញុំអាចស្កេនកម្មវិធីបង្កប់ UEFI / BIOS របស់ motherboard របស់ខ្ញុំពីខាងក្នុង Linux ឬ Windows ដើម្បីមើលថាតើ Evil Maid បញ្ចេញកម្មវិធីបង្កប់បង្កប់ឬអត់?¶

បាទ។ ឧបករណ៍សុវត្ថិភាពកម្មវិធីបង្កប់ប្រភពបើកចំហដែលបង្កើតឡើងដោយ Intel និងអ្នកស្រាវជ្រាវសុវត្ថិភាពជាពិសេស CHIPSEC (`github.com/chipsec/chipsec`) និង fwupd (`fwupdmgr security`) នៅលើលីនុច អនុញ្ញាតឱ្យអ្នកលុបរូបភាព SPI flash ROM ផ្ទាល់របស់អ្នកដោយផ្ទាល់ពី motherboard (`chipsec_util spi dump rom.bin`), ផ្ទៀងផ្ទាត់ថាតើ hardware BIOS Write Protection (`BIOS_CNTL` `BLE`/`BWE` ប៊ីត និង `PR0-PR4` ការចុះឈ្មោះជួរការពារ) ត្រូវបានចាក់សោយ៉ាងត្រឹមត្រូវ ហើយប្រៀបធៀប SPI flash cryptographic hash របស់អ្នកជាមួយនឹងរូបភាព BIOS ផ្លូវការរបស់ក្រុមហ៊ុនផលិត។

តើវាមានសុវត្ថិភាពក្នុងការចាក់សោកុំព្យូទ័រយួរដៃ ឬកាបូបលុយគ្រីបផ្នែករឹងរបស់ខ្ញុំនៅខាងក្នុងបន្ទប់សណ្ឋាគារដោយសុវត្ថិភាពដែរឬទេ?¶

កុំពឹងផ្អែកលើក្តារចុចអេឡិចត្រូនិចស្តង់ដារបន្ទប់សណ្ឋាគារដើម្បីការពារប្រឆាំងនឹងការវាយប្រហាររបស់ Evil Maid ។ ស្ទើរតែគ្រប់កន្លែងសុវត្ថិភាពអេឡិចត្រូនិចរបស់សណ្ឋាគារទាំងអស់មានរន្ធសោរឆ្លងកាត់មេកានិចជាសកលដែលលាក់នៅពីក្រោយផ្លាកសញ្ញាផ្លាស្ទិចនៅលើបន្ទះខាងមុខ ក៏ដូចជាលេខកូដត្រួតលើមេរបស់រោងចក្រ (`000000` ឬ `999999`) ស្គាល់បុគ្គលិកសណ្ឋាគារ។ ប្រសិនបើបន្ទប់សណ្ឋាគារមានសុវត្ថិភាពគឺជាជម្រើសតែមួយគត់របស់អ្នក សូមដាក់កុំព្យូទ័រយួរដៃដែលបិទភ្លើងរបស់អ្នកនៅខាងក្នុង កាបូប​សុវត្ថិភាព​ដែល​មាន​សៀរៀល​ដែល​មាន​ភស្តុតាង​ច្បាស់លាស់ (ឬ​លាប​ស្នាម​ក្រចក​រលោង​ដែល​ថត​បាន​នៅ​លើ​ថ្នេរ) ដូច្នេះ​អ្នក​នឹង​ដឹង​ភ្លាម​ថា​តើ​ឧបករណ៍​របស់​អ្នក​ត្រូវ​បាន​ប៉ះ។

អ្វី​ទៅ​ជា​ការ​លាក់​ខ្លួន (Hibernation)S4)" ទល់នឹង "គេង (S3 / S0ix)" ហើយតើ Hibernation ការពារប្រឆាំងនឹងការវាយប្រហាររបស់ RAM / DMA Evil Maid ដែរឬទេ?¶

នៅពេលដែលកុំព្យូទ័រយួរដៃចូល គេង (`S3` ឬ `S0ix`)បន្ទះឈីប RAM នៅតែបើកដំណើរការ និងសង្កត់គ្រាប់ចុចអ៊ិនគ្រីបឌីសរបស់អ្នកនៅក្នុងអង្គចងចាំដែលងាយនឹងបង្កជាហេតុ។ នៅពេលដែលកុំព្យូទ័រយួរដៃចូលទៅក្នុងការពិត Hibernation (`S4`)ប្រព័ន្ធប្រតិបត្តិការសរសេរមាតិកានៃ RAM ទៅក្នុងឯកសារ hibernation ដែលបានអ៊ិនគ្រីប (`hiberfil.sys` ឬការប្តូរដែលបានអ៊ិនគ្រីប) នៅលើ SSD ដែលបានអ៊ិនគ្រីប លុបសោការអ៊ិនគ្រីបឌីសមេ ហើយកាត់ថាមពលអគ្គិសនីទាំងអស់ទៅកាន់ motherboard និង RAM ទាំងស្រុង (ដូចជាការបិទទាំងស្រុង)។ ដូច្នេះទាំងពីរ ** ការបិទពេញលេញ (`S5`) ** និង ** Hibernation (`S4`) នៅលើដ្រាយដែលត្រូវបានការពារដោយការចាប់ផ្ដើម BitLocker PIN ឬ LUKS passphrase** ការពារ RAM របស់អ្នកប្រឆាំងនឹងការវាយប្រហារដោយ DMA និង cold-boot ដោយបានផ្តល់ Secure Boot និងពាក្យសម្ងាត់ BIOS ការពារ `/boot` ការរំខាន។

ការណែនាំដែលពាក់ព័ន្ធ¶

• ឧបករណ៍ទប់ស្កាត់ទិន្នន័យបញ្ជរសាកថ្មសាធារណៈ (ស្រោមអនាម័យ USB) និងការចាក់ BadUSB HID
• BitLocker, FileVault, និង LUKS encryption recovery key lockout and TPM reset
• BIOS និង UEFI កម្មវិធីបង្កប់អាប់ដេតឥដ្ឋ ការបាត់បង់ថាមពល និង Dual-BIOS Flashback
• កុំព្យូទ័រ​យួរ​ដៃ ឬ​ទូរស័ព្ទ​ដែល​ត្រូវ​គេ​លួច៖ លុប​ពី​ចម្ងាយ និង​ការ​ចាក់សោ​គណនី
• ការបង្ហូរកាបូប Cryptocurrency និងការសម្របសម្រួលឃ្លាគ្រាប់ពូជ
• លេខអាសន្នតាមប្រទេស

ប្រភព និងការណែនាំផ្លូវការ¶

• វិទ្យាស្ថានស្តង់ដារ និងបច្ចេកវិទ្យាជាតិ (NIST) (សហរដ្ឋអាមេរិក)៖ ការបោះពុម្ពផ្សាយពិសេស 800-147B (គោលការណ៍ណែនាំការពារ BIOS សម្រាប់ម៉ាស៊ីនមេ និងស្ថានីយការងារ) & SP 800-155 (គោលការណ៍ណែនាំអំពីការវាស់វែងភាពសុចរិតរបស់ BIOS)។
• ទីភ្នាក់ងារសន្តិសុខជាតិ (NSA) & ទីភ្នាក់ងារសន្តិសុខអ៊ីនធឺណិត និងហេដ្ឋារចនាសម្ព័ន្ធ (CISA) (សហរដ្ឋអាមេរិក): * ការធ្វើឱ្យរឹង UEFI Secure Boot, ម៉ូឌុលវេទិកាដែលអាចទុកចិត្តបាន (TPM 2.0) ការកំណត់រចនាសម្ព័ន្ធកូដ PIN ជាមុន និងកាត់បន្ថយការចូលប្រើអង្គចងចាំផ្ទាល់របស់ Thunderbolt/PCIe (DMA) ការវាយប្រហារ * ។
• មជ្ឈមណ្ឌលជាតិសន្តិសុខតាមអ៊ីនធឺណិត (NCSC) & National Protective Security Authority (NPSA) (ចក្រភពអង់គ្លេស)៖ ខ្សែសង្វាក់ផ្គត់ផ្គង់ និងសុវត្ថិភាពឧបករណ៍សម្រាប់ការធ្វើដំណើរក្រៅប្រទេស ការបិទត្រាតាមភស្តុតាង និងការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវនៃការចាប់ផ្ដើម។
• Microsoft Hardware Security Documentation & Linux Kernel IOMMU / fwupd ការបញ្ជាក់សុវត្ថិភាពម៉ាស៊ីន (HSI): * ការការពារខឺណែល DMA (VT-d / AMD-Vi) និងវិធានការប្រឆាំង BitLocker ប្រឆាំងនឹងការស្រមុកឡានក្រុង TPM ដាច់ដោយឡែក*។