Destdirêjiya Amûra Fîzîkî (Êrîşa 'Xizmetkarê Xirab'): Kontrolkirina Laptopê ya Bêserûber û Zehmetkirina DMA¶

Vegera jûreyek otêlê, qada kontrolê ya duyemîn a gumrika balafirgehê, salona axaftvana konferansê, an maseya xebatê ya hevpar ji bo ku hûn bibînin ku laptop, smartphone, an berîka hardware ya krîptoyê dest daniye, hatiye barkirin, ji xewê şiyar bûye, an vekiriye dema ku ji çavê we ne, bûyerek ewlekariya laşî ya bilind e ku di krîptografî û îstîxbaratê de tê zanîn ** Joanna Rutkowska). Firewallek nermalava klasîk an bernameyek antivirus texmîn dike ku êrîşkar li aliyê din ê înternetê ye; dema ku hûn di taştê de ne, di civînekê de ne, an jî di jûreyek teftîşê de girtî ne, êrîşkarek Xirabekar xwediyê **destûra fizîkî ye ** 2 heya 30 hûrdeman gihîştina cîhaza we **. Li gorî sofîstîkasyona êrîşkar, 90 saniye gihîştina laşî bes e ji bo pêvekirina BadUSB-ê bişkojka derziyê ya lastîkî an PCIe/Thunderbolt Têketina Bîra Rasterê (DMA) Amûra çîpekê bike laptopek di xew de, 15$ bernamesazek ​​flash CH341A SPI bixin ser çîpa BIOS-ê ya dayikê an jî ya neşîfrekirî bihînin. LPC/SPI Otobusa TPM, kabloya xweya barkirinê ya USB-C bi kabloyek implantkirî ya keylogger-a bêtêl biguherînin (O.MG Cable), an jî ya neşîfrekirî biguherînin /boot dabeşkirin (initramfs) ji ber vê yekê gava ku hûn wê binivîsin ew şîfreya şîfrekirina tev-dîska we digire. Ji bo êrîşên kiosk şarjê USB li balafirgehan, şêwir bikin astengkerên daneya kioskê barkirina giştî û derzîlêdana BadUSB HID; heke ajokera weya BitLocker, FileVault, an LUKS ji nişkê ve ji bo bişkojka vegerandinê li ser bootê bixwaze piştî ku kesek dest li laptopa we kir, binêre BitLocker, FileVault, û LUKS kilîla vegerandina şîfrekirinê û vesazkirina TPM; û heke cîhaza we bi domdarî hate girtin, biguherînin Laptop an têlefonê ji dûr ve paqijkirin û girtina hesabê hatî dizîn. Ger hûn tavilê di xetereya laşî de ne an hûn bi binçavkirina neqanûnî re rû bi rû ne, jimara xweya acîl ya herêmî (911 li Dewletên Yekbûyî û Kanada, 112 li seranserê Yekîtiya Ewropayê, 999 li Keyaniya Yekbûyî) an bi pelrêça me ya navneteweyî şêwir bikin hejmarên acîl.

Vê niha bikin¶

1. ** Şîfrekirina Tev-Dîska xwe nenivîse (BitLocker / LUKS / FileVault) şîfreya derbasbûnê, şîfreya têketinê ya OS-ê, an şîfreya sereke di laptopa gumanbar de heke ew ji nişka ve şîfreyek an mifteya vegerandinê bixwaze piştî ku bê şopandin **:
2. Êrîşa Evil Maid ya klasîk li şûna bootloader-a neşîfrekirî an initramfs wêneya li ser laptopek ku pêdiviya Bootê ya Pîvan / Boota Ewle tune ye (an jî dongek USB-ya klavyeya hişk a zelal di navbera klavyeya/dok û laptopê de girêdide) da ku gava din hûn xweya xwe binivîsin LUKS an BitLocker şîfreya derbasbûnê, bootloader-a trojanîzekirî şîfreya weya rastnivîsê tomar dike û wê vediguhezîne an li ser dîskê vedişêre.
3. Berî ku destê xwe bidin klavyeyê, di binê çiraya LED-a têlefona xwe de 60 çirke vekolînek laşî ya derveyî ya hemî port, kablo û pîlên şasê pêk bînin:
4. **Her kabloya USB-C, USB-A, HDMI, Ethernet, û elektrîkê ya ku di laptopê de tê girêdan an li ser maseya otêlê rûniştine veqetînin û kontrol bikin. Êrîşker bi gelemperî kabloya şarjê ya Apple-ya spî ya standard an USB-C ya reş a qurbaniyek ji bo kabloyek yek-hev diguherînin O.MG Cable / USB Ninja kablo (ku tê de nuqteyek gihîştina Wi-Fi ya veşartî û mîkrokontrollerek veşarî di hundurê qalika girêdana USB-C de ye ku bişkojka bişkojkê derdixe û seyrûseferê tomar dike).
5. Lapptopê serûbin bikin û pêlên qapaxa jêrîn û lingên gomîkê teftîş bikin: Li çîpên metal ên mîkroskopî yên nû li ser bigerin P5 Pentalobe, Torx T5, an Phillips serê çîçan, morên tampê yên qulikê winda ne, an dirûskek quncikê jêrîn ku li hev rûneniştiye ji ber ku şase bi lez û bez vekiriye da ku pêvekek fîşa SPI-ya hundurîn vebike an M.2 PCIe implant.
6. ** Kontrol bikin ka laptopa we di "Xew / Standby" de maye (S3 / S0ix Standby Modern)" vs.S5 / Hibernated S4)" dema ku bê şopandin **:
7. Heke laptopa we tenê di xew de bû (Pîdank girtî) dema ku êrîşkar gihîştî wê: **Şîfrekirina Tev-Dîska we (BitLocker, FileVault, LUKS) mifteya şîfrekirina volume ya sereke (VMK) di hundurê guheztina laptopa we de bi nivîsa sade deşîfrekirî rûniştibû DRAM chips bîra tevahiya dema **. Êrîşkerek bi amûrek Thunderbolt/USB4 DMA (li ser pergalên nepatched ên kevnar), êrîşek cemidandina RAM-ê ya sar-boot-ê, an rêça kilîtkirî ya naskirî dikare bîranîna çalak bixwîne bêyî ku şîfreya we zanibe.
8. Heke hûn guman dikin ku laptopa di xew de hatiye desteserkirin: Bişkoka Elektrîkê ya fizîkî 10 saniyeyên tije tijî girêbidin da ku tavilê hêzek hişk (paqijkirina bişkokên DRAM-ê yên bêserûber) bixin şûna vekirina qapaxê û têketinê.
9. ** Ji USB-ya Zindî ya derveyî ya naskirî-paqij-tenê-xwende-boot (Ubuntu Live / Tails / SystemRescue her dem li ser kesê we tê girtin) da ku ajokera hundurîn a neşîfrekirî vekolînin /boot û EFI System Partition (ESP) haş **:
10. Heke hûn bi Linux re dimeşînin LUKS an Windows bi BitLocker, Bootkirina ji USB-ya paqij a derveyî ya li ser makîneyek veqetandî an pejirandî dihêle hûn her pelê tê de bişkînin /boot/efi/ (ESP) û /boot/initramfs-* (sha256sum(stat) di pencereya tam 2-saetê de ku hûn ji odeya xweya otêlê derketin guheztin.
11. ** Têketinên Bûyerên OS-ê kontrol bikin (Windows Event Viewer, macOS unified log, Linux journalctl) ji hawîrdorek ewle-tenê-xwendina ku hûn bibînin ka qapax hate vekirin, cîhazek USB hatî danîn, an dema ku hûn neçûn makîne ji nû ve hate destpêkirin **:
12. Her pergala xebitandinê ya nûjen dema ku ** ACPI Lid Switch** vedibe, îşaretek zemanek neguhêrbar heya millisecondê tomar dike, pergal ji xewê şiyar dibe (Kernel-Power Event ID 42 / 107 li ser Windows, Wake reason: EC.LidOpen li ser macOS), an USB-ya nû VID:PID cîhaz di otobusê de tê jimartin.
13. Heke hûn hedefek xeternak in (rojnamevan, peykerê parastinê, rêveber, parêzerê mafên mirovan, an îmzekarê xezîneya krîptoyê) û delîlên dijwar ên vekirina şûşeya laşî, vesazkirinên neçaverêkirî yên BitLocker/TPM PCR, an bûyerên şiyarbûnê yên bêdestûr dema ku li derveyî destê we ne, hardware wekî şewitandî binirxînin (Quarantine Device):
14. Laptopa gumanbar bi VPN ya pargîdanî an Wi-Fi ya malê ve girêdin. Ji bo zivirandina pêbaweriyên xwe, danişînên çalak betal bikin (ku di berîka we de ma) smartphoneyek cihêreng, paqij bikar bînin (revandina cookie ya rûniştinê û rakirina şîfreya şîfreyê), û bi karanîna nermalava paqij drav an razan veguhezînin.

Dara biryarê: nirxandina laptopek an amûrek bêserûber piştî gihîştina laşî ya gumanbar¶

Vê xebata xebatê bişopînin da ku hûn diyar bikin ka cîhaza weya bêserûber bi fizîkî gihîştiye an hate guheztin û çi asta sererastkirinê hewce ye:

flowchart TD
    Start["Li Odeya Otêlê, Teftîşa Serhedê, an Cihê Hevkariyê de Bêserûber hiştin."] --> StateCheck{"Dema ku Laptop ji destê we ne di kîjan dewleta hêzê de bû?"}

    StateCheck -->|"Di xew de / Standby (Pîdank Girtî, RAM Powered) AN Vekirî"| HighRiskState["RÎSKA BILIND: Bişkojkên Şîfrekirina Dîskê û Cookiyên Danişînê di RAM-ê de Zindî bûn (Ji BadUSB-a BadUSB, Girtî-Pêşkêşkirina Dîmenê, an Derxistina DMA/RAM-ê re têkildar in)"]

    StateCheck -->|"Bi tevahî veqetandî (Girtina S5 ya Sar)"| ColdState["RÎSKA RAMÊ JÊZ KIR: Bişkok ne di RAM-ê de bûn, ji ber vê yekê divê êrîşkar Bootloader (/boot / EFI), Flash SPI BIOS, an Keylogger Hardware Plant Biguherîne"]

    HighRiskState --> PhysCheck["GAV 1: Pêlên Derveyî, Deryaya Binî, Portên USB, û Kabloyên Barkirinê Di bin Çiraya Ronahî de Teftîş bikin (Kabloyên Bêserûber ji nû ve bikar neynin)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Çi Diqewime Gava ku hûn Yekbûna Boot / Pîvana TPM-ê kontrol dikin?"}

    BootBehavior -->|"BitLocker / TPM Ji nişka ve Mifteya Vegerandina 48-hejmarî AN Pêşandanên Boot Ewle neçalak / Guhertin Daxwaz dike"| BootTamper["GUHERÎNA RÊYA BOOTÊ PÊKIRTAND: TPM PCR (0, 2, 4, 7) Firmware BIOS-ya Guherînkirî, Vebijarka ROM, an Bootloader EFI-yê hatine guheztin"]

    BootBehavior -->|"Bi Normalî Boots (An Ji hêla USB-ya Zindî ya Derveyî ve Tenê Xwendin-Tenê vekolîn kirin)"| LogCheck["GAV 2: Kontrola ACPI Lid-Vekirî / Têketinên Hişyar & Dîroka Têkiliya USB Di Paceya Nebûna We de"]

    LogCheck -->|"Qeyd nîşan dide ku qapaxa vekirî, cîhaza USB-ê tê girêdan, an dema ku hûn neçûn ji nû ve vesazkirina nediyar nîşan didin"| ConfirmedTouch["GIRTINA FIZÎKÎ BÊ DESTÛR PÊKIRTÎ"]
    LogCheck -->|"Bûyerên Sifir Wake, Zero Gapên Rebootê, Mohrên Screw Bêkêmasî & Verastkirî / Hashes boot"| CleanPass["Delîlên Wake Elektronîkî an Guhertina Boot tune -> Şîfreya BIOS-ê bicîh bikin + Parastina DMA ya Kernel + Siyaseta Tevahî Girtin"]

    BootTamper --> BurnDevice["LI SER VÊ MAKÎNEYÊ ŞÎFERÊ NEKIN: Hardware qerentîne bikin, Hemî Rûniştinên Cloud/Bişkojkên SSH ji Têlefona Paqij Rakin, û Wêne Drive Bi Forensî Bike"]
    ConfirmedTouch --> BurnDevice

5 Vektorên Teknîkî yên Êrîşek "Xizmetkarê Xerab".¶

Ji bo ku hûn zanibin ka meriv li çi nîşanên dadrêsî bigerin, pênc teknîkên rastîn ên ku di dema êrişên destan ên laşî de li dijî laptop û berikên hardware têne bikar anîn fêm bikin:

Qonaxa 1: Kontrola Dadwerî ya Laptopek Bêçav (Berî Têketinê)¶

Ger hûn vegerin odeya xweya otêlê an jî laptopa xwe piştî vekolînek sînor wergirin û dixwazin bizanibin gelo dema ku hûn ne dûr bûn kesek amûrek vekiriye, şiyar bûye an pêve kiriye, van kontrolan bi rêzê bikin:

1. Gav 1: Kontrola Porta Fîzîkî, Kablo, û Şassê Screw¶

1. Hemû kabloyên ku li jûreyê li pey xwe hiştibûn karantîn bikin:
2. An O.MG Cable an USB Ninja ji sedî 100 ji kabloyek pêvekirî ya Apple USB-C ya rastîn, kabloya Anker, an adapterê Dell USB-C-ya rastîn nayê ferq kirin, tavilê heya jimareyên rêzikên bi lazer ên li ser pêça girêdanê.
3. Ger we kabloyek USB-C, tîrêjek hêzê, an navendek USB-ê di hawîrdorek xeternak de bêyî çavdêrî hişt, ** dev ji girêdana xetên daneya wê li laptopa xwe berdin **; an wê bi kabloyek baş-naskirî ya ji çenteyê xwe yê morkirî biguhezînin an jî blokekerek daneya USB ya tenê-hêzdar (Kondom USB) di rêzê de bi wê re.
4. ** Pîç û çîçekên li binê ronahiya ronahiya Rakingê teftîş bikin **:
5. Çiraya smartphone ya xwe li ser goşeyek 15-pileyî ("ronahiya rakêşanê") li ser her serê çîçekê li binê laptopa xwe bigire.
6. Pişkên kargehê yên ku carekê li kargeha kombûnê hatine kişandin, di hundurê hêlînên stêrk / xaçê de xwedan pêçek anodîzekirî ya paqij û yekreng e. Pêçeka ku di jûreyek otêlê de bi çîçek pola ve hatî vekêşandin ** xişandinên metal ên zîv ên ronî di hundurê xêzkirina pêçê de xuya dike **, toza şîn/sor a têxê xerakirî, an xeletiya sivik a plakaya aluminiumê ya jêrîn li kêleka paçikên paşîn ên paşîn nîşan dide.

2. Gav 2: Kontrolkirina têketinên OS Wake, Lid-Open, û Reboot (Gelo Dema ku Tu Diçû Laptop Vebû?)¶

Bala xwe bidin pencereya tam dema ku hûn ji laptopê dûr bûn (mînak, 12:15 PM to 01:45 PM). Tewra ku êrîşkarek USB-ya Zindî pêç bike, ** valahiyek nediyar an bootek sar di dema xebitandina OS-ya we de, an bûyerek ACPI Lid-Open di wê pencereyê de, îspat dike ku laptop ji hêla fîzîkî ve hatî manipulandin **:

Li ser macOS (MacBook Air / MacBook Pro):¶

Termînal vekin û vê fermanê bişopînin da ku her yek Vepêça Vekirî, Kapak Girtin, Hişyarbûn, Xew, û Hêzdarkirin/Girtin bûyera hardware ji Kontrolkerê Rêvebiriya Pergalê (SMC / PMU) di 24 saetên dawî de:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

Li ser Linux (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Check systemd-journald ji bo her bûyerên boot / girtinê an veguheztinên lip / xewê di dema nebûna we de:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. ** Piştrast bikin ku we neşîfre ye /boot û /boot/efi dema ku makîne hate qut kirin, partî nehat guherandin **: Rastî kontrol bikin Modify û Change (ctime) mohra dema inode ya her wêneyê kernelê, initramfs, û GRUB EFI binary hundir /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Heke pelek di hundurê de hebe /boot an /boot/efi heye a Change an Modify timestamp gava ku hûn ji odeyê derketin, an ji dema xweya paşîn apt/dnf Nûvekirina kernelê, bootloader-a we hat desteserkirin.)

Li ser Windows 10 / 11:¶

Pencereyek Rêveber PowerShell veke û ji bo her ** Power-On têketinek Bûyera Pergalê bipirse (ID 12), Rakirin (ID 13), Xew (ID 42), Ji xewê şiyar bibe (ID 1 / ID 107), û windabûna hêzê ya nediyar (ID 41)** di 24 saetên dawî de:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Qonaxa 2: Çima Apple Silicon Macs & Modern TPM 2.0 + PIN Pergal ji "Xizmetkarê Xerab" re Zehmettir in (Û Meriv Çawa Wan Rast Vesaz bike)¶

Ne hemî laptopan bi heman rengî ji destdirêjiya laşî re xeternak in. Li vir ev e ka meriv çawa kokên pêbaweriyê yên nûjen dixebitin û mîhengên rastîn ên ku divê hûn çalak bikin:

1. Apple Silicon MacBooks (M1, M2, M3, M4)¶

Macên Apple Silicon di nav wan laptopên xerîdar ên herî berxwedêr ên Xirabê-Xirabê de ne ku heya niha hatine çêkirin ** dema ku bê hêz (S5)** û bi FileVault + Firmware/Ewlehiya Vegerandinê ve hatî mîheng kirin: - ROM-ya bootê di hundurê M-series SoC de di nav siliconê neguhêrbar de tê kişandin (Hardware Root of Trust). Her qonaxa zincîra bootê (iBoot -> macOS Kernel -> Hêjmara Pergalê ya Bi Crîptografiya Îmzekirî SSV) berî darvekirinê ji hêla mifteya hardware ya Apple ve tê verast kirin. - Çîpên NAND-ê yên hilanînê ji hêla Secure Enclave ve têne şîfre kirin (AES-XTS) bi karanîna bişkojkên ku bi şîfreya xweya FileVault-ê ve girêdayî bi sînorên rêjeya dij-çakûçkirinê ya hardware ve girêdayî ne. - ** 3 mîhengên mecbûrî ku divê hûn niha li MacBook-a xwe rast bikin **: 1. **FileVault LIVE ye **: ** Mîhengên Pergalê > Nepenî û Ewlekarî > FileVault -> ON **. 2. Têketina Otomatîk neçalak bike û Tavilê Di xewê de Şîfreyê Pêwîst bike: ** Mîheng Pergalê > Dîmenê Girtî -> Piştî destpêkirina hilanînê an şandan were girtin şîfreyê hewce bike -> Yekser . 3. **Gava Girtîhatinên USB/Tunderbolt yên Bêdestûr asteng bikin**: Biçe *îhengên Pergalê> Nepenî û Ewlekarî> Destûrê bide aksesûarên ku werin girêdan û wê saz bikin **"r carê bipirsin" an **"Her carî bipsin"* (tu carî *"Gava ku kilîtkirî e bixweber" an *"Herdem. Dem ku li "Her Dem Bipirse" hate danîn, a tê girêdan BadUSB injektora bişkojka an amûra Thunderbolt DMA di MacBookek kilîtkirî de portê davêje moda tenê hêzê û hemî hejmartina daneya PCIe/USB di asta kontrolkerê hardware de asteng dike.

2. Windows 10 / 11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

Bi xwerû li ser ji sedî 99 laptopên Windows (Dell, Lenovo, HP, Surface), BitLocker di nav de tê mîheng kirin "TPM-Only" Moda (Operasyona Şefaf): - Dema ku hûn bişkojka hêzê li ser a TPM-Only Laptopa BitLocker, ** laptop rasterast berbi ekrana Lockê ya Windows-ê vedike bêyî ku ji we PINek BitLocker bixwaze**, tê vê wateyê ku çîpê TPM bixwe mifteya ajokera sereke deşîfre dike (VMK) û OS-ya Windows-ê li RAM-ê bar kir. - Li ser her laptopek ku çîpek TPM-ya veqetandî bikar tîne ku bi riya motherboard-ê ve bi CPU-yê ve girêdayî ye SPI an LPC otobus, êrîşkarek ku qapaxa jêrîn vedike û analîzatorek mantiqê ya 50 dolarî li çîpa TPM-ê dixe. MOSI/MISO pin ** BitLocker Volume Master Key te ya sade dixwîne (VMK) di 5 çirkeyan de rasterast ji têlê (BitPixie / TPM-Sniffing)** bêyî ku şîfreya xwe ya Windows-ê zanibe. - Bootkirina bi tevahî rê li ber ekrana têketinê ya Windows-ê di heman demê de bêyî çavdêrîkirinê kernel Windows-ê, stûna Wi-Fi, û otobusa PCIe jî eşkere dike.

Meriv çawa PIN-a Destpêka Pêş-Boot-a BitLocker-a Mecburî Çalak dike (TPM + PIN)** li ser Windows-ê di 2 hûrdeman de:¶

Zêdekirina PIN-a Pre-Boot BitLocker ** zorê dide hardware TPM 2.0 çîp ji bo ku mifteya şîfrekirinê ya dîskê di hundurê silicona xweya berxwedêr a li dijî destavêtinê de girtî bimîne heya ku hûn bi fîzîkî PIN-a xweya pêş-bootê ya 6-20-karakterî li ser ekrana reş BIOS/BitLocker binivîsin: 1. Press Win + R, binivîse gpedit.msc, û pêl ** Enter ** (li ser Windows 10/11 Pro, Enterprise, an Perwerde). 2. Vegere ber: ** Veavakirina kompîturê> Şablonên îdarî> Pêkhateyên Windows-ê> Şîfrekirina ajokera BitLocker> Ajokarên Pergala Xebatê. 3. Du caran bikirtînin "Di destpêkirinê de erêkirina zêde hewce dike", wê saz bike Enabled, û destnîşan bike PIN-ya destpêkê ya TPM-ê mîheng bike: bo Require startup PIN with TPM. 4. Nala Fermana Rêvebir an PowerShell-ê vekin û PIN-a xweya nû ya pêş-boot BitLocker saz bikin (ji bo ku rê bidin şîfreyên alfanumerîk, di heman peldanka Polîtîkaya Komê de "PIN-yên zêdekirî ji bo destpêkê destûr bidin" jî çalak bikin):

manage-bde -protectors -add C: -TPMAndPIN

3. Linux (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

Li ser laptopên Linux (Ubuntu, Fedora, Debian, Arch, Qubes OS), standard LUKS Jixwe şîfrekirina tev-dîskê ji we re hewce dike ku hûn şîfreyek pêş-bootkirinê binivîsin berî ku ajokar vebe, **ku bêhnkirina otobusa TPM-ya pasîf rawestîne . Lêbelê, sazkirina Linux-ya standard berdide /boot (initramfs û vmlinuz) neşîfrekirî ye, ku wan ji 2-deqeya Xerab Xizmetkarê USB-ya klasîk mexdûr dike /boot veguheztin ** heya ku hûn van sê gavên hişkbûnê bavêjin: 1. Şîfreyek UEFI / BIOS-a Çavdêrê Hêz saz bikin û USB-ya Derve / Boota Torê Neçalak bikin: - Têkeve BIOS-a laptopa xwe (F2, F1, F10, an Del bi hêz-on) -> herin ** Ewlekarî> Şîfreya Rêvebir / Serpereşker û şîfreyek bihêz saz bikin da ku êrîşkar nikaribe zextê bike F12 di bootê de ji bo barkirina çîtek USB. 2. ** UEFI Secure Boot çalak bike + Qeydkirina Bişkojkên Xweser / Wêneyên Kernelê yên Yekgirtî yên îmzekirî (sbctl + UKI): - Amûrên mîna sbctl (Arch, Fedora, Debian, Ubuntu) kernel Linux, rêzika fermana kernel, û initramfs nav yekane îmzakirî ya krîptografîk Wêneya Kernelê ya Yekgirtî (UKI .efi(PK / KEK / db). Ger Xizmetkarek Xerab yek byte ya we biguhezîne initramfs, firmware UEFI bootkirina wê red dike û berî ku hûn şîfreya LUKS-a xwe binivîsin, hişyariyek sor ** Binpêkirina Boot Ewle ** nîşan dide. 3. ** Piştrast bike IOMMU / Kernel DMA Protection û Saz bikin USBGuard: - Kontrol bikin ku kernel Linux IOMMU çalak e (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") û saz bikin usbguard (sudo apt install usbguard) ji bo blokekirina ku nû hatiye danîn HID klavyeyan (03:*:*) dema ku dîmendera we girtî ye.

Qonaxa 3: Ji bo Rêwîtiya Bi Xetereya Bilind Mohrên Tespîtkirina Tehlûkeya Fîzîkî ya DIY ("Glitter Nail Polish" & Haven)¶

Karbidestên îstîxbaratê, lêkolînerên hardware, û rojnamevanên lêkolîner du teknîkên erzan ên erzan-teşhîskirina destdirêjiya laşî bikar tînin:

1. Muhra bişkojka "Glitter Nail Polish + Wêneya Makro" (Uncounterfeitable Entropy)¶

Lepikên holografîk ên bazirganî yên standard "VOID IF REMOVED" dikarin li ser Amazon bi 10 dolaran bikirin, werin jêkirin û bi çîtikek heman rengî werin guhertin. Lîqa neynûka birûskî ji hêla matematîkî ve nayê çespandin: 1. Şûşeyek 5 dolarî ** neynûka zelal a ku bi pelikên birqokî yên metalîk ên pirreng û pir-reng tijî ye** bikirin. 2. Li ser du çîpên qapaxa jêrîn (serê çîtikê berbi metala şûşeya derdorê ve girêdide) û li ser dirûşa jêrîn ya laptopa xwe (an jî li ser kasêta ku çenteya laptopa weya pêçandî mor dike) pişkek piçûk ji neynûka birqokî boyax bikin. 3. Dema ku ew zuwa bibe, bi kameraya xweya smartphone (ya ku di bêrîka we de dimîne) wênek makro-ya rezîliya bilind ji her mora birqokî bavêjin. 4. Çima êrîşkar nikare wê têk bibe: Her çend êrîşkar tam heman marqeya neynûka birqokî hilgire, arasteya geometrîkî ya 2D-ya rasthatî, belavkirina rengan, û goşeyên hevûdu yên 80 pelikên birqokî yên takekesî şopa tiliya laşî ya bêhempa pêk tîne. Gava ku hûn vedigerin odeya xweya otêlê, wêneyek duyemîn a mora xêzikê ji heman goşeyê bikişînin û wêneyên "Berî" û "Piştî" yên li ser têlefona xwe bidin ber hev: ger yek çîçek 5 pileyan jî were zivirî, şêwaza birqokî bi baldarî diguhezîne.

2. Veguheztina têlefonek kevn a Android-ê veguherîne Sensorek ketina Odeya Otêla Fîzîkî (Haven App)¶

• Ji hêla Projeya Guardian û Weqfa Azadiya Çapemeniyê ve hatî afirandin, sepana Android-ya çavkaniya vekirî ya belaş Haven: Keep Watch her têlefonê Android-ê yê yedek vediguherîne tevger, deng, lerizîn (lezgiran), û detektorek ronahiya hawîrdorê.
• Berî ku laptopa xwe li jûreyek jûreyek otêlê an jûreyek bihêlin, têlefona yedek bi cîh bikin Haven rast li jora laptopa we di hundurê derzîlêdan an çenteyê girtî de: heke kesek berkêşkê veke (xwendina senora ronahiya hawîrdorê biguhezîne) an dest bide laptopê, Haven Bêdeng wêneyan dikişîne, deng tomar dike, û hişyariyek Sînyal ya şîfrekirî ji têlefona bingehîn a di berîka we re dişîne.

3. Bi ewlehî Derbaskirina Sînorên Navneteweyî & Teftîşên Duyemîn ên Balafirgehê¶

Ger hûn rêwîtiya navneteweyî di nav dadweriyên xeternak de bikin ku karbidestên gumrikê an sînor dikarin laptop û têlefonan ji ber çavan bigirin: 1. ** Bi Laptop û Têlefonek "Rêwîtiya Paqij / Paqij" re rêwîtiyê bikin : Qet qereqola xebata pargîdaniya xweya bingehîn, şîfreya heyatî, an bişkokên SSH-ê li seranserê sînorên xeternak hilnegirin. Chromebookek paqij an laptopek nû ya wênekirî ku tenê pelên taybetî yên ku ji bo wê rêwîtiyê hewce ne vedihewîne, û piştî gihîştinê bi hişkî li ser danişîna sermaseya dûr a pejirandî bigihîje xebata hestiyar. 2. ** Bi tevahî qut kirin (S5) 10 Xûlek Beriya Ketina Salona Gumrikê: Laptop û têlefonê bi tevahî daxin (Power Off) berî ku ji balafirê dakevin da ku DRAM bi tevahî xera bibe û biyometrîk vebe (Face ID / Touch ID) di berjewendiya paşnavek alfabejimar a bihêz de neçalak e.

Hejmarên awarte yên herêmî û protokolên ajansê¶

Destwerdana fizîkî ya bi hardware ya kompîturê, çandina keyloggerên nehênî yên veşartî, an sîxuriya sînor / otêlê ya bêdestûr divê ji ajansên dij-îstîxbarata neteweyî û berevaniya sîber re were ragihandin:

• ** Dewletên Yekbûyî û Kanada **:
• **Xizmetên Lezgîn **: Dial 911 heke hûn di jûreya otêlê an rûniştina xwe de êrîşkarek bibînin.
• ** Buroya Lêpirsînê ya Federal (FBI) Dijberîstîxbarat û Daîreya Sîber / IC3**: Ger hûn rêwî, peymankarê berevaniyê, lêkolîner, an rêveberê Dewletên Yekbûyî ne, ku laptop an têlefona wî li derveyî welat an li otêlekê hatî desteser kirin, bûyerê ragihînin ** Tîma Dij-îstîxbaratê ya Ofîsa Qada FBI-ê ya herêmî ** an li ic3.gov û cisa.gov/report (ji bo analîza laboratûvara dadrêsî ya FBI-ya kablo an laptopê ya têkçûyî di çenteyek Faraday de nehêle biparêze).
• ** Servîsa Îstixbarata Ewlekariya Kanada (CSIS) & Navenda Sîber **: Telefon bikin 1-833-CYBER-88 an bi CSIS re têkilî daynin (613-993-9620) ji bo şikbarkirina amûra fîzîkî ya biyanî ya gumanbar.
• ** Keyaniya Yekbûyî **:
• **Xizmetên Lezgîn **: Dial 999 (an 101 ji bo polîs).
• Navenda Ewlekariya Sîber a Neteweyî (NCSC) & Desthilata Ewlekariya Parastina Neteweyî (NPSA): Rêwiyên hukûmeta Keyaniya Yekbûyî, akademîsyen û pargîdanî divê ** Rêbernameya Amûra Rêwîtiyê ya Derveyî ya NCSC / NPSA-yê bişopînin ** û bi navgîniya ** destwerdana fizîkî ya gumanbar rapor bikin.ncsc.gov.uk**.
• Yekîtiya Ewropî:
• **Xizmetên Lezgîn **: Dial 112 li hemî welatên endamên Yekîtiya Ewropî.
• ** CSIRTs Neteweyî / Ajansên Ewlekariya Navxweyî (ANSSI Fransa, BSI Almanya, AIVD/NCSC-NL Hollanda)**: Ji bo verastkirina edlî SPI/UEFI ya hardware ji CSIRT-a xweya neteweyî re rapor bikin.
• Australya û Zelanda Nû:
• **Xizmetên Lezgîn **: Dial 000 li Avusturalya an 111 li Zelanda Nû.
• ** Navenda Ewlekariya Sîberê ya Avusturalya (ACSC / ASD) & ASIO Outreach **: Bang bikin 1300 CYBER1 (1300 292 371).
• ** Hindistan û Asya-Pasîfîk **:
• ** Hindistan (CERT-In / Awarte)**: Dial 112 ji bo polîs an jî bûyerên ewlehiyê yên hardware/firmware rapor bikin incident@cert-in.org.in.

Pirsên pir caran têne pirsîn¶

Çima komputera min a Windows-ê ji nişka ve dest ji bootkirina normal berda û piştî ku min ew li jûreya xweya otêlê hişt, Mifteya Recovery BitLocker-a min a 48-hejmarî xwest?¶

Dema ku BitLocker li ser laptopek Windows-ê tête çalak kirin, hardware Modula Platforma Pêbawer (`TPM 2.0`) dipîve hash SHA-256 ya krîptografî ya firmwareya weya BIOS/UEFI (`PCR 0`), ROMên vebijarkî (`PCR 2`), Rêvebirê Boot UEFI (`PCR 4`), û rewşa Bootê Ewle (`PCR 7`) her carê ku laptop vedibe. Ger kesek dema ku hûn li derveyî jûreyê bûn dest danî ser laptopa we û ew ji nişka ve li ber ekranek şîn raweste û daxwaza Kilîda Vegerandina BitLocker-a weya 48-hejmarî dike, yek ji du tiştan qewimî: an nûvekirinek BIOS-ê ya rewa tenê hatî saz kirin, an jî kesek fermana bootkirina BIOS-ya we guhert, Boota Ewlekar neçalak kir, USB-yek derveyî boot kir, an firmware-ya bootloader-a we guhart, dibe sedem ku haşên TPM PCR biguhezin û qefilandina dijî-tamperê ya BitLocker-ê destnîşan bike. Mifteya hilanînê ya 48-hejmarî nekeve heya ku hûn têketinên BIOS-ê û zincîra bootê kontrol bikin, ji ber ku nivîsandina mifteya xweya vegerê li hawîrdorek bootê ya şikestî ajokera we eşkere dike.

Ger ez ekrana Windows an Mac-ê xwe kilît bikim (Win+L / Ctrl+Cmd+Q) berî ku li qehwexaneyek an otêlekê bimeşe, gelo kes hîn jî dikare wê bi riya porta USB-C hack bike?¶

Ew bi du mîhengan ve girêdayî ye: Ya yekem, heke kesek a veqetîne Injektora bişkojka BadUSB (`Flipper Zero` an `Rubber Ducky`) di laptopek kilîtkirî de, klavyeya sexte tenê dikare li qutiya şîfreya li ser ekrana kilîtkirî binivîsîne (di dema ku ekran girtî ye ew nikare termînalek veke). Ya duyemîn, lêbelê, heke laptopek kevntir hebe Porta Thunderbolt 3/4 an USB4 bêyî Parastina Kernel DMA-yê çalak e, amûrek hişk a PCIe DMA ya pispor (`PCILeech`) dikare dema ku ekran girtî ye rasterast bi otobusa PCIe RAM-a pergalê bixwîne û binivîse. Çalakkirin Parastina DMA ya Kernel di Windows (`System Information > Kernel DMA Protection: On`) an mîhengkirina macOS-ê ** Bihêle ku aksesûar werin girêdan -> Her dem bipirsin** dema ku ekran girtî ye gihandina daneya USB-C/Thunderbolt bi tevahî asteng dike.

Ma ez dikarim firmware-ya UEFI / BIOS-ê ya dayika xwe ji hundurê Linux an Windows-ê bigerim da ku bibînim ka Xizmetkarek Xerab împlantek firmware-ê dibiriqîne?¶

Erê. Amûrên ewlehiya firmware-çavkaniya vekirî ku ji hêla Intel û lêkolînerên ewlehiyê ve, bi taybetî, hatine pêşve xistin CHIPSEC (`github.com/chipsec/chipsec`) û fwupd (`fwupdmgr security`) li ser Linux, destûrê dide te ku wêneya xweya zindî ya SPI flash ROM-ê rasterast ji diya xwe bavêje (`chipsec_util spi dump rom.bin`), verast bikin ka BIOS-a hardware Parastina Nivîsandinê (`BIOS_CNTL` `BLE`/`BWE` bit û `PR0-PR4` Tomarên Rêzeya Parastî) bi rêkûpêk kilîtkirî ye, û hasha şîfreya xweya SPI flash li hember wêneyê hilberînerê fermî BIOS bidin ber hev.

Ma ewle ye ku meriv laptopê an berîka xweya krîptoya hardware di hundurê ewlekariya elektronîkî ya otêlê de bigire?¶

Tu carî pişta xwe nedin klavyeyek elektronîkî ya odeyek standard a otêlê ku hûn li hember êrişek Xizmetkar biparêzin. Hema hema her ewlekariya elektronîkî ya otêlê xwedan qulikek mifteya gerîdeya mekanîkî ya gerdûnî ye ku li pişt nîşaneya logoya plastîk a li ser panela pêşîn veşartiye, û her weha kodek sereke ya kargehê heye (`000000` an `999999`) ji xebatkarên otêlê re tê zanîn. Ger ewlekariya jûreyek otêlê yekane vebijarka we ye, laptopa xweya jêhatî di hundurê a çenteyê ewlehiyê serialîzekirî tamper-eşkere (an jî li seranserê dirûzê mohrekek birûsk-nenûk-paqijkirî ya wênekêşkirî bicîh bikin) ji ber vê yekê hûn ê tavilê zanibin ka cîhaza we ketiye dest.

"Hibernation" çi yeS4)" vs. "Xew (S3 / S0ix)", û Ma Hibernation li dijî êrîşên RAM / DMA Evil Maid diparêze?¶

Dema ku laptopek dikeve Xew (`S3` an `S0ix`), çîpên RAM-ê bi hêz dimînin û bişkojkên şîfrekirina dîskê weya deşîfrekirî di bîra guhezbar de digirin. Dema ku laptopek rast dikeve Hibernation (`S4`), pergala xebitandinê naveroka RAM-ê di pelek hibernasyonê ya şîfrekirî de dinivîse (`hiberfil.sys` an guheztina şîfrekirî) li ser SSD-ya şîfrekirî, mifteyên şîfrekirinê yên dîska sereke paqij dike, û hemî hêza elektrîkê ji dayik û RAM-ê bi tevahî qut dike (tenê mîna girtina tevahî). Ji ber vê yekê, hem ** Girtina Bi tevahî (`S5`)** û ** Hibernation (`S4`) li ser ajokerek ku bi PINek BitLocker an jî şîfreya LUKS ya berî-bootê tê parastin** RAM-a xwe li hember êrişên DMA û boota sar biparêze, bi şertê ku Boota Ewle û şîfreyek BIOS-ê pêşî lê bigire. `/boot` tampering.

rêberên Related¶

• Astengkera daneya kioskê ya barkirinê ya gelemperî (Kondoma USB) û derzîlêdana BadUSB HID
• BitLocker, FileVault, û LUKS kilîla vegerandina şîfrekirinê û vesazkirina TPM
• BIOS û UEFI nûvekirina firmware brick, windabûna hêzê, û Dual-BIOS Flashback
• Laptop an têlefonê dizîn: Paqijkirina ji dûr ve û girtina hesabê
• Lihevhatina berîka pereyê krîptoyê û lihevhatinê li hev kirin
• Hejmarên awarte li gorî welat

Çavkanî û rêbernameya fermî¶

• Enstîtuya Neteweyî ya Standard û Teknolojiyê (NIST) (Dewletên Yekbûyî): Weşana Taybet 800-147B (Rêbernameyên Parastina BIOS-ê ji bo Server û Stasyonên Xebatê) & SP 800-155 (Rêbernameyên Pîvandina Tenduristiya BIOS).
• Ajansa Ewlekariya Neteweyî (NSA) & Ajansa Ewlehiya Sîber û Ewlekariya Binesaziyê (CISA) (Dewletên Yekbûyî): * Zehfkirina Boota Ewle ya UEFI, Modula Platforma pêbawer (TPM 2.0(DMA) Êrîşî *.
• Navenda Ewlekariya Sîber a Neteweyî (NCSC) & Desthilata Ewlekariya Parastina Neteweyî (NPSA) (Brîtaniyaya Yekbûyî): * Ewlekariya Amûra Fîzîkî ya Zencîreya Pêşkêşker û Rêwîtiyê ya Derveyî Welat, Mohrên Tamper-Evident, û Verastkirina Yekbûna Boot *.
• Belgekirina Ewlekariya Hardware ya Microsoft & Kernel Linux IOMMU / fwupd Taybetmendiya Ewlekariya Mêvandar (HSI): * Parastina DMA ya Kernel (VT-d / AMD-Vi) û BitLocker tedbîrên li dijî bîhnkirina otobusê ya veqetandî*.