Skip to content

ການຂັດຂວາງອຸປະກອນທາງກາຍະພາບ (ການໂຈມຕີ 'ແມ່ບ້ານຊົ່ວ'): ການກວດສອບແລັບທັອບທີ່ບໍ່ໄດ້ເອົາໃຈໃສ່ ແລະ ການແຂງຕົວຂອງ DMA

ຕົວເລກສຸກເສີນແຕກຕ່າງກັນໄປຕາມປະເທດ. ຫນ້ານີ້ໃຊ້ 911, ຕົວເລກສໍາລັບສະຫະລັດແລະການາດາ. ປະເທດອື່ນໆຈໍານວນຫຼາຍໃຊ້ 112, 999, ຫຼືຕົວເລກອື່ນ. ຊອກຫາຕົວເລກສໍາລັບປະເທດຂອງທ່ານ.

ກັບຄືນໄປຫາຫ້ອງໂຮງແຮມ, ບໍລິເວນກວດກາພາສີຂອງສະໜາມບິນ, ຫ້ອງນັ່ງລົມໃນກອງປະຊຸມ, ຫຼືໂຕະເຮັດວຽກຮ່ວມກັນເພື່ອຊອກຫາວ່າແລັບທັອບ, ໂທລະສັບສະຫຼາດ, ຫຼືກະເປົາເງິນຮາດແວ cryptocurrency ຂອງທ່ານຖືກແຕະຕ້ອງ, ຍ້າຍ, ຕື່ນຈາກການນອນ, ຫຼືເປີດໃນຂະນະທີ່ອອກຈາກສາຍຕາຂອງເຈົ້າແມ່ນເຫດການຄວາມປອດໄພທາງກາຍະພາບທີ່ມີສະເຕກສູງທີ່ຮູ້ຈັກໃນລະບົບການເຂົ້າລະຫັດລັບ ແລະວຽກງານຕ້ານການສືບລັບເປັນ klzzwxh:0013 security" Attack. Firewalຊອບແວຄລາສສິກຫຼືໂຄງການ antivirus ຖືວ່າຜູ້ໂຈມຕີຢູ່ໃນອີກດ້ານຫນຶ່ງຂອງອິນເຕີເນັດ; ຜູ້ໂຈມຕີ Evil Maid ມີ ມືທາງຮ່າງກາຍເຂົ້າເຖິງຮາດແວຂອງທ່ານ ** ເປັນເວລາ 2 ຫາ 30 ນາທີໃນຂະນະທີ່ທ່ບໍ່ຢູ່ກິນເຂົ້າເຊົ້າ, ໃນກອງປະຊຸມ, ຫຼືຖືກກັກຂັງຢູ່ໃນຫ້ອງກວດກາ. ອີງຕາມຄວາມຊັບຊ້ອນຂອງຜູ້ໂຈມຕີ, 90 ວິນາທີຂອງການເຂົ້າເຖິງທາງດ້ານຮ່າງກາຍແມ່ນພຽງພໍທີ່ຈະສຽບ BadUSB keystroke-injection rubb ducky** ຫຼື PCIe/Thunderbolt Direct Memory Access (DMA) ອຸ​ປະ​ກອນ leech ເຂົ້າ​ໄປ​ໃນ​ແລັບ​ທັອບ​ທີ່​ນອນ​ຫລັບ, ຄັດ​ເອົາ $15 CH341A SPI flash programmer ໃສ່​ຊິບ BIOS ຂອງ​ເມນ​ບອດ ຫຼື​ດົມ​ກິ່ນ​ທີ່​ບໍ່​ໄດ້​ເຂົ້າ​ລະ​ຫັດ. LPC/SPI ລົດເມ TPM, ປ່ຽນສາຍສາກ USB-C ຂອງເຈົ້າສຳລັບສາຍສຽບສາຍສາກຄີລັອກໄຮ້ສາຍ (O.MG Cable), ຫຼືປ່ຽນແທນທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດ /boot ການແບ່ງສ່ວນ (initramfs) ສະນັ້ນມັນຈະບັນທຶກລະຫັດຜ່ານການເຂົ້າລະຫັດດິສເຕັມຂອງເຈົ້າໃນຄັ້ງຕໍ່ໄປທີ່ທ່ານພິມມັນ. ສໍາລັບການໂຈມຕີ kiosk ການສາກໄຟ USB ໃນສະຫນາມບິນ, ໃຫ້ປຶກສາ ຕົວບລັອກຂໍ້ມູນ kiosk ການສາກໄຟສາທາລະນະ ແລະສີດ BadUSB HID; ຖ້າໄດຣຟ໌ BitLocker, FileVault, ຫຼື LUKS ທັນທີທັນໃດເຕືອນໃຫ້ກະແຈການກູ້ຂໍ້ມູນໃນ boot ຫຼັງຈາກມີຄົນແຕະໃສ່ແລັບທັອບຂອງເຈົ້າ, ເບິ່ງ BitLocker, FileVault, ແລະ LUKS encryption key recovery lockout and TPM reset; ແລະ ຖ້າອຸປະກອນຂອງທ່ານຖືກເອົາໄປຖາວອນ, ໃຫ້ປ່ຽນເປັນ ແລັບທັອບ ຫຼືໂທລະສັບທີ່ຖືກລັກ ເຊັດຣີໂໝດ ແລະ ບັນຊີຖືກລັອກ. ຖ້າເຈົ້າຢູ່ໃນອັນຕະລາຍທາງຮ່າງກາຍທັນທີ ຫຼືປະເຊີນກັບການກັກຂັງທີ່ຜິດກົດໝາຍ, ໃຫ້ໂທຫາເບີສຸກເສີນທ້ອງຖິ່ນຂອງເຈົ້າ (911 ໃນສະຫະລັດແລະການາດາ, 112 ໃນ​ທົ່ວ​ສະ​ຫະ​ພາບ​ເອີ​ຣົບ​, 999 ໃນສະຫະລາດຊະອານາຈັກ) ຫຼືປຶກສາກັບໄດເລກະທໍລີສາກົນຂອງພວກເຮົາ ຕົວເລກສຸກເສີນ.

ເຮັດອັນນີ້ດຽວນີ້

  1. ** ຢ່າ​ພິມ​ການ​ເຂົ້າ​ລະ​ຫັດ​ດິ​ສ​ເຕັມ​ຂອງ​ທ່ານ (BitLocker / LUKS / FileVault) passphrase, OS login password, or Master Password ເຂົ້າໄປໃນຄອມພິວເຕີທີ່ສົງໃສຖ້າມັນຖາມຫາລະຫັດຜ່ານຫຼືກະແຈການກູ້ຂໍ້ມູນທັນທີທັນໃດຫຼັງຈາກຖືກປະໄວ້ໂດຍບໍ່ໄດ້ເອົາໃຈໃສ່ **:
  2. ການໂຈມຕີ Evil Maid ຄລາສສິກແທນ bootloader ທີ່ບໍ່ເຂົ້າລະຫັດຫຼື initramfs ຮູບ​ພາບ​ໃນ​ຄອມ​ພິວ​ເຕີ​ທີ່​ຂາດ Measured Boot / Secure Boot enforcement (ຫຼື​ສຽບ​ຮາດ​ແວ USB keylogger dongle ໂປ່ງໃສ​ລະ​ຫວ່າງ keyboard / dock ຂອງ​ທ່ານ​ແລະ​ຄອມ​ພິວ​ເຕີ​) ເພື່ອ​ວ່າ​ໃນ​ຄັ້ງ​ຕໍ່​ໄປ​ທີ່​ທ່ານ​ພິມ​ຂອງ​ທ່ານ LUKS ຫຼື BitLocker passphrase, bootloader trojanized ບັນທຶກລະຫັດຜ່ານຂໍ້ຄວາມທໍາມະດາຂອງທ່ານແລະສົ່ງມັນຫຼືເຊື່ອງມັນຢູ່ໃນແຜ່ນ.
  3. ** ກ່ອນ​ທີ່​ຈະ​ສໍາ​ຜັດ​ກັບ​ແປ້ນ​ພິມ​, ໃຫ້​ປະ​ຕິ​ບັດ​ການ​ກວດ​ກາ​ທາງ​ດ້ານ​ນອກ​ເປັນ​ເວ​ລາ 60 ວິ​ນາ​ທີ​ຂອງ​ທຸກ​ພອດ​, ສາຍ​, ແລະ​ສະ​ກູ​ຕົວ​ເຄື່ອງ​ຢູ່​ພາຍ​ໃຕ້​ໄຟ​ສາຍ LED ຂອງ​ໂທລະ​ສັບ​ຂອງ​ທ່ານ **​:
  4. ຖອດສຽບອອກ ແລະກວດເບິ່ງທຸກ USB-C, USB-A, HDMI, Ethernet, ແລະສາຍໄຟ ທີ່ສຽບໃສ່ໂນດບຸກ ຫຼືນັ່ງຢູ່ໂຕະໂຮງແຮມຂອງເຈົ້າ. ຜູ້ໂຈມຕີມັກຈະປ່ຽນສາຍສາກ Apple ສີຂາວ ຫຼື USB-C ສີດໍາມາດຕະຖານຂອງຜູ້ເຄາະຮ້າຍ ເພື່ອເປັນລັກສະນະທີ່ຄືກັນ O.MG Cable / USB Ninja ສາຍ (ເຊິ່ງມີຈຸດເຊື່ອມຕໍ່ Wi-Fi ແລະ microcontroller ທີ່ເຊື່ອງໄວ້ຢູ່ໃນຊ່ອງສຽບ USB-C ທີ່ໃສ່ການກົດແປ້ນພິມ ແລະບັນທຶກການຈະລາຈອນ).
  5. ** ຫັນແລັບທັອບຄົ້ວໜ້າລົງ ແລະ ກວດເບິ່ງສະກູດ້ານລຸ່ມ ແລະ ຕີນຢາງ**: ຊອກຫາ ຮູໂລຫະກ້ອງຈຸລະທັດທີ່ສົດໆໃສ່. P5 Pentalobe, Torx T5, ຫຼື Phillips ຫົວສະກູ, ການປະທັບຕາຂອງຮູ screw ທີ່ຂາດຫາຍໄປ, ຫຼື seam ແຈລຸ່ມທີ່ບໍ່ໄດ້ນັ່ງ flush ເນື່ອງຈາກວ່າ chassis ໄດ້ຖືກ popped ຢ່າງໄວວາເປີດເພື່ອຄັດຕິດ SPI flash clip ພາຍໃນຫຼື. M.2 ການປູກຝັງ PCIe.
  6. **ກວດ​ເບິ່ງ​ວ່າ​ຄອມ​ພິວ​ເຕີ​ຂອງ​ທ່ານ​ໄດ້​ຖືກ​ປະ​ໄວ້​ໃນ "Sleep / Standby (S3 / S0ix Modern Standby)" ທຽບກັບ "ປິດການໃຊ້ງານຢ່າງສົມບູນ (S5 / Hibernated S4)" ໃນຂະນະທີ່ບໍ່ໄດ້ເອົາໃຈໃສ່ **:
  7. ** ຖ້າ​ຫາກ​ວ່າ​ຄອມ​ພິວ​ເຕີ​ຂອງ​ທ່ານ​ພຽງ​ແຕ່​ນອນ​ຫລັບ (ຝາ​ປິດ​) ** ໃນ​ເວ​ລາ​ທີ່​ຜູ້​ໂຈມ​ຕີ​ໄດ້​ເຂົ້າ​ເຖິງ​ມັນ​: ** ການ​ເຂົ້າ​ລະ​ຫັດ​ດິ​ສ​ເຕັມ​ຂອງ​ທ່ານ (BitLocker, FileVault, LUKS) ລະຫັດການເຂົ້າລະຫັດລະດັບສຽງຕົ້ນສະບັບ (VMK) ກໍາລັງນັ່ງຖອດລະຫັດຢູ່ໃນຂໍ້ຄວາມທໍາມະດາພາຍໃນເຄື່ອງເຫນັງຕີງຂອງແລັບທັອບຂອງເຈົ້າ DRAM ຊິບໜ່ວຍຄວາມຈຳໝົດເວລາ**. ຜູ້ໂຈມຕີທີ່ມີອຸປະກອນ Thunderbolt/USB4 DMA (ຢູ່ໃນລະບົບເກົ່າທີ່ບໍ່ໄດ້ປັບປຸງ), ການໂຈມຕີຄ້າງໄວ້ RAM boot ເຢັນ, ຫຼືການຂ້າມຫນ້າຈໍລັອກທີ່ຮູ້ຈັກສາມາດອ່ານຫນ່ວຍຄວາມຈໍາທີ່ໃຊ້ໄດ້ໂດຍບໍ່ຮູ້ລະຫັດຜ່ານຂອງທ່ານ.
  8. ຖ້າທ່ານສົງໃສວ່າແລັບທັອບທີ່ນອນຫຼັບຖືກລົບກວນ: ກົດປຸ່ມເປີດເຄື່ອງ ປິດເປີດເຄື່ອງຄ້າງໄວ້ເປັນເວລາ 10 ວິນາທີເຕັມ ເພື່ອບັງຄັບໃຫ້ປິດເຄື່ອງທັນທີ (ລ້າງປຸ່ມ DRAM ທີ່ລະເຫີຍ) ແທນທີ່ຈະເປີດຝາປິດ ແລະເຂົ້າສູ່ລະບົບ.
  9. ** ບູດຈາກ USB Live USB ພາຍນອກທີ່ຮູ້ຈັກສະອາດ, ອ່ານເທົ່ານັ້ນ (Ubuntu Live / Tails / SystemRescue ເກັບຮັກສາໄວ້ໃນບຸກຄົນຂອງທ່ານຕະຫຼອດເວລາ) ເພື່ອກວດກາເບິ່ງ drive ພາຍໃນທີ່ບໍ່ໄດ້ເຂົ້າລະຫັດ /boot ແລະ EFI System Partition (ESP) hashes**:
  10. ຖ້າທ່ານໃຊ້ Linux ດ້ວຍ LUKS ຫຼື Windows ກັບ BitLocker, ການບູດເຄື່ອງຈາກ USB ພາຍນອກທີ່ສະອາດຢູ່ໃນເຄື່ອງທີ່ແຍກຕ່າງຫາກ ຫຼືກວດສອບແລ້ວເຮັດໃຫ້ເຈົ້າສາມາດເກັບໄຟລ໌ທຸກອັນໄດ້ /boot/efi/ (ESP) ແລະ /boot/initramfs-* (sha256sum) ແລະ​ກວດ​ເບິ່ງ​ວ່າ​ການ​ປ່ຽນ​ແປງ​ການ​ແບ່ງ​ປັນ​ກໍາ​ນົດ​ເວ​ລາ (stat) ມີການປ່ຽນແປງໃນລະຫວ່າງປ່ອງຢ້ຽມທີ່ແນ່ນອນ 2 ຊົ່ວໂມງທີ່ທ່ານອອກຈາກຫ້ອງໂຮງແຮມຂອງທ່ານ.
  11. ** ກວດ​ສອບ​ບັນ​ທຶກ​ເຫດ​ການ OS (Windows Event Viewer, macOS unified log, Linux journalctl) ຈາກສະພາບແວດລ້ອມການອ່ານຢ່າງດຽວທີ່ປອດໄພເພື່ອເບິ່ງວ່າຝາປິດເປີດ, ອຸປະກອນ USB ໄດ້ຖືກໃສ່, ຫຼືເຄື່ອງໄດ້ຖືກ rebooted ໃນຂະນະທີ່ທ່ານຫມົດໄປ **:
  12. ທຸກໆລະບົບປະຕິບັດການທີ່ທັນສະໄໝບັນທຶກເວລາຂອງຮາດແວທີ່ບໍ່ປ່ຽນແປງໄດ້ລົງເປັນມິລິວິນາທີທຸກຄັ້ງທີ່ ACPI Lid Switch ເປີດ, ລະບົບຈະຕື່ນຈາກການນອນ (Kernel-Power Event ID 42 / 107 ໃນ Windows, Wake reason: EC.LidOpen ໃນ macOS), ຫຼື USB ໃໝ່ VID:PID ອຸ​ປະ​ກອນ​ແມ່ນ​ການ​ນັບ​ຕັ້ງ​ໃນ​ລົດ​ເມ​.
  13. ຖ້າທ່ານເປັນເປົ້າໝາຍທີ່ມີຄວາມສ່ຽງສູງ (ນັກຂ່າວ, ຜູ້ຮັບເໝົາປ້ອງກັນ, ຜູ້ບໍລິຫານ, ທະນາຍຄວາມສິດທິມະນຸດ, ຫຼືຜູ້ເຊັນຄັງເງິນ crypto) ແລະຊອກຫາຫຼັກຖານທີ່ຍາກໃນການເປີດຕົວເຄື່ອງ, ຣີເຊັດ BitLocker/TPM PCR ທີ່ບໍ່ຄາດຄິດ, ຫຼືເຫດການປຸກທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດໃນຂະນະທີ່ອອກຈາກການຄອບຄອງຂອງທ່ານ, ຮັກສາຮາດແວເປັນໄຟໄໝ້ (Quarantine Device):
  14. ຢ່າເຊື່ອມຕໍ່ແລັບທັອບທີ່ຕ້ອງສົງໄສກັບ VPN ຂອງບໍລິສັດ ຫຼື Wi-Fi ເຮືອນຂອງທ່ານ. ໃຊ້​ສະ​ມາດ​ໂຟນ​ທີ່​ສະ​ອາດ​ແຍກ​ຕ່າງ​ຫາກ (ທີ່​ຢູ່​ໃນ​ຖົງ​ຂອງ​ທ່ານ​) ເພື່ອ​ຫມຸນ​ໃບ​ຢັ້ງ​ຢືນ​ຂອງ​ທ່ານ​, ຖອນ​ການ​ເຄື່ອນ​ໄຫວ (ການລັກລອບຄຸກກີເຊສຊັນ ແລະການຖອນລະຫັດຜ່ານ), ແລະໂອນເງິນຫຼືຄວາມລັບໂດຍໃຊ້ຮາດແວທີ່ສະອາດ.

Danger

ເປັນຫຍັງ “ໂໝດນອນ (ປິດຝາແລັບທັອບ)” ສະໜອງການປົກປ້ອງ ZERO ຕໍ່ກັບຜູ້ໂຈມຕີທາງກາຍຍະພາບທີ່ຊັບຊ້ອນ: ການເຂົ້າລະຫັດແບບເຕັມແຜ່ນ (BitLocker, FileVault, LUKS) ພຽງ​ແຕ່​ປົກ​ປັກ​ຮັກ​ສາ​ຂໍ້​ມູນ ໃນ​ເວ​ລາ​ທີ່​ພັກ​ຜ່ອນ​ໃນ​ເວ​ລາ​ທີ່​ຄອມ​ພິວ​ເຕີ​ໄດ້​ປິດ​ຢ່າງ​ສົມ​ບູນ (S5) ຫຼື hibernated ກັບ disk (S4) ດ້ວຍກະແຈທີ່ຖືກຂັບໄລ່ອອກຈາກ RAM. ເມື່ອເຈົ້າພຽງແຕ່ປິດຝາແລັບທັອບຂອງເຈົ້າ (S3 ຫຼື S0ix Modern Standby), ແລັບທັອບຮັກສາພະລັງງານທີ່ໄຫລໄປຫາຊິບ RAM ເພື່ອໃຫ້ແອັບຯຂອງທ່ານເປີດຢູ່, ຊຶ່ງຫມາຍຄວາມວ່າກະແຈການເຂົ້າລະຫັດ AES master 256-bit ດິບແມ່ນນັ່ງຢູ່ໃນ RAM ໃນຂໍ້ຄວາມທໍາມະດາ. ເມື່ອໃດກໍຕາມທີ່ທ່ານອອກຈາກຄອມພິວເຕີໂນດບຸກຢູ່ໃນຫ້ອງໂຮງແຮມ, ຍານພາຫະນະ, ຫ້ອງປະຊຸມ, ຫຼືເຂົ້າໃກ້ດ່ານຊາຍແດນສະໜາມບິນ, ** ປະຕິບັດ OS Shut Down ເຕັມຮູບແບບ (Power Off), ບໍ່ເຄີຍນອນ **.

ຕົ້ນໄມ້ການຕັດສິນໃຈ: ການປະເມີນແລັບທັອບ ຫຼືອຸປະກອນທີ່ບໍ່ໄດ້ໃສ່ເຄື່ອງຫຼັງຈາກຖືກສົງໄສວ່າມີການເຂົ້າເຖິງຮ່າງກາຍ

ປະຕິບັດຕາມຂັ້ນຕອນການເຮັດວຽກນີ້ເພື່ອກໍານົດວ່າອຸປະກອນທີ່ບໍ່ໄດ້ໃສ່ເຄື່ອງຂອງທ່ານໄດ້ຖືກເຂົ້າເຖິງຫຼືແກ້ໄຂທາງດ້ານຮ່າງກາຍແລະລະດັບໃດທີ່ຕ້ອງການການແກ້ໄຂ:

flowchart TD
    Start["ແລັບທັອບ, ໂທລະສັບ, ຫຼືກະເປົາເງິນຮາດແວຖືກປະໄວ້ໂດຍບໍ່ໄດ້ໃສ່ໃນຫ້ອງໂຮງແຮມ, ກວດກາຊາຍແດນ ຫຼືບ່ອນເຮັດວຽກຮ່ວມກັນ"] --> StateCheck{"ແລັບທັອບຢູ່ໃນສະຖານະໃດໃນຂະນະທີ່ອອກຈາກການຄອບຄອງຂອງເຈົ້າ?"}

    StateCheck -->|"ນອນຫຼັບ / ສະແຕນບາຍ (ປິດຝາ, ເປີດໃຊ້ RAM) ຫຼືປົດລັອກ"| HighRiskState["ຄວາມສ່ຽງສູງ: ກະແຈການເຂົ້າລະຫັດດິສກ໌ & ຄຸກກີ້ Session ຢູ່ໃນ RAM (ມີຄວາມອ່ອນໄຫວຕໍ່ກັບ BadUSB, ລັອກໜ້າຈໍ ຫຼືການສະກັດເອົາ DMA/RAM)"]

    StateCheck -->|"ປິດເຄື່ອງໝົດແລ້ວ (ປິດເຄື່ອງເຢັນ S5)"| ColdState["ຄວາມສ່ຽງຂອງ RAM ຕ່ໍາ: ຄີບໍ່ໄດ້ຢູ່ໃນ RAM, ດັ່ງນັ້ນຜູ້ໂຈມຕີຕ້ອງແກ້ໄຂ Bootloader (/boot / EFI), Flash SPI BIOS, ຫຼື Plant Hardware Keylogger"]

    HighRiskState --> PhysCheck["ຂັ້ນ​ຕອນ​ທີ 1​: ກວດ​ສອບ​ສະ​ກູ​ພາຍ​ນອກ​, seam ລຸ່ມ​, Port USB​, ແລະ​ສາຍ​ສາກ​ໄຟ​ພາຍ​ໃຕ້​ໄຟ​ສາຍ​ທີ່​ສົດ​ໃສ (ຫ້າມ​ນໍາ​ໃຊ້​ສາຍ​ທີ່​ບໍ່​ໄດ້​ນໍາ​ໃຊ້​ຄືນ​)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"ຈະເກີດຫຍັງຂຶ້ນເມື່ອທ່ານກວດສອບ Boot Integrity / TPM Measurements?"}

    BootBehavior -->|"BitLocker / TPM ທັນທີທັນໃດຕ້ອງການລະຫັດການຟື້ນຕົວ 48 ຕົວເລກ OR Secure Boot Shows Disabled / Altered"| BootTamper["ຢືນຢັນການປ່ຽນເສັ້ນທາງບູດ: TPM PCR (0, 2, 4, 7) ກວດພົບເຟີມແວ BIOS ທີ່ຖືກແກ້ໄຂ, ROM ທາງເລືອກ, ຫຼື EFI Bootloader"]

    BootBehavior -->|"Boots ປົກກະຕິ (ຫຼືກວດສອບການອ່ານເທົ່ານັ້ນຜ່ານ USB Live ພາຍນອກ)"| LogCheck["ຂັ້ນຕອນທີ 2: ກວດສອບ ACPI Lid-Open / Wake Logs & ປະຫວັດການເຊື່ອມຕໍ່ USB ໃນລະຫວ່າງການບໍ່ມີປ່ອງຢ້ຽມຂອງທ່ານ"]

    LogCheck -->|"ບັນທຶກເປີດຝາປິດ, ສຽບອຸປະກອນ USB, ຫຼືປິດເປີດໃໝ່ທີ່ບໍ່ໄດ້ອະທິບາຍໃນຂະນະທີ່ເຈົ້າໄປ."| ConfirmedTouch["ຢືນຢັນການເຂົ້າເຖິງທາງດ້ານຮ່າງກາຍໂດຍບໍ່ໄດ້ຮັບອະນຸຍາດ"]
    LogCheck -->|"Zero Wake Events, Zero Reboot Gaps, Intact Screw Seals & Verified /boot Hashes"| CleanPass["ບໍ່ມີຫຼັກຖານຂອງ Electronic Wake ຫຼື Boot Modification -> ບັງຄັບໃຊ້ລະຫັດຜ່ານ BIOS + ການປົກປ້ອງ Kernel DMA + ນະໂຍບາຍການປິດເຕັມຮູບແບບ"]

    BootTamper --> BurnDevice["ຢ່າພິມລະຫັດຜ່ານໃນເຄື່ອງນີ້: ຮາດແວກັກກັນ, ຖອດລະຫັດ Cloud Sessions/SSH ທັງໝົດອອກຈາກໂທລະສັບທີ່ສະອາດ, ແລະ Drive Image ໃນທາງຜິດ"]
    ConfirmedTouch --> BurnDevice

5 ລັກສະນະທາງວິຊາການຂອງການໂຈມຕີ "ແມ່ບ້ານຊົ່ວ".

ເພື່ອຮູ້ວ່າມີຂໍ້ຄຶດທາງນິຕິສາດອັນໃດທີ່ຈະຊອກຫາ, ເຂົ້າໃຈເຕັກນິກຕົວຈິງ 5 ຢ່າງທີ່ໃຊ້ໃນລະຫວ່າງການໂຈມຕີດ້ວຍມືທາງຮ່າງກາຍຕໍ່ກັບແລັບທັອບ ແລະກະເປົາຮາດແວ:

ການໂຈມຕີ Vector ເວລາທີ່ຕ້ອງການໂດຍຜູ້ໂຈມຕີ ວິທີການໂຈມຕີເຮັດວຽກ ຮາດແວທີ່ທັນສະໄຫມປ້ອງກັນມັນແນວໃດ
1. ບໍ່ໄດ້ເຂົ້າລະຫັດ /boot ຫຼື EFI System Partition (ESP) ການທົດແທນ Bootloader (Classic Evil Maid) ** 2 ຫາ 4 ນາ​ທີ ** (ຜ່ານ USB ພາຍນອກ​) ໃນ Linux ມາດຕະຖານ (LUKS) ການຕິດຕັ້ງ, ລະບົບໄຟລ໌ຮາກຖືກເຂົ້າລະຫັດ, ** ແຕ່ /boot (vmlinuz ແລະ initramfs) ແລະ /boot/efi (GRUB) ຖືກເກັບໄວ້ໂດຍບໍ່ໄດ້ເຂົ້າລະຫັດໄວ້ໃນແຜ່ນ ** ດັ່ງນັ້ນ BIOS ສາມາດໂຫລດການເຕືອນທີ່ຖາມລະຫັດຜ່ານ LUKS ຂອງທ່ານ. ຖ້າບໍ່ມີລະຫັດຜ່ານ BIOS, ຜູ້ໂຈມຕີຈະໃສ່ USB, ເຊື່ອມຕໍ່ /boot, injects a keylogger hook ເຂົ້າໄປໃນ initramfs, ແລະປິດລົງ. ຊະນະໂດຍ UEFI Secure Boot ໂດຍໃຊ້ກະແຈທີ່ລົງທະບຽນໂດຍຜູ້ໃຊ້ເອງ (sbctl / ຮູບ​ພາບ Kernel ລວມ​ UKI ເຊັນແລະວັດແທກເຂົ້າໄປໃນ TPM 2.0 PCR 4 & PCR 7) ຫຼື Anti Evil Maid (TrenchBoot / Heads ເຟີມແວ).
2. BadUSB Keystroke Injection (Flipper Zero, USB Rubber Ducky, O.MG Cable) ** 3 ຫາ 15 ວິນາທີ** (ຕໍ່ກັບແລັບທັອບທີ່ປົດລັອກ ຫຼືນອນຫຼັບ) ຜູ້ໂຈມຕີໄດ້ສຽບ thumb drive ຫຼືສາຍເຂົ້າໄປໃນພອດ USB ທີ່ລະບຸເປັນແປ້ນພິມ USB HID ມາດຕະຖານ ແລະພິມ 1,000 ຕົວອັກສອນຕໍ່ວິນາທີເພື່ອເປີດ terminal ທີ່ເຊື່ອງໄວ້, ເພີ່ມລະຫັດ SSH, ຫຼື exfiltrate cookies ຂອງຕົວທ່ອງເວັບ. ເອົາ​ຊະ​ນະ​ໂດຍ ** locking ຫນ້າ​ຈໍ​ທັນ​ທີ (Win+L / Ctrl+Cmd+Q)**, ປິດເຕັມ, ແລະ macOS Ventura+ / Linux USBGuard "ອະນຸຍາດໃຫ້ອຸປະກອນເສີມ USB ເຊື່ອມຕໍ່: ຖາມທຸກຄັ້ງ".
3. Thunderbolt / USB4 / PCIe Direct Memory Access (DMA) ການ​ໂຈມ​ຕີ (PCILeech / ພາຍໃນ M.2 ຊ່ອງສຽບ) 1 ຫາ 5 ນາ​ທີ (ຕໍ່​ກັບ​ການ​ນອນ​ຫລັບ​ຫຼື​ຄອມ​ພິວ​ເຕີ​ລັອກ​ຢູ່​) PCI Express (PCIe) ອຸປະກອນ (ພາຍນອກ ພອດ Thunderbolt ¾ / USB4 ແລະ ພາຍໃນ ** M.2 NVMe / Wi-Fi ຊ່ອງ**) ມີການເຂົ້າເຖິງຮາດແວໂດຍກົງກັບ RAM ຂອງລະບົບ (DMA), ຂ້າມຫນ້າຈໍເຂົ້າສູ່ລະບົບ OS ເວັ້ນເສຍແຕ່ເປັນ ** IOMMU (Intel VT-d / AMD-Vi / Apple DART) ** ຕັນ​ພວກ​ເຂົາ​. ເອົາຊະນະໂດຍການເປີດໃຊ້ ** ການປົກປ້ອງ Kernel DMA (VT-d / IOMMU Pre-Boot DMA Protection)** ໃນ BIOS ແລະ ** ຢ່າປ່ອຍໃຫ້ຄອມພິວເຕີນອນຫຼັບ (S3/S0ix)** ໃນ​ເວ​ລາ​ທີ່​ບໍ່​ໄດ້​ຕິດ​ຕາມ​.
4. Direct SPI Flash BIOS Chip Reprogramming & Discrete TPM Bus Sniffing 5 ຫາ 15 ນາ​ທີ (ຮຽກ​ຮ້ອງ​ໃຫ້​ມີ screws ຝາ​ລຸ່ມ​ເປີດ​) ຫຼິ້ນ A (SPI Flash): ຕັດຄລິບ SOIC 8-pin (CH341A) ໃສ່​ຊິບ​ແຟລດ UEFI SPI ຂອງ​ເມນບອດ​ເພື່ອ​ສັກ​ໃສ່​ເຟີມ​ແວ (LoJax / MoonBounce).
** ຫຼິ້ນ B (Discrete TPM Sniffing) **: ຖ້າ BitLocker ຢູ່ໃນ TPM-Only ໂຫມດ (ບໍ່ມີ PIN ລ່ວງໜ້າ) ດ້ວຍການແຍກ SPI/LPC ຊິບ TPM, ເຄື່ອງວິເຄາະເຫດຜົນ $50 ທີ່ຕັດລົງໃສ່ຊິບ TPM ບັນທຶກ BitLocker Volume Master Key ດິບໃນລະຫວ່າງການເປີດເຄື່ອງ.		 Play A ຖືກບລັອກໂດຍ Intel Boot Guard, AMD Platform Secure Boot (PSB), ແລະ Apple Silicon hardware root of trust.
Play B ຖືກ​ເອົາ​ຊະ​ນະ​ໂດຍ​ການ​ຮຽກ​ຮ້ອງ​ໃຫ້​ເປັນ BitLocker Pre-Boot PIN ເລີ່ມ​ຕົ້ນ​ການ (TPM + PIN) ຫຼື LUKS passphrase ດັ່ງນັ້ນ TPM ຈະບໍ່ປ່ອຍລະຫັດໂດຍບໍ່ມີການ PIN ຂອງທ່ານ.
5. Supply-Chain / Hotel Hardware Wallet Swap (Ledger / Trezor / Coldcard) 30 ວິ​ນາ​ທີ ຜູ້ໂຈມຕີຈະປ່ຽນກະເປົາເງິນຮາດແວທີ່ບໍ່ໄດ້ໃສ່ເຄື່ອງໃຫ້ກັບເຄື່ອງປອມ ຫຼືຖ່າຍຮູບໃບເກັບເງິນທີ່ເກັບໄວ້ໃນບ່ອນປອດໄພຂອງໂຮງແຮມ. ຮັກສາກະເປົ໋າຮາດແວໄວ້ຢູ່ໃນບຸກຄົນຂອງທ່ານ, ໃຊ້ BIP-39 25th Word Passphrase, ແລະກວດສອບການຢັ້ງຢືນການເຂົ້າລະຫັດລັບ.

ໄລຍະທີ 1: ກວດຄົ້ນທາງວິຊາສະເພາະ ກວດຄົ້ນໂນດບຸກທີ່ຕ້ອງສົງໄສ (ກ່ອນເຂົ້າລະບົບ)

ຖ້າເຈົ້າກັບຄືນໄປຫ້ອງໂຮງແຮມຂອງເຈົ້າ ຫຼືຮັບແລັບທັອບຂອງເຈົ້າຄືນຫຼັງຈາກການກວດສອບຊາຍແດນ ແລະ ຕ້ອງການຮູ້ວ່າມີໃຜເປີດ, ຕື່ນ, ຫຼືສຽບອຸປະກອນໃສ່ມັນໃນຂະນະທີ່ເຈົ້າບໍ່ຢູ່, ໃຫ້ເຮັດການກວດສອບຕາມລຳດັບ:

1. ຂັ້ນຕອນທີ 1: ການກວດສອບພອດກາຍະພາບ, ສາຍເຄເບີ້ນ, ແລະເຊສຊີ Screw Audit

  1. ** ກັກກັນສາຍໄຟທີ່ປະໄວ້ທາງຫລັງໃນຫ້ອງ **:
  2. ເປັນ O.MG Cable ຫຼື USB Ninja ເບິ່ງ​ບໍ່​ໄດ້ 100 ເປີ​ເຊັນ​ທີ່​ແຕກ​ຕ່າງ​ຈາກ​ສາຍ Apple USB-C ຂອງ​ແທ້​, ສາຍ Anker, ຫຼື​ອະ​ແດບ​ເຕີ Dell USB-C, ລົງ​ໄປ​ທີ່​ຫມາຍ​ເລກ​ລໍາ​ດັບ laser etched ຢູ່​ໃນ​ແຂນ​ເຊື່ອມ​ຕໍ່.
  3. ຖ້າ​ເຈົ້າ​ປະ​ສາຍ USB-C, ໄຟ​ອິດ, ຫຼື​ສູນ USB ໂດຍ​ບໍ່​ມີ​ການ​ຕິດ​ຕໍ່​ໃນ​ສະ​ພາບ​ແວດ​ລ້ອມ​ທີ່​ມີ​ຄວາມ​ສ່ຽງ​ສູງ, ຢຸດ​ສຽບ​ສາຍ​ຂໍ້​ມູນ​ຂອງ​ມັນ​ໃສ່​ແລັບ​ທັອບ​ຂອງ​ເຈົ້າ; ແທນທີ່ມັນດ້ວຍສາຍເຄເບິລທີ່ຮູ້ຈັກດີຈາກຖົງປະທັບຕາຂອງທ່ານ ຫຼືວາງ ຕົວບລັອກຂໍ້ມູນ USB ທີ່ໃຊ້ພະລັງງານເທົ່ານັ້ນ (ຖົງຢາງອະນາໄມ USB) ໃນຊຸດກັບມັນ.
  4. **ກວດ​ສອບ​ການ​ປົກ​ຫຸ້ມ​ດ້ານ​ລຸ່ມ Screws & Seam ພາຍ​ໃຕ້​ການ Raking Flashlight Light **:
  5. ຖືໄຟສາຍສະມາດໂຟນຂອງທ່ານໃນມຸມ** 15 ອົງສາຕື້ນ ("ແສງໄຟ")** ຂ້າມຫົວສະກູຢູ່ລຸ່ມສຸດຂອງແລັບທັອບຂອງທ່ານ.
  6. screws ໂຮງງານຜະລິດຄັ້ງດຽວຢູ່ໃນໂຮງງານປະກອບມີການເຄືອບ anodized ສະອາດ, ເປັນເອກະພາບພາຍໃນຊ່ອງ star / cross. ສະກູທີ່ຖອດອອກໃນຫ້ອງໂຮງແຮມທີ່ມີເຫຼັກບິດສະແດງ ** ມີຮອຍຂີດຂ່ວນຂອງໂລຫະເງິນທີ່ສົດໃສຢູ່ໃນຮູສະກູ **, ຂີ້ຝຸ່ນກະດາດສີຟ້າ / ສີແດງທີ່ຖືກລົບກວນ, ຫຼືຄວາມຜິດປົກກະຕິເລັກນ້ອຍຂອງແຜ່ນອາລູມິນຽມດ້ານລຸ່ມພ້ອມກັບຄລິບລະບາຍອາກາດດ້ານຫລັງ.

2. ຂັ້ນ​ຕອນ​ທີ 2​: ການ​ກວດ​ສອບ OS Wake​, Lid​-Open​, ແລະ​ບັນ​ທຶກ​ການ reboot (Laptop ໄດ້​ເປີດ​ໃນ​ຂະ​ນະ​ທີ່​ທ່ານ​ໄດ້​ຫມົດ​?​)

ສັງເກດເວລາທີ່ແນ່ນອນທີ່ທ່ານຢູ່ຫ່າງຈາກແລັບທັອບ (ຕົວຢ່າງ: 12:15 PM to 01:45 PM). ເຖິງແມ່ນວ່າຜູ້ໂຈມຕີຈະເປີດ Live USB stick, ** ຊ່ອງຫວ່າງທີ່ບໍ່ຄາດຄິດ ຫຼື boot ເຢັນໃນເວລາເຮັດວຽກຂອງ OS ຂອງທ່ານ, ຫຼືເຫດການ ACPI Lid-Open ໃນລະຫວ່າງປ່ອງຢ້ຽມນັ້ນ, ພິສູດວ່າແລັບທັອບໄດ້ຖືກດັດແປງທາງດ້ານຮ່າງກາຍ **:

ໃນ macOS (MacBook Air / MacBook Pro):

ເປີດ Terminal ແລະ​ດໍາ​ເນີນ​ການ​ຄໍາ​ສັ່ງ​ນີ້​ເພື່ອ​ສະ​ແດງ​ໃຫ້​ເຫັນ​ແຕ່​ລະ​ຄັ້ງ​ດຽວ Lid Open, Lid Close, Wake, Sleep, ແລະ Power-On/Shutdown ກໍ​ລະ​ນີ​ຮາດ​ແວ​ຈາກ​ການ​ຄວບ​ຄຸມ​ການ​ຄຸ້ມ​ຄອງ​ລະ​ບົບ (SMC / PMU) ຕະຫຼອດ 24 ຊົ່ວໂມງທີ່ຜ່ານມາ: 

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60
ແລະກວດເບິ່ງວ່າອຸປະກອນ USB ໃດຖືກເຊື່ອມຕໍ່ໃນລະຫວ່າງປ່ອງຢ້ຽມເວລາ: 
log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"
- ເບິ່ງສະແຕມເວລາຢ່າງໃກ້ຊິດ: ຖ້າເຈົ້າອອກຈາກຫ້ອງຂອງເຈົ້າຢູ່ 12:15 PM ແລະກັບຄືນຢູ່ທີ່ 01:45 PM, ແລະ pmset -g log ການສະແດງ Wake reason: EC.LidOpen ທີ່ 12:48:12 PM ຕິດຕາມດ້ວຍ Sleep ທີ່ 12:54:03 PM, ມີຄົນເປີດຝາ MacBook ຂອງເຈົ້າໃນເວລາ 12:48 ໂມງແລງ.

ໃນ Linux (Ubuntu, Fedora, Debian, Arch, RHEL):

  1. ກວດສອບ systemd-journald ສໍາ​ລັບ​ເຫດ​ການ boot/shutdown ຫຼື lid/sleep transitions ໃນ​ລະ​ຫວ່າງ​ການ​ບໍ່​ມີ​ຂອງ​ທ່ານ: 
    journalctl --list-boots -n 10
journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
  2. ** ກວດ​ສອບ​ວ່າ​ທ່ານ​ບໍ່​ໄດ້​ເຂົ້າ​ລະ​ຫັດ​ /boot ແລະ /boot/efi ບໍ່​ໄດ້​ແກ້​ໄຂ​ພາ​ທິ​ຊັນ​ໃນ​ຂະ​ນະ​ທີ່​ເຄື່ອງ​ໄດ້​ຖືກ​ປິດ **​: ກວດເບິ່ງທີ່ແນ່ນອນ Modify ແລະ Change (ctime) inode timestamps ຂອງທຸກຮູບ kernel, initramfs, ແລະ GRUB EFI binary ພາຍໃນ /boot: 
    find /boot -type f -exec stat -c "%y %z %n" {} + | sort
    *(ຖ້າໄຟລ໌ໃດຢູ່ໃນ /boot ຫຼື /boot/efi ມີ Change ຫຼື Modify ສະແຕມເວລາໃນເວລາທີ່ທ່ານອອກຈາກຫ້ອງ, ຫຼືຕັ້ງແຕ່ຄັ້ງສຸດທ້າຍຂອງທ່ານ apt/dnf ການອັບເດດ kernel, ** bootloader ຂອງທ່ານຖືກລົບກວນ *.)

ໃນ Windows 10 / 11:

ເປີດ​ປ່ອງ​ຢ້ຽມ Administrator PowerShell ແລະ​ສອບ​ຖາມ​ບັນ​ທຶກ​ເຫດ​ການ​ລະ​ບົບ​ສໍາ​ລັບ​ທຸກ Power-On (ID 12), ປິດ (ID 13), ນອນ (ID 42), ຕື່ນ​ຈາກ​ການ​ນອນ (ID 1 / ID 107), ແລະການສູນເສຍພະລັງງານທີ່ບໍ່ຄາດຄິດ (ID 41) ໃນ 24 ຊົ່ວໂມງທີ່ຜ່ານມາ: 

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap
ແລະກວດເບິ່ງວ່າມີບ່ອນເກັບຂໍ້ມູນ USB ຫຼືອຸປະກອນແປ້ນພິມ HID ໃໝ່ໃດຖືກສຽບໃສ່ໃນຂະນະທີ່ທ່ານໄປ: 
Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

ໄລຍະທີ 2: ເປັນຫຍັງ Apple Silicon Macs & Modern TPM 2.0 + PIN ລະບົບແມ່ນຍາກກວ່າ "ຜູ້ຮັບໃຊ້ຊົ່ວ" (ແລະວິທີການປັບຄ່າໃຫ້ຖືກຕ້ອງ)

ບໍ່ແມ່ນແລັບທັອບທັງໝົດທີ່ມີຄວາມສ່ຽງເທົ່າທຽມກັນຕໍ່ການລົບກວນທາງຮ່າງກາຍ. ນີ້ແມ່ນວິທີການທີ່ຮາກຂອງຮາດແວທີ່ທັນສະໄຫມເຮັດວຽກແລະການຕັ້ງຄ່າທີ່ແນ່ນອນທີ່ທ່ານຕ້ອງເປີດໃຊ້:

1. Apple Silicon MacBooks (M1, M2, M3, M4)

Apple Silicon Macs ແມ່ນ ໜຶ່ງ ໃນຄອມພິວເຕີໂນດບຸກຜູ້ບໍລິໂພກທີ່ທົນທານຕໍ່ Evil-Maid ທີ່ສຸດທີ່ເຄີຍສ້າງມາເມື່ອ ** ປິດເຄື່ອງ (S5)** ແລະ​ຕັ້ງ​ຄ່າ​ດ້ວຍ FileVault + Firmware/Recovery Security: - ROM boot ໄດ້ຖືກຝັງເຂົ້າໄປໃນຊິລິໂຄນທີ່ບໍ່ປ່ຽນແປງໄດ້ພາຍໃນ M-series SoC (Hardware Root of Trust). ທຸກຂັ້ນຕອນຂອງລະບົບຕ່ອງໂສ້ເກີບ (iBoot -> macOS Kernel -> ປະລິມານລະບົບເຊັນເຂົ້າລະຫັດລັບ SSV) ຖືກກວດສອບໂດຍລະຫັດຮາດແວຂອງ Apple ກ່ອນທີ່ຈະດໍາເນີນການ. - ຊິບ NAND ການເກັບຮັກສາແມ່ນຖືກເຂົ້າລະຫັດຮາດແວໂດຍ ** Secure Enclave (AES-XTS)** ການ​ນໍາ​ໃຊ້​ກະ​ແຈ​ທີ່​ເຊື່ອມ​ຕໍ່​ກັບ​ລະ​ຫັດ​ຜ່ານ FileVault ຂອງ​ທ່ານ​ທີ່​ມີ​ຂໍ້​ຈໍາ​ກັດ​ອັດ​ຕາ​ການ​ຕ້ານ​ການ​ຕີ​ຮາດ​ແວ​. - ** 3 ການ​ຕັ້ງ​ຄ່າ​ບັງ​ຄັບ​ທ່ານ​ຕ້ອງ​ກວດ​ສອບ​ໃນ MacBook ຂອງ​ທ່ານ​ໃນ​ປັດ​ຈຸ​ບັນ **​: 1. FileVault ເປີດ​ຢູ່: **ການ​ຕັ້ງ​ຄ່າ​ລະ​ບົບ​> ຄວາມ​ເປັນ​ສ່ວນ​ຕົວ & ຄວາມ​ປອດ​ໄພ​> FileVault -> ON **. 2. **ປິດ​ການ​ເຂົ້າ​ສູ່​ລະ​ບົບ​ອັດ​ຕະ​ໂນ​ມັດ ແລະ​ຮຽກ​ຮ້ອງ​ໃຫ້​ມີ​ລະ​ຫັດ​ຜ່ານ​ທັນ​ທີ​ທັນ​ໃດ​ໃນ​ເວ​ລາ​ນອນ **: ** ການ​ຕັ້ງ​ຄ່າ​ລະ​ບົບ​> Lock ຫນ້າ​ຈໍ -​> ຮຽກ​ຮ້ອງ​ໃຫ້​ມີ​ລະ​ຫັດ​ຜ່ານ​ຫຼັງ​ຈາກ​ການ​ເລີ່ມ​ຕົ້ນ​ການ​ປະ​ຢັດ​ຫນ້າ​ຈໍ​ຫຼື​ການ​ສະ​ແດງ​ປິດ -​> ທັນ​ທີ ​. 3. ບລັອກອຸປະກອນເສີມ USB/Thunderbolt ທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດເມື່ອຖືກລັອກ: ໄປທີ່ ການຕັ້ງຄ່າລະບົບ > ຄວາມເປັນສ່ວນຕົວ & ຄວາມປອດໄພ > ອະນຸຍາດໃຫ້ອຸປະກອນເສີມເຊື່ອມຕໍ່ ແລະຕັ້ງມັນເປັນ "ຖາມຫາອຸປະກອນເສີມໃໝ່" ຫຼື "ຖາມທຸກເທື່ອ" (ບໍ່ເຄີຍ"ອັດຕະໂນມັດເມື່ອປົດລັອກ" ຫຼື "ສະເໝີ"). ເມື່ອຕັ້ງເປັນ "ຖາມທຸກເວລາ", ສຽບ a BadUSB ຫົວສີດກະແຈ ຫຼື ເຄື່ອງມື Thunderbolt DMA ເຂົ້າໄປໃນ MacBook ທີ່ຖືກລັອກ ວາງພອດເຂົ້າໄປໃນໂໝດພະລັງງານເທົ່ານັ້ນ ແລະຂັດຂວາງການນັບເລກຂໍ້ມູນ PCIe/USB ທັງໝົດໃນລະດັບຕົວຄວບຄຸມຮາດແວ.

2. Windows 10/11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)

ໂດຍຄ່າເລີ່ມຕົ້ນໃນ 99 ເປີເຊັນຂອງແລັບທັອບ Windows (Dell, Lenovo, HP, Surface), **BitLocker ຖືກຕັ້ງຄ່າໃນ "TPM-Only" (ການ​ດໍາ​ເນີນ​ງານ​ຄວາມ​ໂປ່ງ​ໃສ​) ຮູບ​ແບບ ​: - ເມື່ອທ່ານກົດປຸ່ມເປີດປິດ a TPM-Only ແລັບທັອບ BitLocker, ແລັບທັອບເປີດຊື່ໄປຫາໜ້າຈໍລັອກຂອງ Windows ໂດຍບໍ່ໄດ້ຂໍລະຫັດ PIN ຂອງ BitLocker, ຊຶ່ງໝາຍຄວາມວ່າຊິບ TPM ໄດ້ຖອດລະຫັດຫຼັກຂອງ drive ອັດຕະໂນມັດ (VMK) ແລະໂຫລດ Windows OS ເຂົ້າໄປໃນ RAM. - ໃນຄອມພິວເຕີໂນດບຸກໃດນຶ່ງທີ່ໃຊ້ຊິບ ** TPM ແຍກກັນ ** ເຊື່ອມຕໍ່ກັບ CPU ຜ່ານເມນບອດ SPI ຫຼື LPC ລົດເມ, ຜູ້ໂຈມຕີທີ່ເປີດຝາເບື້ອງລຸ່ມ ແລະ ຄັດລອກເຄື່ອງວິເຄາະເຫດຜົນ $50 ໃສ່ຊິບ TPM. MOSI/MISO pin ** ອ່ານຂໍ້ຄວາມທຳມະດາຂອງເຈົ້າ BitLocker Volume Master Key (VMK) ປິດສາຍໄຟໃນ 5 ວິນາທີ (BitPixie / TPM-Sniffing) ໂດຍບໍ່ຮູ້ລະຫັດຜ່ານ Windows ຂອງທ່ານ. - ການບູດທຸກວິທີທາງໄປຫາຫນ້າຈໍເຂົ້າສູ່ລະບົບ Windows ຍັງເປີດເຜີຍແກ່ນ Windows, Wi-Fi stack, ແລະ PCIe bus ໃນຂະນະທີ່ບໍ່ໄດ້ໃສ່.

ວິທີການເປີດໃຊ້ການບັງຄັບ BitLocker Pre-Boot PIN Startup (TPM + PIN) ໃນ Windows ໃນ 2 ນາ​ທີ​:

ການເພີ່ມ Pre-Boot BitLocker PIN ບັງຄັບໃຫ້ຮາດແວ TPM 2.0 ຊິບເພື່ອຮັກສາກະແຈການເຂົ້າລະຫັດດິສກ໌ຖືກລັອກພາຍໃນຊິລິໂຄນທີ່ທົນທານຕໍ່ການບິດເບືອນຂອງມັນຈົນກວ່າທ່ານຈະພິມລະຫັດ PIN ລ່ວງໜ້າ 6 ຫາ 20 ຕົວອັກສອນຂອງທ່ານໃສ່ໃນໜ້າຈໍ BIOS/BitLocker ສີດໍາ: 1. ກົດ Win + R, ພິມ gpedit.msc, ແລະກົດ Enter (ໃນ Windows 10/11 Pro, Enterprise, ຫຼື Education). 2. ທ່ອງໄປຫາ: **ການ​ຕັ້ງ​ຄ່າ​ຄອມ​ພິວ​ເຕີ​> ແມ່​ແບບ​ການ​ບໍ​ລິ​ຫານ​> ອົງ​ປະ​ກອບ Windows​> BitLocker ການ​ເຂົ້າ​ລະ​ຫັດ​ຂັບ​ລົດ​> ຂັບ​ຂອງ​ລະ​ບົບ​ປະ​ຕິ​ບັດ​ການ **​. 3. ຄລິກສອງເທື່ອ "ຕ້ອງການການພິສູດຢືນຢັນເພີ່ມເຕີມໃນເວລາເລີ່ມຕົ້ນ", ຕັ້ງມັນເປັນ ເປີດໃຊ້ງານ, ແລະຕັ້ງ ກຳນົດຄ່າ PIN startup TPM: ເປັນ Require startup PIN with TPM. 4. ເປີດ Administrator Command Prompt ຫຼື PowerShell ແລະຕັ້ງ BitLocker PIN ໃໝ່ກ່ອນເປີດເຄື່ອງຂອງທ່ານ (ເພື່ອອະນຸຍາດໃຫ້ໃຊ້ລະຫັດຜ່ານທີ່ເປັນຕົວເລກ, ຍັງເປີດໃຊ້ "ອະນຸຍາດໃຫ້ປັບປຸງ PINs ສໍາລັບການເລີ່ມຕົ້ນ" ໃນໂຟນເດີນະໂຍບາຍກຸ່ມດຽວກັນ): 

manage-bde -protectors -add C: -TPMAndPIN
5. ໃສ່ລະຫັດ PIN ລ່ວງໜ້າການບູດທີ່ແຂງແຮງຂອງເຈົ້າເມື່ອຖືກເຕືອນ. ດຽວນີ້, ເມື່ອແລັບທັອບຂອງເຈົ້າຖືກປິດ, ** ບໍ່ມີໃຜ, ບໍ່ແມ່ນແຕ່ຄົນທີ່ມີຕົວວິເຄາະເຫດຜົນທີ່ຖືກຕັດໂດຍກົງໃສ່ເມນບອດຂອງເຈົ້າ, ສາມາດໄດ້ຮັບ TPM ເພື່ອປ່ອຍລະຫັດ BitLocker ໂດຍບໍ່ຕ້ອງໃຊ້ PIN ຂອງທ່ານ **.

3. Linux (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)

ໃນຄອມພິວເຕີໂນດບຸກ Linux (Ubuntu, Fedora, Debian, Arch, Qubes OS), ມາດຕະຖານ LUKS ການເຂົ້າລະຫັດແຜ່ນເຕັມແລ້ວຮຽກຮ້ອງໃຫ້ທ່ານພິມລະຫັດຜ່ານກ່ອນບູດກ່ອນການປົດລັອກໄດຣຟ໌, ເຊິ່ງຈະຢຸດການດມກິ່ນລົດເມ TPM ແບບ passive. ຢ່າງໃດກໍຕາມ, ການຕິດຕັ້ງ Linux ມາດຕະຖານອອກໄປ /boot (initramfs ແລະ vmlinuz) ບໍ່ໄດ້ເຂົ້າລະຫັດ, ເຮັດໃຫ້ພວກເຂົາມີຄວາມສ່ຽງຕໍ່ກັບ USB Evil Maid ** 2 ນາທີຄລາສສິກ /boot ການທົດແທນ ** ເວັ້ນເສຍແຕ່ວ່າທ່ານປະຕິບັດສາມຂັ້ນຕອນການແຂງເຫຼົ່ານີ້: 1. ຕັ້ງລະຫັດຜ່ານຜູ້ຄຸມ UEFI / BIOS ທີ່ເຂັ້ມແຂງ ແລະປິດການໃຊ້ງານ USB/Network Boot ພາຍນອກ: - ໃສ່ BIOS ຂອງແລັບທັອບຂອງເຈົ້າ (F2, F1, F10, ຫຼື Del ເມື່ອເປີດເຄື່ອງ) -> ໄປທີ່ ຄວາມປອດໄພ> Administrator / Supervisor Password ແລະຕັ້ງລະຫັດຜ່ານທີ່ເຂັ້ມແຂງເພື່ອໃຫ້ຜູ້ໂຈມຕີບໍ່ສາມາດກົດໄດ້. F12 ຢູ່ທີ່ boot ເພື່ອໂຫລດແຜ່ນ USB. 2. ** ເປີດໃຊ້ UEFI Secure Boot + ລົງທະບຽນກະແຈແບບກຳນົດເອງ / ເຊັນຮູບເຄເອັນເນລທີ່ເປັນເອກະພາບ (sbctl + UKI): - ເຄື່ອງ​ມື​ເຊັ່ນ sbctl (Arch, Fedora, Debian, Ubuntu) ມັດ Linux kernel, kernel command line, ແລະ initramfs ເຂົ້າ​ໄປ​ໃນ​ການ​ລົງ​ນາມ cryptographically ດຽວ ** ຮູບ​ພາບ Kernel ລວມ (UKI .efi) ກວດ​ສອບ​ໂດຍ​ກະ​ແຈ​ຮາດ​ແວ UEFI Secure Boot ຂອງ​ທ່ານ (PK / KEK / db). ຖ້າ Evil Maid ດັດແປງ byte ດຽວຂອງເຈົ້າ initramfs, ເຟີມແວ UEFI ປະຕິເສດທີ່ຈະບູດມັນແລະສະແດງການເຕືອນໄພ Secure Boot Violation ສີແດງ ກ່ອນທີ່ທ່ານຈະພິມລະຫັດຜ່ານ LUKS ຂອງທ່ານ. 3. ** ກວດ​ສອບ​ IOMMU / Kernel DMA Protection ແລະຕິດຕັ້ງ USBGuard**: - ກວດເບິ່ງວ່າ Linux kernel IOMMU ເຮັດວຽກຢູ່ (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") ແລະ​ຕິດ​ຕັ້ງ usbguard (sudo apt install usbguard) ເພື່ອສະກັດການໃສ່ໃຫມ່ HID ແປ້ນພິມ (03:*:*) ໃນຂະນະທີ່ຫນ້າຈໍຂອງທ່ານຖືກລັອກ.

ໄລຍະທີ 3: DIY Physical Tamper Detection Seals ສໍາລັບການເດີນທາງທີ່ມີຄວາມສ່ຽງສູງ ("Glitter Nail Polish" & Haven)

ເຈົ້າຫນ້າທີ່ສືບລັບ, ນັກຄົ້ນຄວ້າຮາດແວ, ແລະນັກຂ່າວສືບສວນໃຊ້ສອງເຕັກນິກການກວດພົບການບິດເບືອນທາງຮ່າງກາຍທີ່ບໍ່ມີລາຄາຖືກ, ລືມບໍ່ໄດ້:

1. "Glitter Nail Polish + Macro Photo" Screw Seal (Uncounterfeitable Entropy)

ສະຕິກເກີໂຮໂລຣາກແບບການຄ້າມາດຕະຖານ "VOID IF REMOVED" ສາມາດຊື້ໄດ້ຢູ່ Amazon ໃນລາຄາ 10 ໂດລາ, ປອກເປືອກອອກ, ແລະປ່ຽນແທນດ້ວຍສະຕິກເກີທີ່ຄືກັນ. ຢາທາເລັບ Glitter ແມ່ນທາງຄະນິດສາດທີ່ບໍ່ສາມາດລືມໄດ້: 1. ຊື້ 5 ຕຸກຢາທາເລັບສີສະອາດທີ່ເຕັມໄປດ້ວຍກະເປົ໋າໂລຫະຫຼາຍສີ, ຫຼາຍຂະໜາດ. 2. ທາສີທາເລັບອັນເປັນເງົານ້ອຍໆໃສ່ທົ່ວ ສະກູສອງດ້ານລຸ່ມປິດລົງ (ເຊື່ອມຕໍ່ຫົວສະກູໃສ່ກັບໂລຫະຕົວເຄື່ອງທີ່ອ້ອມຮອບ) ແລະຜ່ານ ຮອຍທາງລຸ່ມ ຂອງແລັບທັອບຂອງເຈົ້າ (ຫຼືຜ່ານ tape sealing your laptop padded bag). 3. ເມື່ອມັນແຫ້ງ, ເອົາ ** ການຖ່າຍຮູບມະຫາພາກທີ່ມີຄວາມລະອຽດສູງ ** ຂອງແຕ່ລະປະທັບຕາ glitter ໂດຍໃຊ້ກ້ອງຖ່າຍຮູບໂທລະສັບສະຫຼາດຂອງທ່ານ (ເຊິ່ງຢູ່ໃນຖົງຂອງທ່ານ). 4. ເປັນ​ຫຍັງ​ຜູ້​ໂຈມ​ຕີ​ບໍ່​ສາ​ມາດ​ເອົາ​ຊະ​ນະ​ໄດ້: ເຖິງ​ແມ່ນ​ວ່າ​ຜູ້​ໂຈມ​ຕີ​ຈະ​ປະ​ກອບ​ການ​ທາ​ເລັບ glitter ຍີ່​ຫໍ້​ດຽວ​ກັນ​, ການ **ການ​ຈັດ​ລຽງ​ທາງ​ເລ​ຂາ​ຄະ​ນິດ 2D ແບບ​ສຸ່ມ​, ການ​ແຈກ​ຢາຍ​ສີ​, ແລະ​ມຸມ​ທັບ​ຊ້ອນ​ກັນ​ຂອງ 80 flakes glitter ເປັນ​ສ່ວນ​ບຸກ​ຄົນ ** ສ້າງ​ເປັນ fingerprint ທີ່​ເປັນ​ເອ​ກະ​ລັກ​ທາງ​ດ້ານ​ຮ່າງ​ກາຍ​. ເມື່ອທ່ານກັບຄືນໄປຫາຫ້ອງໂຮງແຮມຂອງທ່ານ, ຖ່າຍຮູບທີສອງຂອງສະກູປະທັບຕາຈາກມຸມດຽວກັນແລະປຽບທຽບຮູບ "ກ່ອນ" ແລະ "ຫຼັງ" ໃນໂທລະສັບຂອງທ່ານ: ຖ້າສະກູດຽວຖືກຫັນເຖິງ 5 ອົງສາ, ຮູບແບບ glitter ຈະປ່ຽນແປງຢ່າງເຫັນໄດ້ຊັດ.

2. ການປ່ຽນໂທລະສັບ Android ເກົ່າເປັນເຄື່ອງກວດຈັບການບຸກລຸກຫ້ອງໂຮງແຮມທາງດ້ານຮ່າງກາຍ (Haven ແອັບ)

  • ສ້າງ​ໂດຍ ໂຄງການ​ຜູ້​ປົກ​ຄອງ ແລະ ອິດ​ສະ​ລະ​ພາບ​ຂອງ​ມູນ​ນິ​ທິ​ຂ່າວ, ໄດ້​ຟຣີ​ແຫຼ່ງ​ເປີດ app Android Haven: Keep Watch ປ່ຽນ​ທຸກ​ໂທລະ​ສັບ Android ຫວ່າງ​ເປັນ​ການ​ເຄື່ອນ​ໄຫວ​, ສຽງ​, vibration (accelerometer​)​, ແລະ​ເຄື່ອງ​ກວດ​ຈັບ​ແສງ​ສະ​ຫວ່າງ​ລ້ອມ​ຮອບ​.
  • ກ່ອນ​ທີ່​ຈະ​ປະ​ແລັບ​ທັອບ​ຂອງ​ທ່ານ​ໄວ້​ໃນ​ຕູ້​ນິ​ລະ​ໄພ​ຫຼື​ລິ້ນ​ຊັກ​ຂອງ​ໂຮງ​ແຮມ, ໃຫ້​ວາງ​ໂທລະສັບ​ສຳຮອງ​ໄວ້ Haven ຢູ່ເທິງສຸດຂອງແລັບທັອບຂອງເຈົ້າພາຍໃນລິ້ນຊັກປິດ ຫຼືກະເປົ໋າ: ຖ້າໃຜເປີດລິ້ນຊັກ (ປ່ຽນການອ່ານເຊັນເຊີແສງສະພາບແວດລ້ອມ) ຫຼືແຕະໃສ່ແລັບທັອບ, Haven ຖ່າຍຮູບຢ່າງງຽບໆ, ບັນທຶກສຽງ, ແລະສົ່ງສັນຍານເຕືອນ ** ສັນຍານ ** ເຂົ້າລະຫັດໄປຫາໂທລະສັບຫຼັກໃນກະເປົ໋າຂອງເຈົ້າ.

3. ການກວດກາຜ່ານດ່ານສາກົນ ແລະສະໜາມບິນຂັ້ນສອງຢ່າງປອດໄພ

ຖ້າເຈົ້າເດີນທາງໄປຕ່າງປະເທດຜ່ານເຂດອຳນາດທີ່ມີຄວາມສ່ຽງສູງ ເຊິ່ງເຈົ້າໜ້າທີ່ພາສີ ຫຼື ດ່ານຊາຍແດນອາດຈະເອົາໂນດບຸກ ແລະ ໂທລະສັບອອກຈາກສາຍຕາ: 1. ການເດີນທາງດ້ວຍແລັບທັອບ ແລະໂທລະສັບທີ່ອຸທິດຕົນ “ການເດີນທາງສະອາດ/ເຄື່ອງເຜົາຜານ”: ຢ່າເອົາບ່ອນເຮັດວຽກຫຼັກຂອງບໍລິສັດ, ລະຫັດລັບຕະຫຼອດຊີວິດ, ຫຼືກະແຈ SSH ຂ້າມຊາຍແດນທີ່ມີຄວາມສ່ຽງສູງ. ພົກ Chromebook ທີ່ສະອາດ ຫຼືແລັບທັອບທີ່ມີຮູບພາບສົດໆທີ່ບັນຈຸສະເພາະໄຟລ໌ທີ່ຈຳເປັນສຳລັບການເດີນທາງນັ້ນ, ແລະເຂົ້າເຖິງວຽກທີ່ລະອຽດອ່ອນຢ່າງເຂັ້ມງວດຜ່ານເຊສຊັນເດັສທັອບທາງໄກທີ່ຜ່ານການພິສູດຢືນຢັນຫຼັງຈາກມາຮອດ. 2. ** ປິດ​ໄຟ​ຢ່າງ​ສົມ​ບູນ (S5) 10 ນາ​ທີ​ກ່ອນ​ທີ່​ຈະ​ເຂົ້າ​ໄປ​ໃນ​ຫ້ອງ​ການ​ພາ​ສີ **​: ປິດ​ຄອມ​ພິວ​ເຕີ​ແລະ​ໂທລະ​ສັບ​ມື​ຖື​ຫມົດ (Power Off) ກ່ອນ​ທີ່​ຈະ​ລົງ​ຈາກ​ເຮືອ​ບິນ​ດັ່ງ​ນັ້ນ DRAM decays ຫມົດ​ແລະ biometric unlock (Face ID / Touch ID) ຖືກປິດການນຳໃຊ້ໃນເງື່ອນໄຂຂອງລະຫັດຜ່ານທີ່ເປັນຕົວເລກ ແລະ ຕົວເລກທີ່ເຂັ້ມແຂງ.

ໝາຍເລກສຸກເສີນລະດັບພາກພື້ນ ແລະພິທີການຂອງອົງການ

ການລັກຂະໂມຍທາງຮ່າງກາຍກັບຮາດແວຄອມພິວເຕີ, ການປູກຄີລ໋ອກເກີຮາດແວທີ່ລັບໆ, ຫຼືການສອດແນມຊາຍແດນ/ໂຮງແຮມທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດຄວນຖືກລາຍງານຕໍ່ອົງການຕ້ານຂ່າວລັບແຫ່ງຊາດ ແລະອົງການປ້ອງກັນທາງອິນເຕີເນັດ:

  • ** ສະ​ຫະ​ລັດ​ແລະ​ກາ​ນາ​ດາ **​:
  • ບໍລິການສຸກເສີນ: ໂທ 911 ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​ຄົ້ນ​ພົບ intruder ໃນ​ຫ້ອງ​ໂຮງ​ແຮມ​ຫຼື​ທີ່​ຢູ່​ອາ​ໄສ​ຂອງ​ທ່ານ​.
  • ** ຫ້ອງການສືບສວນຂອງລັດຖະບານກາງ (FBI) ພະແນກຕ້ານ ແລະ ໄຊເບີ / IC3: ຖ້າທ່ານເປັນນັກທ່ອງທ່ຽວສະຫະລັດ, ຜູ້ຮັບເໝົາດ້ານປ້ອງກັນຊາດ, ນັກຄົ້ນຄວ້າ, ຫຼືຜູ້ບໍລິຫານທີ່ມີແລັບທັອບ ຫຼື ໂທລະສັບຖືກລົບກວນຢູ່ຕ່າງປະເທດ ຫຼືຢູ່ໃນໂຮງແຮມ, ໃຫ້ລາຍງານເຫດການດັ່ງກ່າວໄປຫາ ** FBI Field Office Counterintelligence Squad ຫຼືຢູ່ທີ່ ic3.gov ແລະ cisa.gov/report (ຮັກສາສາຍເຄເບິ້ນ ຫຼືແລັບທັອບທີ່ບໍ່ໄດ້ແຕະຕ້ອງຢູ່ໃນຖົງ Faraday ສໍາລັບການວິເຄາະຫ້ອງທົດລອງທາງນິຕິສາດຂອງ FBI).
  • ** ການ​ບໍ​ລິ​ການ​ຄວາມ​ປອດ​ໄພ​ຂອງ​ກາ​ນາ​ດາ (CSIS) & ສູນ Cyber **: ໂທ 1-833-CYBER-88 ຫຼື​ຕິດ​ຕໍ່ CSIS (613-993-9620) ສໍາ​ລັບ​ການ​ທີ່​ສົງ​ໃສ​ວ່າ​ການ​ຂັດ​ຂວາງ​ອຸ​ປະ​ກອນ​ທາງ​ດ້ານ​ຮ່າງ​ກາຍ​ຂອງ​ຕ່າງ​ປະ​ເທດ​.
  • ** ສະຫະລາດຊະອານາຈັກ **:
  • ບໍລິການສຸກເສີນ: ໂທ 999 (ຫຼື 101 ສໍາ​ລັບ​ຕໍາ​ຫຼວດ​)​.
  • ** ສູນ​ຄວາມ​ປອດ​ໄພ​ທາງ​ໄຊ​ເບີ​ແຫ່ງ​ຊາດ (NCSC) ແລະ ອົງ​ການ​ປ້ອງ​ກັນ​ຄວາມ​ປອດ​ໄພ​ແຫ່ງ​ຊາດ (NPSA)**: ລັດຖະບານອັງກິດ, ນັກວິຊາການ, ແລະນັກເດີນທາງວິສາຫະກິດຄວນປະຕິບັດຕາມ NCSC / NPSA ຄໍາແນະນໍາອຸປະກອນການທ່ອງທ່ຽວຕ່າງປະເທດ ແລະລາຍງານທີ່ສົງໃສວ່າມີການລົບກວນຮາດແວທາງດ້ານຮ່າງກາຍຜ່ານ ncsc.gov.uk.
  • ** ສະ​ຫະ​ພາບ​ເອີ​ຣົບ **​:
  • ບໍລິການສຸກເສີນ: ໂທ 112 ໃນ​ທົ່ວ​ປະ​ເທດ​ສະ​ມາ​ຊິກ EU ທັງ​ຫມົດ​.
  • ** CSIRTs ແຫ່ງຊາດ / ອົງການຄວາມປອດໄພພາຍໃນ (ANSSI ປະເທດຝຣັ່ງ, BSI ເຢຍລະມັນ, AIVD/NCSC-NL ເນເທີແລນ)**: ລາຍງານການຕິດຕັ້ງເຟີມແວ ຫຼືຮາດແວທີ່ສົງໃສໄປໃຫ້ CSIRT ແຫ່ງຊາດຂອງທ່ານສຳລັບການຢັ້ງຢືນທາງວິທະຍາສາດຂອງຮາດແວ SPI/UEFI.
  • ອົດສະຕາລີ ແລະນິວຊີແລນ:
  • ບໍລິການສຸກເສີນ: ໂທ 000 ໃນ​ອົດ​ສະ​ຕາ​ລີ​ຫຼື 111 ໃນ​ນິວ​ຊີ​ແລນ​.
  • ** ສູນ​ຄວາມ​ປອດ​ໄພ Cyber ອົດ​ສະ​ຕາ​ລີ (ACSC / ASD) & ASIO Outreach **: ໂທ 1300 CYBER1 (1300 292 371).
  • ** ອິນ​ເດຍ​ແລະ​ອາ​ຊີ​ປາ​ຊີ​ຟິກ **​:
  • ** ອິນ​ເດຍ (CERT-In / ສຸກເສີນ) **: ໂທ 112 ສໍາ​ລັບ​ຕໍາ​ຫຼວດ​ຫຼື​ລາຍ​ງານ​ອຸ​ປະ​ຕິ​ເຫດ​ຄວາມ​ປອດ​ໄພ​ຮາດ​ແວ / firmware ກັບ incident@cert-in.org.in.

ຄຳຖາມທີ່ມັກຖາມເລື້ອຍໆ

ເປັນຫຍັງແລັບທັອບ Windows ຂອງຂ້ອຍຈຶ່ງຢຸດເປີດເຄື່ອງປົກກະຕິຢ່າງກະທັນຫັນ ແລະຂໍລະຫັດການກູ້ຂໍ້ມູນ BitLocker 48 ຕົວເລກທັນທີຫຼັງຈາກທີ່ຂ້ອຍປະໄວ້ຢູ່ໃນຫ້ອງໂຮງແຮມຂອງຂ້ອຍ?

ເມື່ອ BitLocker ຖືກເປີດໃຊ້ໃນຄອມພິວເຕີ້ Windows, ຮາດແວ ໂມດູນເວທີທີ່ເຊື່ອຖືໄດ້ (`TPM 2.0`) ວັດແທກລະຫັດລັບ SHA-256 hash ຂອງເຟີມແວ BIOS/UEFI ຂອງທ່ານ (`PCR 0`), ROMs ທາງເລືອກ (`PCR 2`), UEFI Boot Manager (`PCR 4`), ແລະ Secure Boot state (`PCR 7`) ທຸກຄັ້ງທີ່ແລັບທັອບເປີດ. ຖ້າໃຜຜູ້ຫນຶ່ງແຕະໂນດບຸກຂອງເຈົ້າໃນຂະນະທີ່ເຈົ້າອອກຈາກຫ້ອງແລະທັນທີທັນໃດມັນຢຸດຢູ່ໃນຫນ້າຈໍສີຟ້າທີ່ຕ້ອງການລະຫັດ BitLocker Recovery 48 ຕົວເລກຂອງເຈົ້າ, ຫນຶ່ງໃນສອງສິ່ງທີ່ເກີດຂຶ້ນ: ບໍ່ວ່າຈະເປັນການປັບປຸງ BIOS ທີ່ຖືກຕ້ອງພຽງແຕ່ຕິດຕັ້ງ, ຫຼືບາງຄົນໄດ້ປ່ຽນຄໍາສັ່ງ boot BIOS ຂອງທ່ານ, ປິດ Secure Boot, booted USB ພາຍນອກ, ຫຼືແກ້ໄຂເຟີມແວ bootloader ຂອງທ່ານ., ເຮັດໃຫ້ TPM PCR hashes ປ່ຽນແປງແລະເຮັດໃຫ້ເກີດການປິດກັ້ນຕ້ານການ tamper ຂອງ BitLocker. ຢ່າໃສ່ລະຫັດການກູ້ຂໍ້ມູນ 48 ຕົວເລກຂອງທ່ານ ຈົນກວ່າທ່ານຈະກວດເບິ່ງບັນທຶກ BIOS ແລະລະບົບຕ່ອງໂສ້ການບູດ, ເພາະວ່າການພິມລະຫັດການຟື້ນຕົວຂອງທ່ານເຂົ້າໄປໃນສະພາບແວດລ້ອມ boot ທີ່ຖືກລົບກວນເຮັດໃຫ້ໄດຂອງທ່ານເປີດເຜີຍ.

ຖ້າຂ້ອຍລັອກໜ້າຈໍ Windows ຫຼື Mac ຂອງຂ້ອຍ (Win+L / Ctrl+Cmd+Q) ກ່ອນທີ່ຈະຍ່າງໄປຮ້ານກາເຟ ຫຼືໂຮງແຮມ, ບາງຄົນຍັງສາມາດແຮັກມັນຜ່ານພອດ USB-C ໄດ້ບໍ?

ມັນຂຶ້ນກັບສອງການຕັ້ງຄ່າ: ທໍາອິດ, ຖ້າຜູ້ໃດຜູ້ຫນຶ່ງສຽບ a ຫົວສີດກະແຈ BadUSB (`Flipper Zero` ຫຼື `Rubber Ducky`) ເຂົ້າ​ໄປ​ໃນ​ແລັບ​ທັອບ​ທີ່​ລັອກ​ໄວ້, ແປ້ນ​ພິມ​ປອມ​ສາ​ມາດ​ພິມ​ເຂົ້າ​ໄປ​ໃນ​ປ່ອງ​ລະ​ຫັດ​ຜ່ານ​ໃນ​ໜ້າ​ຈໍ​ລັອກ​ໄດ້​ເທົ່າ​ນັ້ນ (ມັນ​ບໍ່​ສາ​ມາດ​ເປີດ​ເຄື່ອງ​ຈັກ​ໃນ​ຂະ​ນະ​ທີ່​ໜ້າ​ຈໍ​ຖືກ​ລັອກ). ອັນທີສອງ, ຢ່າງໃດກໍຕາມ, ຖ້າຄອມພິວເຕີ້ມີເຄື່ອງເກົ່າ Thunderbolt 3/4 ຫຼືພອດ USB4 ໂດຍບໍ່ມີການເປີດໃຊ້ການປົກປ້ອງ Kernel DMA, ເຄື່ອງມືຮາດແວ PCIe DMA ພິເສດ (`PCILeech`) ສາມາດອ່ານແລະຂຽນ RAM ຂອງລະບົບໂດຍກົງຜ່ານ PCIe bus ໃນຂະນະທີ່ຫນ້າຈໍຖືກລັອກ. ການເປີດໃຊ້ງານ ການປົກປ້ອງ Kernel DMA ໃນ Windows (`System Information > Kernel DMA Protection: On`) ຫຼື​ການ​ຕັ້ງ​ຄ່າ macOS **ອະ​ນຸ​ຍາດ​ໃຫ້​ອຸ​ປະ​ກອນ​ເສີມ​ໃນ​ການ​ເຊື່ອມ​ຕໍ່ -> ຖາມ​ທຸກ​ຄັ້ງ** ບ​ລັອກ USB-C/Thunderbolt ການ​ເຂົ້າ​ເຖິງ​ຂໍ້​ມູນ​ຢ່າງ​ສົມ​ບູນ​ໃນ​ຂະ​ນະ​ທີ່​ຫນ້າ​ຈໍ​ຖືກ​ລັອກ.

ຂ້ອຍສາມາດສະແກນເຟີມແວ UEFI / BIOS ຂອງເມນບອດຈາກພາຍໃນ Linux ຫຼື Windows ເພື່ອເບິ່ງວ່າ Evil Maid ກະພິບ firmware implant ບໍ?

ແມ່ນແລ້ວ. ເຄື່ອງມືຄວາມປອດໄພ firmware ເປີດແຫຼ່ງພັດທະນາໂດຍ Intel ແລະນັກຄົ້ນຄວ້າຄວາມປອດໄພ, ໂດຍສະເພາະ CHIPSEC (`github.com/chipsec/chipsec`) ແລະ fwupd (`fwupdmgr security`) ໃນ Linux, ອະນຸຍາດໃຫ້ທ່ານຖິ້ມຮູບພາບ SPI flash ROM ຂອງທ່ານໂດຍກົງຈາກເມນບອດ (`chipsec_util spi dump rom.bin`), ກວດ​ສອບ​ວ່າ​ຮາດ​ແວ BIOS ຂຽນ Protection (`BIOS_CNTL` `BLE`/`BWE` bits ແລະ `PR0-PR4` ການລົງທະບຽນໄລຍະທີ່ຖືກປົກປ້ອງ) ຖືກລັອກຢ່າງຖືກຕ້ອງ, ແລະປຽບທຽບ SPI flash cryptographic hash ຂອງທ່ານກັບຮູບພາບຂອງຜູ້ຜະລິດຢ່າງເປັນທາງການຂອງ BIOS.

ມັນປອດໄພບໍທີ່ຈະລັອກແລັບທັອບ ຫຼື ຮາດແວກະເປົາເງິນ crypto ຂອງຂ້ອຍຢູ່ໃນຕູ້ເອເລັກໂຕຼນິກຂອງໂຮງແຮມ?

ຢ່າອີງໃສ່ປຸ່ມກົດອີເລັກໂທຣນິກໃນຫ້ອງໂຮງແຮມມາດຕະຖານເພື່ອປ້ອງກັນການໂຈມຕີ Evil Maid. ເກືອບທຸກຕູ້ນິລະໄພທາງອີເລັກໂທຣນິກຂອງໂຮງແຮມມີຮູກະແຈທາງຜ່ານກົນຈັກທົ່ວໄປທີ່ເຊື່ອງໄວ້ຢູ່ທາງຫຼັງປ້າຍໂລໂກ້ພາດສະຕິກຢູ່ໜ້າກະດານ, ເຊັ່ນດຽວກັນກັບລະຫັດຕົ້ນສະບັບຂອງໂຮງງານ (`000000` ຫຼື `999999`) ຮູ້ຈັກກັບພະນັກງານໂຮງແຮມ. ຖ້າຫ້ອງພັກໂຮງແຮມປອດໄພເປັນທາງເລືອກດຽວຂອງເຈົ້າ, ໃຫ້ວາງແລັບທັອບທີ່ປິດເຄື່ອງຢູ່ພາຍໃນ tamper-evident ຖົງຄວາມປອດໄພ serialized (ຫຼືໃຊ້ປະທັບຕາ glitter-nail-polish ຖ່າຍຮູບຜ່ານ seam) ດັ່ງນັ້ນທ່ານຈະຮູ້ທັນທີຖ້າຫາກວ່າອຸປະກອນຂອງທ່ານໄດ້ຖືກສໍາພັດ.

ແມ່ນຫຍັງຄື "HibernationS4)" ກັບ "ນອນ (S3 / S0ix)", ແລະ Hibernation ປ້ອງກັນການໂຈມຕີຂອງ RAM / DMA Evil Maid ບໍ?

ເມື່ອຄອມພິວເຕີໂນດບຸກເຂົ້າໄປ ນອນ (`S3` ຫຼື `S0ix`), ຊິບ RAM ຍັງຄົງເປີດຢູ່ ແລະຖືລະຫັດການເຂົ້າລະຫັດດິສກ໌ທີ່ຖອດລະຫັດໄວ້ຢູ່ໃນໜ່ວຍຄວາມຈຳທີ່ປ່ຽນແປງໄດ້. ເມື່ອຄອມພິວເຕີໂນດບຸກເຂົ້າໄປໃນຄວາມຈິງ Hibernation (`S4`), ລະບົບປະຕິບັດການຂຽນເນື້ອໃນຂອງ RAM ເຂົ້າໄປໃນໄຟລ໌ hibernation ທີ່ຖືກເຂົ້າລະຫັດ (`hiberfil.sys` ຫຼືເຂົ້າລະຫັດ swap) ໃນ SSD ທີ່ເຂົ້າລະຫັດ, ລ້າງກະແຈການເຂົ້າລະຫັດດິສກ໌ຫຼັກ, ແລະຕັດພະລັງງານໄຟຟ້າທັງໝົດໃຫ້ກັບເມນບອດ ແລະ RAM ທັງໝົດ (ຄືກັນກັບການປິດເຕັມທີ່). ເພາະສະນັ້ນ, ທັງສອງ ** ປິດເຕັມ (`S5`) ** ແລະ ** Hibernation (`S4`) ໃນໄດທີ່ປ້ອງກັນໂດຍການບູດກ່ອນບູດ BitLocker PIN ຫຼື LUKS passphrase** ປົກປ້ອງ RAM ຂອງທ່ານຕໍ່ກັບການໂຈມຕີ DMA ແລະ cold-boot, ສະຫນອງໃຫ້ Secure Boot ແລະລະຫັດຜ່ານ BIOS ປ້ອງກັນ. `/boot` ການລົບກວນ.

ຄູ່ມືທີ່ກ່ຽວຂ້ອງ

ແຫຼ່ງຂໍ້ມູນແລະຄໍາແນະນໍາຢ່າງເປັນທາງການ

  • ສະຖາບັນມາດຕະຖານ ແລະ ເຕັກໂນໂລຊີແຫ່ງຊາດ (NIST) (ສະຫະລັດອາເມຣິກາ): ການພິມເຜີຍແຜ່ພິເສດ 800-147B (ຂໍ້ແນະນຳການປົກປ້ອງ BIOS ສໍາລັບເຊີບເວີ ແລະບ່ອນເຮັດວຽກ) & SP 800-155 (ຂໍ້ແນະນຳການວັດແທກຄວາມສົມບູນຂອງ BIOS).
  • ອົງການຄວາມໝັ້ນຄົງແຫ່ງຊາດ (NSA) & ອົງການຄວາມປອດໄພທາງໄຊເບີ ແລະໂຄງສ້າງພື້ນຖານ (CISA) (ສະຫະລັດ): * Hardening UEFI Secure Boot, Trusted Platform Module (TPM 2.0) ການ​ຕັ້ງ​ຄ່າ PIN ລ່ວງ​ໜ້າ​ໃນ​ການ​ເປີດ​ເຄື່ອງ, ແລະ​ຫຼຸດ​ຜ່ອນ​ການ​ເຂົ້າ​ເຖິງ​ຄວາມ​ຈຳ​ໂດຍ​ກົງ Thunderbolt/PCIe (DMA) ການ​ໂຈມ​ຕີ *.
  • ສູນຄວາມປອດໄພທາງໄຊເບີແຫ່ງຊາດ (NCSC) ແລະ ອົງ​ການ​ປ້ອງ​ກັນ​ຄວາມ​ປອດ​ໄພ​ແຫ່ງ​ຊາດ (NPSA) (ສະຫະລາດຊະອານາຈັກ): ລະບົບຕ່ອງໂສ້ການສະໜອງ ແລະຄວາມປອດໄພອຸປະກອນທາງກາຍະພາບການເດີນທາງຕ່າງປະເທດ, ການປະທັບຕາ Tamper-Evident, ແລະການຢັ້ງຢືນຄວາມສົມບູນຂອງບູດ.
  • Microsoft Hardware Security Documentation & Linux Kernel IOMMU / fwupd ຂໍ້ມູນຈໍາເພາະຄວາມປອດໄພຂອງເຈົ້າພາບ (HSI): ການປົກປ້ອງ Kernel DMA (VT-d / AMD-Vi) ແລະມາດຕະການຕ້ານ BitLocker ຕໍ່ກັບ Discrete TPM Bus Sniffing.