Физик төхөөрөмжийг хөндлөнгөөс оруулах ("Муу шивэгчин" халдлага): Зөөврийн компьютерийг хараа хяналтгүй шалгах, DMA хатууруулах¶

Зочид буудлын өрөө, нисэх онгоцны буудлын гаалийн хоёрдогч хяналтын хэсэг, хурлын спикерийн танхим эсвэл хамтран ажиллах ширээ рүү буцаж ирэхэд таны зөөврийн компьютер, ухаалаг утас эсвэл криптовалютны тоног төхөөрөмжийн түрийвч нь таны нүднээс хол байх үед хүрч, хөдөлж, нойрноосоо сэрээсэн эсвэл нээгдсэн нь криптограф болон сөрөх тагнуулын үйл ажиллагаанд маш өндөр эрсдэлтэй бие махбодийн аюулгүй байдлын осол болохыг олж мэдэв. Рутковский). Сонгодог програм хангамжийн галт хана эсвэл вирусны эсрэг програм нь халдагчийг интернетийн нөгөө талд байгаа гэж үздэг; Evil Maid халдлага үйлдэгч таныг өглөөний цай, уулзалт, шалгалтын өрөөнд саатуулагдсан үед **таны техник хангамжид 2-30 минутын турш биечлэн нэвтрэх эрхтэй. Халдагчийн ур чадвараас хамааран 90 секундын физик хандалт нь BadUSB товчлуураар дарах резинэн нугас эсвэл PCIe/Thunderbolt санах ойн шууд хандалт () залгахад хангалттай.DMA) төхөөрөмжийг унтсан зөөврийн компьютерт суулгаж, $15 CH341A SPI флаш программист-г эх хавтангийн BIOS чип дээр хавчуулж эсвэл шифрлэгдээгүй зүйлийг үнэрлээрэй. LPC/SPI TPM автобус, USB-C цэнэглэгч кабелийг утасгүй keylogger суулгац кабель (O.MG Cable), эсвэл шифрлэгдээгүйг солих /boot хуваалт (initramfs) энэ нь таныг дараагийн удаа бичихэд таны бүтэн дискний шифрлэлтийн нууц үгийг авдаг. Онгоцны буудлуудад USB цэнэглэгч ТҮЦ халдлага хийх талаар лавлана уу нийтийн цэнэглэгч ТҮЦ дата хориглогч болон BadUSB HID тарилга; Хэрэв хэн нэгэн таны зөөврийн компьютерт хүрсэний дараа таны BitLocker, FileVault эсвэл LUKS драйв ачаалах үед сэргээх түлхүүрийг гэнэт асуувал, үзнэ үү. BitLocker, FileVault болон LUKS шифрлэлтийн сэргээх түлхүүрийн түгжээ болон TPM дахин тохируулагдсан; мөн таны төхөөрөмжийг бүрмөсөн авсан бол шилжүүлнэ үү хулгайлагдсан зөөврийн компьютер эсвэл утсаа алсын зайнаас арчиж, бүртгэлийг түгжих. Хэрэв таны бие махбодид шууд аюул учирсан эсвэл хууль бусаар саатуулагдаж байгаа бол орон нутгийн түргэн тусламжийн дугаар руу залгана уу (911 АНУ, Канадад, 112 Европын холбоо даяар, 999 Их Британид) эсвэл манай олон улсын лавлахаас лавлана уу яаралтай тусламжийн дугаар.

Үүнийг одоо хий¶

1. Бүтэн дискний шифрлэлтээ бүү бичээрэй (BitLocker / LUKS / FileVault) нууц үг, үйлдлийн системд нэвтрэх нууц үг эсвэл Мастер нууц үгээ сэжигтэй зөөврийн компьютер анхааралгүй орхисны дараа гэнэт нууц үг эсвэл сэргээх түлхүүр асууж байгаа бол оруулна уу:
2. Сонгодог Evil Maid халдлага нь шифрлэгдээгүй ачаалагчийг орлодог эсвэл initramfs Measured Boot / Secure Boot-ийн хэрэгжилт байхгүй зөөврийн компьютер дээрх зураг (эсвэл таны гар/док болон зөөврийн компьютерын хооронд тунгалаг техник хангамжийн USB товчлуурыг залгах төхөөрөмж) нь дараагийн удаа бичихдээ LUKS эсвэл BitLocker нэвтрэх үг, троянжуулсан ачаалагч нь таны энгийн текст нэвтрэх үгийг бичиж, дискэн дээр дамжуулах эсвэл нуудаг.
3. Гар дээр хүрэхээсээ өмнө утасныхаа LED гар чийдэнгийн доорх бүх порт, кабель болон явах эд ангиудын эрэг шургийг 60 секундын турш гаднаас нь шалгаж үзээрэй:
4. **Зөөврийн компьютерт залгасан эсвэл зочид буудлын ширээн дээр сууж буй USB-C, USB-A, HDMI, Ethernet болон тэжээлийн кабель бүрийг салгаад шалгана уу. Халдлага үйлдэгчид хохирогчийн стандарт цагаан Apple эсвэл хар USB-C цэнэглэгч кабелийг ихэвчлэн ижил төстэй утасаар сольдог O.MG Cable / USB Ninja кабель (энэ нь USB-C холбогч бүрхүүлийн дотор нуугдсан Wi-Fi хандалтын цэг болон микроконтроллер агуулсан бөгөөд товчлуур дарж, урсгалыг бүртгэдэг).
5. Зөөврийн компьютерээ дээш нь доош нь эргүүлж, доод тагны эрэг болон резинэн хөлийг шалгана уу: Компьютер дээрх шинэхэн бичил харуурын металл хагархайг хайж олоорой. P5 Pentalobe, Torx T5, эсвэл Phillips шурагны толгой, шурагны цооногийн битүүмжлэл дутуу, эсвэл дотоод SPI флаш хавчаарыг бэхлэхийн тулд явах эд анги нь яаран онгойлгосон тул тэгшхэн суудаггүй доод булангийн оёдол. M.2 PCIe суулгац.
6. Таны зөөврийн компьютер "Унтах / Зогсолт" горимд үлдсэн эсэхийг шалгана уу.S3 / S0ix Орчин үеийн зогсолт)" гэх мэт. "Бүрэн унтраасан (S5 / Ичээсэн S4)" хараа хяналтгүй үед:
7. Хэрэв халдагчид хандах үед таны зөөврийн компьютер зүгээр л унтсан байсан бол (Таг нь хаалттай): Таны Бүтэн дискний шифрлэлт (BitLocker, FileVault, LUKS) эзэлхүүний үндсэн шифрлэлтийн түлхүүр (VMK) нь таны зөөврийн компьютерын дэгдэмхий дотор энгийн бичвэрээр шифрлэгдэж байсан DRAM санах ойн чип бүх хугацаанд. Thunderbolt/USB4 DMA төхөөрөмж (хуучин засвар хийгдээгүй системүүд дээр), хүйтэн ачаалах RAM-ыг хөлдөөх халдлага эсвэл түгжигдсэн дэлгэцийг тойрч гарах халдлагатай халдагчид таны нууц үгийг мэдэхгүйгээр идэвхтэй санах ойг уншиж болно.
8. Хэрэв та унтаж байгаа зөөврийн компьютерээ өөрчилсөн гэж сэжиглэж байгаа бол: Тагийг нээж нэвтэрч орохын оронд Асаах товчийг 10 секундын турш дарна** шууд унтрааж (дэгдэмхий DRAM товчлууруудыг цэвэрлэх) хэрэгтэй.
9. Мэдэгдэж байгаа цэвэр, зөвхөн унших боломжтой гадаад Live USB (Ubuntu Live / Tails / SystemRescue дотоод дискний шифрлэгдээгүйг шалгахын тулд таны хүн дээр үргэлж хадгална /boot болон EFI System Partition (ESP) хэш:
10. Хэрэв та Линуксыг ажиллуулж байгаа бол LUKS эсвэл Windows-тэй BitLocker, тусдаа эсвэл баталгаажуулсан машин дээрх цэвэр гадаад USB зөөгчөөс ачаалах нь файл бүрийг хэшлэх боломжийг олгоно /boot/efi/ (ESP) ба /boot/initramfs-* (sha256sum) болон хуваалтыг өөрчлөх цагийн тэмдэг байгаа эсэхийг шалгана уу (stat) таныг зочид буудлын өрөөнөөс гарсан яг 2 цагийн цонхны үеэр өөрчлөгдсөн.
11. Үйлдлийн үйлдлийн бүртгэлийг шалгах (Windows Event Viewer, macOS unified log, Linux journalctl) таныг байхгүй байх үед тагийг онгойлгосон, USB төхөөрөмж суулгасан эсвэл машин дахин ассан эсэхийг шалгахын тулд зөвхөн унших боломжтой орчноос үзнэ үү:
12. Орчин үеийн үйлдлийн систем бүр ACPI тагны унтраалга нээгдэх бүрд систем унтаа байдлаас сэрэхэд миллисекунд хүртэл өөрчлөгдөөгүй техник хангамжийн цагийн тэмдэглэгээг тэмдэглэдэг (Kernel-Power Event ID 42 / 107 Windows дээр, Wake reason: EC.LidOpen macOS дээр) эсвэл шинэ USB VID:PID төхөөрөмжийг автобусанд жагсаасан байна.
13. Хэрэв та өндөр эрсдэлтэй зорилтот хүн (сэтгүүлч, өмгөөллийн гэрээлэгч, гүйцэтгэх ажилтан, хүний эрхийн хуульч, эсвэл крипто санд гарын үсэг зурсан) бөгөөд явах эд анги нээгдсэн, BitLocker/TPM ПГУ-ын санаанд оромгүй тохиргоо, эсвэл зөвшөөрөлгүй сэрэх үйл явдлын баттай нотолгоог олж авбал техник хангамжийг шатсан гэж үзнэ (Quarantine Device):
14. Сэжигтэй зөөврийн компьютерээ корпорацийн VPN эсвэл гэрийн Wi-Fi-д холбож болохгүй. Итгэмжлэх жуух бичгээ эргүүлэх, идэвхтэй сешнүүдийг хүчингүй болгохын тулд тусдаа, цэвэр ухаалаг гар утсыг (халаасандаа үлдсэн) ашиглана уу.сеансын күүки хулгайлах болон нэвтрэх түлхүүрийг хүчингүй болгох), цэвэр тоног төхөөрөмж ашиглан мөнгө эсвэл нууцыг шилжүүлэх.

Шийдвэрийн мод: бие махбодид нэвтэрсэн гэж сэжиглэгдсэний дараа хараа хяналтгүй зөөврийн компьютер эсвэл төхөөрөмжийг үнэлэх¶

Таны хараа хяналтгүй төхөөрөмжид физик хандалт хийсэн эсвэл өөрчлөгдсөн эсэхийг тодорхойлохын тулд энэ ажлын урсгалыг дагана уу.

flowchart TD
    Start["Зөөврийн компьютер, утас, тоног төхөөрөмжийн түрийвчийг зочид буудлын өрөө, хилийн шалган нэвтрүүлэх газар эсвэл хамтран ажиллах байранд хараа хяналтгүй орхисон."] --> StateCheck{"Таны эзэмшилд байхгүй үед зөөврийн компьютер ямар хүчин чадалтай байсан бэ?"}

    StateCheck -->|"Унтсан / Зогсолттой (Таг хаалттай, RAM-тай) ЭСВЭЛ Түгжээгүй"| HighRiskState["ӨНДӨР ЭРСДЭЛ: Дискний шифрлэлтийн түлхүүр ба сессийн күүки RAM-д хадгалагдаж байсан (BadUSB, түгжих дэлгэц тойрч гарах эсвэл DMA/RAM задлахад мэдрэмтгий)"]

    StateCheck -->|"Бүрэн унтраасан (Хүйтэн S5 унтрах)"| ColdState["РАМ санах ойн эрсдэл бага: Түлхүүрүүд нь RAM-д байхгүй байсан тул халдагч нь Bootloader (/boot / EFI), Flash SPI BIOS эсвэл Plant Hardware Keylogger-ийг өөрчлөх ёстой."]

    HighRiskState --> PhysCheck["АЛХАМ 1: Гаднах эрэг, доод давхарга, USB портууд болон цэнэглэх кабелийг тод гар чийдэнгийн доор шалгана уу (харгалзах хүнгүй кабелийг дахин бүү ашигла)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Ачаалах бүрэн бүтэн байдал / TPM хэмжилтийг шалгахад юу болох вэ?"}

    BootBehavior -->|"BitLocker / TPM гэнэт 48 оронтой сэргээх түлхүүр шаардах ЭСВЭЛ Аюулгүй ачаалах нь идэвхгүй болсон / өөрчлөгдсөнийг харуулж байна."| BootTamper["БАТАЛГАСАН АЧААЛАХ ЗАМЫН ӨӨРЧЛӨЛТ: TPM ПГУ-ууд (0, 2, 4, 7) Өөрчлөгдсөн BIOS програм хангамж, Сонголт ROM эсвэл EFI ачаалагчийг илрүүлсэн."]

    BootBehavior -->|"Ердийн үед ачаалдаг (эсвэл гадны шууд USB-ээр зөвхөн унших боломжтой)"| LogCheck["2-Р АЛХАМ: Таны эзгүйд байгаа цонхны үеэр ACPI-ийн таглааг нээх / сэрээх бүртгэл, USB холболтын түүхийг шалгах"]

    LogCheck -->|"Бүртгэлүүд нь тагийг онгойлгож, USB төхөөрөмжийг залгасан эсвэл таныг байхгүй үед тайлбарлаагүй дахин ачаалсныг харуулж байна."| ConfirmedTouch["ЗӨВШӨӨРӨГӨӨГҮЙ БИЕИЙН ХАНДЛАГЫГ БАТАЛСАН"]
    LogCheck -->|"Тэг сэрэх үйл явдал, тэг дахин ачаалах цоорхой, бүрэн бүтэн шураг битүүмжлэл, баталгаажуулсан / ачаалах хэш"| CleanPass["Цахим сэрэх эсвэл ачаалах өөрчлөлтийг нотлох баримт байхгүй -> BIOS нууц үг + Цөмийн DMA хамгаалалт + бүрэн унтраах бодлогыг хэрэгжүүлэх"]

    BootTamper --> BurnDevice["ЭНЭ МАШИН ДЭЭР НУУЦ ҮГ БИЧҮҮЛЭЭРЭЙ: Техник хангамжийг хорио цээрийн дэглэмд оруулах, Цэвэр утаснаас бүх үүлэн сесс/SSH түлхүүрүүдийг хүчингүй болгох, зургийн драйвыг шүүх эмнэлгийн шинжилгээгээр хийх"]
    ConfirmedTouch --> BurnDevice

"Муу шивэгчин" халдлагын 5 техникийн вектор¶

Шүүх эмнэлгийн ямар сэжүүр хайх ёстойг мэдэхийн тулд зөөврийн компьютер болон техник хангамжийн түрийвч рүү биечлэн халдлага хийх үед ашигладаг таван бодит арга техникийг ойлгоорой.

1-р үе шат: Харгалзах хүнгүй зөөврийн компьютерт сэжиглэгдсэн шүүх эмнэлгийн үзлэг (нэвтрэхээс өмнө)¶

Хэрэв та зочид буудлын өрөөндөө буцаж ирэх юм уу, хилийн хяналт шалгалтын дараа зөөврийн компьютерээ буцааж авсан бөгөөд таныг эзгүй байх үед хэн нэгэн төхөөрөмж нээж, сэрээсэн, залгасан эсэхийг мэдэхийг хүсвэл дараах дарааллаар шалгана уу.

1. Алхам 1: Физик порт, кабель, явах эд ангиудын шураг аудит¶

1. Өрөөнд үлдсэн бүх кабелийг хорио цээрлэнэ:
2. нь O.MG Cable эсвэл USB Ninja Жинхэнэ Apple USB-C нэхмэл кабель, Anker кабель эсвэл Dell USB-C адаптераас холбогчийн ханцуйн дээрх лазераар сийлсэн серийн дугаар хүртэл 100 хувь ялгагдахааргүй харагдаж байна.
3. Хэрэв та USB-C кабель, цахилгааны тоосго эсвэл USB төвийг эрсдэл өндөртэй орчинд хараа хяналтгүй орхисон бол ** түүний дата шугамыг зөөврийн компьютертээ залгахаа боль**; эсвэл битүүмжилсэн цүнхнээсээ сайн мэддэг кабелиар солих эсвэл зөвхөн цахилгаанаар ажилладаг USB өгөгдөл блоклогч (USB бэлгэвч) түүнтэй хамт цувралаар.
4. Доод тагны шураг ба давхаргыг тармууртай гар чийдэнгийн гэрлийн доор шалгана уу:
5. Ухаалаг гар чийдэнгээ зөөврийн компьютерийнхээ доод талын шурагны толгой тус бүрээр гүехэн 15 градусын өнцгөөр ("тармуур гэрэл") барина.
6. Угсрах үйлдвэрт нэг удаа эргүүлсэн үйлдвэрийн эрэг нь од/хөндлөн үүрний дотор цэвэр, жигд аноджуулсан бүрхүүлтэй байна. Зочид буудлын өрөөнд ган хошуутай эрэг шургийг задалсан эрэг нь шурагны завсар дотор тод мөнгөн металл зураас, хөх/улаан утас түгжигч тоос эвдэрсэн, эсвэл арын агааржуулалтын хавчааруудын дагуу доод хөнгөн цагаан хавтанг бага зэрэг буруу байрлуулж байгааг харуулж байна.

2. Алхам 2: Үйлдлийн системийг сэрээх, таглааг нээх, дахин ачаалах бүртгэлийг шалгах (Таныг байхгүй байхад зөөврийн компьютер ассан уу?)¶

Зөөврийн компьютерээсээ хол байсан цагийг тодорхой зааж өгнө үү (жишээ нь, 12:15 PM to 01:45 PM). Халдагчид Live USB зөөгчийг ачаалсан ч гэсэн таны үйлдлийн системд гэнэтийн завсарлага, хүйтэн ачаалах, эсвэл тухайн цонхны үеэр ACPI Lid-Open үйл явдал нь зөөврийн компьютерт физик нөлөө үзүүлсэн болохыг нотолж байна:

macOS дээр (MacBook Air / MacBook Pro):¶

Терминал-г нээж, системийн удирдлагын хянагчаас Таг нээх, таг хаах, сэрээх, унтуулах, асаах/унтраах техник хангамжийн үйл явдал бүрийг харуулахын тулд энэ командыг ажиллуул (SMC / PMU) сүүлийн 24 цагийн дотор:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

Линукс дээр (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Шалгах systemd-journald таныг эзгүй байх үед ачаалах/унтраах үйл явдал эсвэл таг/унтах шилжилтийн хувьд:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. ** Шифрлэгдээгүй гэдгээ баталгаажуулна уу /boot болон /boot/efi Машин унтарсан үед хуваалтууд өөрчлөгдөөгүй**: Яг шалгана уу Modify болон Change (ctime) цөмийн зураг бүрийн inode цагийн тэмдэг, initramfs, ба GRUB EFI хоёртын файл дотор /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Хэрэв дотор нь файл байгаа бол /boot эсвэл /boot/efi байна Change эсвэл Modify таныг өрөөнөөс гарсан эсвэл сүүлчийнхээсээ хойшхи цагийн тэмдэг apt/dnf цөмийн шинэчлэлт, таны ачаалагчийг өөрчилсөн.)

Windows 10/11 дээр:¶

Администраторын PowerShell цонхыг нээж, Асаалтад (ID 12), Унтраах (ID 13), Унтах (ID 42), Унтсанаас сэрэх (ID 1 / ID 107), болон гэнэтийн цахилгаан алдагдал (ID 41) сүүлийн 24 цагийн дотор:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

2-р үе шат: Яагаад Apple Silicon Macs & Modern TPM 2.0 + PIN Системүүд "Муу шивэгчинд" илүү хэцүү байдаг (мөн тэдгээрийг хэрхэн зөв тохируулах вэ)¶

Бүх зөөврийн компьютерууд бие махбодийн хөндлөнгийн оролцоонд адилхан өртөмтгий байдаггүй. Итгэлийн орчин үеийн техник хангамжийн үндэс хэрхэн ажилладаг ба таны идэвхжүүлэх ёстой тохиргоонууд энд байна:

1. Apple Silicon MacBooks (M1, M2, M3, M4)¶

Apple Silicon Mac компьютерууд нь ** унтарсан үед бүтээсэн хамгийн Evil Maid-д тэсвэртэй зөөврийн компьютеруудын нэг юм.S5)** ба FileVault + Firmware/Recovery Security-р тохируулсан: - Ачаалах ROM нь M цуврал SoC дотор өөрчлөгдөөгүй цахиурт сийлсэн байна (Hardware Root of Trust). Ачаалах гинжин хэлхээний үе шат бүр (iBoot -> macOS Kernel -> Криптографийн гарын үсэгтэй системийн хэмжээ SSV) нь гүйцэтгэхээс өмнө Apple-ийн техник хангамжийн түлхүүрээр баталгаажсан. - Хадгалах NAND чипүүд нь Secure Enclave () -аар техник хангамжаар шифрлэгдсэн байдаг.AES-XTS) Тоног төхөөрөмжийн цохилтын эсрэг хурдны хязгаартай FileVault нууц үгтэй холбоотой түлхүүрүүдийг ашиглана уу. - Та яг одоо MacBook дээрээ заавал шалгах ёстой 3 тохиргоо: 1. FileVault АСААЛТТАЙ: Системийн тохиргоо > Нууцлал ба Аюулгүй байдал > FileVault -> АСААЛТТАЙ. 2. Унтлагын горимд автоматаар нэвтрэх, нууц үг шаардахыг идэвхгүй болгох: Системийн тохиргоо > Дэлгэц түгжих -> Дэлгэц амраагч эхлэх эсвэл дэлгэц унтарсны дараа нууц үг шаардах -> Шууд. 3. Түгжигдсэн үед зөвшөөрөлгүй USB / Thunderbolt дагалдах хэрэгслийг блоклох: Системийн тохиргоо > Нууцлал ба Аюулгүй байдал > Дагалдах хэрэгслийг холбохыг зөвшөөрөх хэсэгт очоод "Шинэ дагалдах хэрэгсэл асуух" эсвэл "Тэгэх бүр асуух" (хэзээ ч "Түгжээг тайлах үед автоматаар" эсвэл "Үргэлж") гэж тохируулна уу. "Тухайн бүрт асуух" гэж тохируулсан үед залгахад a BadUSB Түгжигдсэн MacBook-д товчлуур дарах инжектор эсвэл Thunderbolt DMA хэрэгсэл нь портыг зөвхөн тэжээлийн горимд шилжүүлж, техник хангамжийн хянагчийн түвшинд бүх PCIe/USB өгөгдлийн тоог блоклодог.

2. Windows 10 / 11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

Windows зөөврийн компьютеруудын 99 хувьд (Dell, Lenovo, HP, Surface) анхдагчаар BitLocker-г дараах байдлаар тохируулсан болно. "TPM-Only" (Ил тод ажиллагаа) горим: - Та асаах товчийг дарахад a TPM-Only BitLocker зөөврийн компьютер, зөөврийн компьютер нь танаас BitLocker PIN код асуухгүйгээр шууд Windows түгжээний дэлгэц рүү ачаалагддаг, энэ нь TPM чип нь үндсэн хөтчийн түлхүүрийг автоматаар тайлсан гэсэн үг (VMK) болон Windows үйлдлийн системийг RAM-д ачааллаа. - Эх хавтангаар дамжуулан CPU-тэй холбогдсон дискрет TPM чип ашигладаг ямар ч зөөврийн компьютер дээр SPI эсвэл LPC автобус, доод тагийг онгойлгож, 50 долларын логик анализаторыг TPM чип дээр хавчдаг халдагч. MOSI/MISO pin ** таны энгийн текст BitLocker эзлэхүүний мастер түлхүүрийг уншдаг (VMK) 5 секундын дотор утаснаас шууд салгах (BitPixie / TPM-Sniffing)** Windows нууц үгээ мэдэхгүй. - Windows-д нэвтрэх дэлгэцийг бүхэлд нь ачаалснаар Windows цөм, Wi-Fi стек болон PCIe автобусыг хараа хяналтгүй үед ил гаргадаг.

Заавал BitLocker эхлүүлэхийн өмнө PIN кодыг хэрхэн идэвхжүүлэх вэ (TPM + PIN) Windows дээр 2 минутын дотор:¶

Ачаалахын өмнөх BitLocker PIN-г нэмснээр техник хангамжийг албаддаг TPM 2.0 чип нь BIOS/BitLocker-ын хар дэлгэц дээр ачаалахын өмнөх 6-аас 20 тэмдэгттэй PIN кодоо бичилт хийх хүртэл дискний шифрлэлтийн түлхүүрийг хөндлөнгийн хамгаалалттай цахиур дотор нь түгжээтэй байлгахын тулд: 1. дарна уу Win + R, төрөл gpedit.msc, Enter товчийг дарна уу (Windows 10/11 Pro, Enterprise эсвэл Education дээр). 2. Дараах руу шилжих: Компьютерийн тохиргоо > Захиргааны загварууд > Windows бүрэлдэхүүн хэсгүүд > BitLocker драйверын шифрлэлт > Үйлдлийн системийн хөтчүүд. 3. "Эхлүүлэх үед нэмэлт баталгаажуулалт шаардах" гэснийг давхар товшоод Идэвхжүүлсэн болгож, TPM эхлүүлэх PIN-г тохируулах:-г ** болгож тохируулна уу.Require startup PIN with TPM**. 4. Администраторын командын мөр эсвэл PowerShell-ийг нээж, ачаалахаас өмнөх шинэ BitLocker PIN кодоо тохируулна уу (үсэг тоон үг хэллэгийг зөвшөөрөхийн тулд, мөн ижил Бүлгийн бодлогын хавтсанд "Сайжруулсан PIN кодыг эхлүүлэхийг зөвшөөрөх"-г идэвхжүүлнэ үү):

manage-bde -protectors -add C: -TPMAndPIN

3. Линукс (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

Линукс зөөврийн компьютер дээр (Ubuntu, Fedora, Debian, Arch, Qubes OS), стандарт LUKS Бүтэн дискний шифрлэлт нь таныг хөтчийн түгжээг тайлахаас өмнө ачаалахын өмнөх нууц үг оруулахыг аль хэдийн шаардаж байгаа бөгөөд ** энэ нь идэвхгүй TPM автобусны шиншлэхийг зогсооно**. Гэсэн хэдий ч Linux-ийн стандарт суулгацууд орхигддог /boot (initramfs болон vmlinuz) шифрлэгдээгүй тул сонгодог 2 минутын USB Evil Maid-д өртөмтгий болгодог /boot Хэрэв та хатууруулах гурван алхамыг хийхгүй бол солих: 1. Хүчтэй UEFI / BIOS-ын супервайзер нууц үг тохируулж, гадаад USB/сүлжээний ачааллыг идэвхгүй болгох: - Зөөврийн компьютерийнхээ BIOS-г оруулна уу (F2, F1, F10, эсвэл Del асаалттай үед) -> Аюулгүй байдал > Администратор / Хяналтын нууц үг руу орж, халдагч дарж чадахгүй байхын тулд хүчтэй нууц үг тохируулна уу. F12 ачаалах үед USB зөөгчийг ачаална уу. 2. UEFI Secure Boot-г идэвхжүүлэх + Тусгай түлхүүрүүд / гарын үсэг зурсан нэгдсэн цөмийн зургийг бүртгэх (sbctl + UKI): - ** гэх мэт хэрэгслүүдsbctl** (Arch, Fedora, Debian, Ubuntu) Линуксийн цөм, цөмийн командын мөр болон initramfs нэг криптографийн гарын үсэгтэй Нэгдсэн цөмийн зураг (UKI .efi) таны UEFI Secure Boot техник хангамжийн түлхүүрээр баталгаажуулсан (PK / KEK / db). Хэрэв муу шивэгчин таны ганц байтыг өөрчилвөл initramfs, UEFI программ хангамж нь ачаалахаас татгалзаж, таныг LUKS нууц үгээ оруулахаас өмнө улаан Secure Boot Violation анхааруулгыг харуулна. 3. ** Баталгаажуулах IOMMU / Kernel DMA Protection болон Суулгах USBGuard**: - Linux цөм IOMMU идэвхтэй байгаа эсэхийг шалгана уу (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") болон суулгах usbguard (sudo apt install usbguard) шинээр оруулсаныг блоклох HID гар (03:*:*) таны дэлгэц түгжигдсэн үед.

3-р үе шат: Өндөр эрсдэлтэй аялалд зориулсан биет гэмтлийг илрүүлэх DIY лац ("Гялалзсан хумсны будаг" ба Haven)¶

Тагнуулын ажилтнууд, техник хангамж судлаачид, эрэн сурвалжлах сэтгүүлчид бие махбодид гэмтэл учруулахыг илрүүлэх хямд, үл тоомсорлох хоёр аргыг ашигладаг:

1. "Гялалзсан хумсны будаг + Макро зураг" боолт (Uncounterfeitable Entropy)¶

Стандарт арилжааны "VOID IF REMOVED" голограф наалтыг Амазон дээрээс 10 доллараар худалдан авч, хальсыг нь хуулж, ижил наалтаар сольж болно. Гялалзсан хумсны будаг нь математикийн хувьд мартагдашгүй: 1. Олон өнгийн, олон хэмжээтэй металл гялтганасан ширхэгээр дүүргэсэн ** тунгалаг хумсны будаг** 5 долларын үнэтэй шил худалдаж аваарай. 2. Гялалзсан хумсны будгаар хоёр хонхорхойтой эрэг (эрэгний толгойг эргэн тойрных нь явах эд ангиудын төмөртэй холбоно) болон зөөврийн компьютерийнхээ доод талын оёдол (эсвэл зөөврийн компьютерын уутны зөөврийн цүнхийг битүүмжилсэн туузаар) наана. 3. Үүнийг хатаасны дараа ухаалаг утасныхаа камерыг ашиглан гялтганасан лац бүрийг өндөр нягтралтай макро гэрэл зургийг аваарай (энэ нь таны халаасанд хадгалагдана). 4. Хурдагч яагаад үүнийг дийлэхгүй байна вэ: Халдлага үйлдэгч яг ижил брэндийн гялалзсан хумсны будаг авч явсан ч санамсаргүй 2 хэмжээст геометрийн чиг баримжаа, өнгөний хуваарилалт, 80 ширхэг гялтганасан ширхэгийн давхцах өнцөг нь өвөрмөц физик хурууны хээг бүрдүүлдэг. Зочид буудлын өрөөндөө буцаж ирэхдээ шураг лацны хоёр дахь зургийг ижил өнцгөөс авч, утсан дээрх "Өмнөх" ба "Дараа" зургийг харьцуулж үзээрэй: хэрэв нэг боолтыг 5 градусаар эргүүлсэн бол гялтганасан хээ мэдэгдэхүйц өөрчлөгдөнө.

2. Хуучин Android утсыг зочид буудлын өрөөний халдлага мэдрэгч болгон хувиргах (Haven Апп)¶

• Guardian Project болон Freedom of the Press Foundation хамтран бүтээсэн, үнэгүй нээлттэй эхийн Android програмHaven: Keep Watch ямар ч нөөц Android утсыг хөдөлгөөн, дуу чимээ, чичиргээ (хурдатгал хэмжигч), орчны гэрлийн мэдрэгч болгон хувиргадаг.
• Зөөврийн компьютерээ зочид буудлын өрөөний сейф эсвэл шургуулганд үлдээхээсээ өмнө нөөц утсаа ажиллуулна уу Haven Зөөврийн компьютерийнхээ дээд талд хаалттай шургуулга эсвэл цүнх дотор: хэрэв хэн нэгэн шургуулга онгойлгож (орчны гэрлийн мэдрэгчийн заалтыг өөрчлөх) эсвэл зөөврийн компьютерт хүрвэл, Haven Чимээгүйхэн зураг дарж, аудио бичиж, халаасандаа байгаа үндсэн утсандаа шифрлэгдсэн Дохио дохиог илгээнэ.

3. Олон улсын хил, нисэх онгоцны буудлын хоёрдогч хяналт шалгалтыг аюулгүйгээр нэвтрүүлэх¶

Хэрэв та гааль, хилийн ажилтнууд зөөврийн компьютер, утсаа харагдахгүй газар авч болзошгүй өндөр эрсдэлтэй улс орнуудаар олон улсад аялж байгаа бол: 1. Зориулалтын "Цэвэр Аялал / Шатаагч" зөөврийн компьютер, утас ашиглан аялаарай: Корпорацийн үндсэн ажлын байр, насан туршийн нууц үгийн сан, SSH түлхүүрээ эрсдэл өндөртэй хилээр хэзээ ч бүү авч яв. Зөвхөн тухайн аялалд шаардлагатай тодорхой файлуудыг агуулсан цэвэр Chromebook эсвэл шинэхэн зурагтай зөөврийн компьютер авч яваад ирснийхээ дараа баталгаажсан алсын ширээний сессээр эмзэг ажилд хандах боломжтой. 2. Бүрэн унтраах (S5) Гаалийн ордон руу орохоос 10 минутын өмнө: Зөөврийн компьютер болон утсаа бүрэн унтраа (Power Off) онгоцноос буухын өмнө DRAM бүрэн задарч, биометрийн түгжээг тайлах (Face ID / Touch ID) хүчтэй үсэг, тоон үг хэллэгийг идэвхгүй болгосон.

Бүс нутгийн яаралтай тусламжийн дугаар, агентлагийн протоколууд¶

Компьютерийн техник хангамжид бие махбодид халдсан, далд техник хангамжийн товчлуур суулгасан, эсвэл зөвшөөрөлгүй хил/зочид буудлын тагнуул хийсэн тохиолдолд үндэсний сөрөх тагнуул, кибер хамгаалалтын агентлагт мэдэгдэх ёстой.

• АНУ ба Канад:
• Яаралтай тусламжийн үйлчилгээ: залгах 911 хэрэв та зочид буудлын өрөө эсвэл оршин суугаа газарт тань халдагчийг олж мэдвэл.
• Холбооны мөрдөх товчоо (FBI) Сөрөх тагнуул, кибер хэлтэс / IC3: Хэрэв та АНУ-ын аялагч, батлан хамгаалахын гэрээлэгч, судлаач, эсвэл гадаадад эсвэл зочид буудалд зөөврийн компьютер эсвэл утсанд нь халдсан бол уг хэргийн талаар орон нутгийнхаа ХМТ-ны Сөрөг тагнуулын хэлтэс эсвэл ** хаягаар мэдэгдэнэ үү.ic3.gov** ба cisa.gov/report (Холбооны мөрдөх товчооны шүүх эмнэлгийн лабораторийн шинжилгээнд зориулж эвдэрсэн кабель эсвэл зөөврийн компьютерийг Фарадей уутанд хийж хадгална уу).
• ** Канадын Аюулгүй байдлын тагнуулын алба (CSIS) & Кибер төв**: Дуудлага хийх 1-833-CYBER-88 эсвэл CSIS-тэй холбоо барина уу (613-993-9620) гадны биет төхөөрөмжид хөндлөнгөөс оролцсон гэж сэжиглэгдсэн тохиолдолд.
• Их Британи:
• Яаралтай тусламжийн үйлчилгээ: залгах 999 (эсвэл 101 цагдаад зориулагдсан).
• Үндэсний кибер аюулгүй байдлын төв (NCSC) & Үндэсний Хамгаалалтын Аюулгүй Байдлын Газар (NPSA): Их Британийн засгийн газар, эрдэмтэн судлаачид болон аж ахуйн нэгжийн аялагчид NCSC / NPSA Overseas Travel Device Guidance-г дагаж, биет техник хэрэгсэлд хөндлөнгөөс нөлөөлсөн гэж -ээр дамжуулан мэдээлэх ёстой.ncsc.gov.uk.
• Европын холбоо:
• Яаралтай тусламжийн үйлчилгээ: залгах 112 ЕХ-ны бүх гишүүн орнуудад.
• Үндэсний CSIRTs / Дотоодын аюулгүй байдлын агентлагууд (ANSSI Франц, BSI Герман, AIVD/NCSC-NL Нидерланд): Сэжигтэй програм хангамж эсвэл техник хангамжийн суулгацыг өөрийн улсын CSIRT-д мэдэгдэж, техник хангамжийн SPI/UEFI шүүх эмнэлгийн баталгаажуулалт хийнэ үү.
• Австрали, Шинэ Зеланд:
• Яаралтай тусламжийн үйлчилгээ: залгах 000 Австралид эсвэл 111 Шинэ Зеландад.
• Австралийн кибер аюулгүй байдлын төв (ACSC / ASD) & ASIO хүртээмж: Дуудлага хийх 1300 CYBER1 (1300 292 371).
• Энэтхэг ба Ази Номхон далайн:
• Энэтхэг (CERT-In / Яаралтай тусламж): Залгах 112 цагдаад эсвэл техник хангамж/програм хангамжийн аюулгүй байдлын зөрчлийн талаар мэдээлэх incident@cert-in.org.in.

Байнга асуудаг асуултууд¶

Яагаад миний Windows зөөврийн компьютер гэнэт ачаалахаа больж, зочид буудлын өрөөндөө орхисны дараа 48 оронтой BitLocker сэргээх түлхүүрийг асуусан бэ?¶

Windows зөөврийн компьютер дээр BitLocker идэвхжсэн үед техник хангамж Итгэмжлэгдсэн платформ модуль (`TPM 2.0`) таны BIOS/UEFI программын криптограф SHA-256 хэшийг хэмждэг (`PCR 0`), сонголт ROM (`PCR 2`), UEFI ачаалах менежер (`PCR 4`) болон аюулгүй ачаалах төлөв (`PCR 7`) зөөврийн компьютер асаах бүрт. Хэрэв таныг өрөөнөөс гарч байхад хэн нэгэн таны зөөврийн компьютерт хүрсэн бөгөөд энэ нь таны 48 оронтой BitLocker сэргээх түлхүүрийг шаардах цэнхэр дэлгэц дээр гэнэт зогссон бол хоёр зүйлийн нэг нь тохиолдсон болно: эсвэл хууль ёсны BIOS шинэчлэлтийг саяхан суулгасан, эсвэл хэн нэгэн таны BIOS ачаалах дарааллыг өөрчилсөн, Secure Boot-г идэвхгүй болгосон, гадаад USB зөөгчийг ачаалсан эсвэл ачаалагчийн программыг өөрчилсөн байна., TPM ПГУ-ын хэшүүдийг өөрчлөхөд хүргэж, BitLocker-ийн хөндлөнгийн эсрэг түгжрэлийг идэвхжүүлдэг. 48 оронтой сэргээх түлхүүрээ бүү оруул Та BIOS-ын бүртгэл болон ачаалах хэлхээг шалгах хүртэл, учир нь өөрчилсөн ачаалах орчинд сэргээх түлхүүрээ бичих нь таны дискийг ил гаргах болно.

Хэрэв би Windows эсвэл Mac дэлгэцээ түгжих юм бол (Win+L / Ctrl+Cmd+Q) кофе шоп эсвэл зочид буудал руу явахаасаа өмнө хэн нэгэн үүнийг USB-C портоор хакердаж чадах уу?¶

Энэ нь хоёр тохиргооноос шалтгаална: Нэгдүгээрт, хэрэв хэн нэгэн залгавал a BadUSB товчлуур дарах инжектор (`Flipper Zero` эсвэл `Rubber Ducky`) түгжигдсэн зөөврийн компьютерт хуурамч гар нь түгжигдсэн дэлгэц дээрх нууц үгийн хайрцагт л бичих боломжтой (дэлгэц түгжигдсэн үед терминал нээх боломжгүй). Хоёрдугаарт, хэрэв зөөврийн компьютер нь хуучин төхөөрөмжтэй бол Цөмийн DMA хамгаалалтыг идэвхжүүлээгүй Thunderbolt 3/4 эсвэл USB4 порт, тусгай PCIe DMA техник хангамжийн хэрэгсэл (`PCILeech`) дэлгэц түгжигдсэн үед PCIe автобусаар дамжуулан системийн RAM-г шууд уншиж, бичиж болно. Идэвхжүүлж байна Цөмийн DMA хамгаалалт Windows дээр (`System Information > Kernel DMA Protection: On`) эсвэл macOS-г тохируулах нь **Дагалдах хэрэгслийг холбохыг зөвшөөрөх -> Тохиромжтой удаа асуух** нь дэлгэц түгжигдсэн үед USB-C/Thunderbolt дата хандалтыг бүрэн блоклодог.

Би эх хавтангийн UEFI / BIOS программыг Линукс эсвэл Windows дотроос сканнердаж, Evil Maid програмын суулгац суулгасан эсэхийг харах боломжтой юу?¶

Тиймээ. Intel болон аюулгүй байдлын судлаачдын боловсруулсан нээлттэй эхийн програм хангамжийн аюулгүй байдлын хэрэгслүүд CHIPSEC (`github.com/chipsec/chipsec`) ба fwupd (`fwupdmgr security`) Линукс дээр шууд SPI флаш ROM дүрсээ эх хавтангаас шууд буулгах боломжийг танд олгоно (`chipsec_util spi dump rom.bin`), техник хангамжийн BIOS бичих хамгаалалт байгаа эсэхийг шалгах (`BIOS_CNTL` `BLE`/`BWE` бит ба `PR0-PR4` Хамгаалагдсан хүрээний бүртгэлүүд) зөв түгжигдсэн бөгөөд SPI флаш криптограф хэшийг үйлдвэрлэгчийн албан ёсны BIOS дүрстэй харьцуулаарай.

Зочид буудлын өрөөний цахим сейф дотор зөөврийн компьютер эсвэл тоног төхөөрөмжийн крипто түрийвчээ түгжих нь аюулгүй юу?¶

Evil Maid халдлагаас хамгаалахын тулд зочид буудлын өрөөний ердийн цахим товчлуурын сейфэнд хэзээ ч бүү найд. Бараг бүх зочид буудлын цахим сейф нь урд талын самбар дээрх хуванцар логоны тэмдгийн ард нуугдаж буй бүх нийтийн механик тойрч гарах түлхүүрийн нүхтэй, мөн үйлдвэрийн мастерыг хүчингүй болгох кодтой байдаг (`000000` эсвэл `999999`) зочид буудлын ажилтнуудад мэдэгддэг. Зочид буудлын өрөөний сейф нь таны цорын ганц сонголт бол унтраасан зөөврийн компьютерээ дотор нь байрлуул хуурамчаар үйлдэгдсэн цуваа хамгаалалтын цүнх (эсвэл зурсан гялалзсан хумсны лакыг давхаргын дундуур түрхээрэй) ингэснээр таны төхөөрөмжид хүрсэн эсэхийг шууд мэдэх болно.

"Ичих горим" гэж юу вэ (S4)" vs. "Унтах (S3 / S0ix)", мөн Hibernation нь RAM / DMA Evil Maid халдлагаас хамгаалдаг уу?¶

Зөөврийн компьютер орох үед Унтах (`S3` эсвэл `S0ix`), RAM чипүүд асаалттай хэвээр байх бөгөөд таны шифрлэгдсэн дискний шифрлэлтийн түлхүүрүүдийг тогтворгүй санах ойд хадгална. Зөөврийн компьютер үнэн гэж орох үед Ичих горим (`S4`), үйлдлийн систем нь RAM-ийн агуулгыг шифрлэгдсэн ичээний файлд бичдэг (`hiberfil.sys` эсвэл шифрлэгдсэн своп) шифрлэгдсэн SSD дээр, Мастер дискний шифрлэлтийн түлхүүрүүдийг цэвэрлэж, эх хавтан болон RAM-ийн бүх цахилгааныг бүрэн тасалдаг. (бүрэн унтрахтай адил). Тиймээс хоёулаа **Бүрэн унтрах (`S5`)** ба ** Ичих горим (`S4`) ачаалахаас өмнө BitLocker PIN эсвэл LUKS нууц үгээр хамгаалагдсан драйв дээрх RAM-ыг DMA болон хүйтэн ачаалах халдлагаас хамгаалж, Secure Boot болон BIOS нууц үгээр хамгаална. `/boot` хөндлөнгөөс оролцох.

Холбогдох хөтөч¶

• Нийтийн цэнэглэгч ТҮЦ дата хориглогч (USB бэлгэвч) болон BadUSB HID тарилга
• BitLocker, FileVault болон LUKS шифрлэлтийн сэргээх түлхүүрийн түгжээ болон TPM дахин тохируулагдсан
• BIOS болон UEFI програм хангамжийг шинэчлэх тоосго, эрчим хүчний алдагдал болон Dual-BIOS Flashback
• Хулгайлагдсан зөөврийн компьютер эсвэл утас: алсын зайнаас арчих, дансны түгжээ
• Криптовалютын хэтэвчийг гадагшлуулах, үрийн үг хэллэгийг зөрчих
• Яаралтай тусламжийн дугаарууд улсаар

Эх сурвалж, албан ёсны заавар¶

• Үндэсний стандарт, технологийн хүрээлэн (NIST) (Америкийн Нэгдсэн Улс): Тусгай хэвлэл 800-147B (Сервер ба ажлын станцуудад зориулсан BIOS-ийн хамгаалалтын заавар) & SP 800-155 (BIOS бүрэн бүтэн байдлыг хэмжих заавар).
• Үндэсний аюулгүй байдлын агентлаг (NSA) & Кибер аюулгүй байдал, дэд бүтцийн аюулгүй байдлын агентлаг (CISA) (Америкийн Нэгдсэн Улс): * UEFI Secure Boot, Итгэмжлэгдсэн платформ модулийг хатууруулах (TPM 2.0) Ачаалахаас өмнөх PIN тохиргоо болон Thunderbolt/PCIe санах ойн шууд хандалтыг багасгах (DMA) Довтолгоо*.
• Үндэсний кибер аюулгүй байдлын төв (NCSC) & Үндэсний Хамгаалалтын Аюулгүй Байдлын Газар (NPSA) (Их Британи): Нийлүүлэлтийн сүлжээ болон гадаадад аялах физик төхөөрөмжийн аюулгүй байдал, хөндлөнгийн хамгаалалт, ачааны бүрэн бүтэн байдлыг баталгаажуулах.
• Microsoft Hardware Security Documentation & Linux Kernel IOMMU / fwupd Хост аюулгүй байдлын тодорхойлолт (HSI): Цөмийн DMA хамгаалалт (VT-d / AMD-Vi) болон Discrete TPM Bus Sniffing-ийн эсрэг BitLocker-ийн эсрэг арга хэмжээнүүд.