Fizični poseg v napravo (napad 'Evil Maid'): nenadzorovan pregled prenosnika in utrjevanje DMA¶

Če se vrnete v hotelsko sobo, na letališko carinsko sekundarno inšpekcijsko območje, v konferenčni prostor za zvočnike ali skupno coworking mizo in ugotovite, da so se vašega prenosnika, pametnega telefona ali denarnice s strojno opremo za kriptovalute dotaknili, premaknili, prebudili iz stanja spanja ali odprli, ko ste bili izven vašega pogleda, je fizični varnostni incident visokega tveganja, znan v kriptografiji in protiobveščevalni službi kot napad »zlobne služkinje« (skovala varnostna raziskovalka Joanna). Rutkowska). Klasični programski požarni zid ali protivirusni program predvideva, da je napadalec na drugi strani interneta; napadalec Evil Maid ima fizični ročni dostop do vaše strojne opreme za 2 do 30 minut, medtem ko vas ni na zajtrku, na sestanku ali pridržate v inšpekcijski sobi. Odvisno od napadalčeve prefinjenosti je 90 sekund fizičnega dostopa dovolj za priključitev BadUSB keystroke-injection rubber ducky ali PCIe/Thunderbolt Direct Memory Access (DMA) vstavite napravo v prenosni računalnik v stanju mirovanja, pripnite bliskovni programator CH341A SPI za $15 na čip BIOS-a matične plošče ali povohajte nešifrirano LPC/SPI TPM vodilo, zamenjajte polnilni kabel USB-C za vsadni kabel brezžičnega zapisovalnika tipk (O.MG Cable) ali zamenjajte nešifrirano /boot particija (initramfs), tako da zajame vaše geslo za šifriranje celotnega diska, ko ga naslednjič vnesete. Za napade na kioske za polnjenje USB na letališčih se posvetujte zaviralci podatkov v javnih polnilnih kioskih in vstavljanje BadUSB HID; če vaš pogon BitLocker, FileVault ali LUKS ob zagonu nenadoma zahteva obnovitveni ključ, potem ko se je nekdo dotaknil vašega prenosnika, glejte Zaklepanje ključa za obnovitev šifriranja BitLocker, FileVault in LUKS ter ponastavitev TPM; in če je bila vaša naprava trajno prevzeta, preklopite na ukraden prenosnik ali telefon daljinsko brisanje in zaklepanje računa. Če ste v neposredni fizični nevarnosti ali se soočate z nezakonitim pridržanjem, pokličite lokalno številko za klic v sili (911 v ZDA in Kanadi, 112 po vsej Evropski uniji, 999 v Združenem kraljestvu) ali si oglejte naš imenik mednarodnih številke za klic v sili.

Naredi to zdaj¶

1. NE vnesite šifriranja celotnega diska (BitLocker / LUKS / FileVault) geslo, geslo za prijavo v OS ali glavno geslo v sumljivi prenosnik, če ta nenadoma zahteva geslo ali ključ za obnovitev, potem ko je ostal brez nadzora:
2. Klasični napad Evil Maid nadomesti nešifrirani zagonski nalagalnik oz initramfs sliko na prenosnem računalniku, ki nima uveljavljanja Measured Boot/Secure Boot (ali med vašo tipkovnico/priklopno postajo in prenosnim računalnikom priključi prosojni strojni ključek za zapisovanje tipk USB), tako da naslednjič, ko vtipkate LUKS oz BitLocker geslo, trojanski zagonski nalagalnik posname vaše geslo v navadnem besedilu in ga prenese ali skrije na disk.
3. Preden se dotaknete tipkovnice, izvedite 60-sekundni zunanji fizični pregled vseh vrat, kablov in vijakov ohišja pod svetilko LED vašega telefona:
4. Odklopite in preglejte vse kable USB-C, USB-A, HDMI, Ethernet in napajalne kable, ki so priključeni na prenosni računalnik ali ležijo na vaši hotelski mizi. Napadalci pogosto zamenjajo žrtev standardni beli Apple ali črni polnilni kabel USB-C za enakega videza O.MG Cable / USB Ninja kabel (ki vsebuje skrito dostopno točko Wi-Fi in mikrokrmilnik, skrit v lupini priključka USB-C, ki vnaša pritiske tipk in beleži promet).
5. Prenosnik obrnite na glavo in preglejte vijake spodnjega pokrova in gumijaste noge: poiščite sveže mikroskopske kovinske robove na P5 Pentalobe, Torx T5, oz Phillips glave vijakov, manjkajoča zaščitna tesnila lukenj za vijake ali spodnji kotni šiv, ki ni poravnan, ker je bilo ohišje na hitro odprto, da bi pritrdili notranjo bliskovno sponko SPI ali M.2 vsadek PCIe.
6. Preverite, ali je vaš prenosnik ostal v stanju mirovanja/pripravljenosti (S3 / S0ix Sodobno stanje pripravljenosti)" v primerjavi z "Popolnoma izklopljen (S5 / V stanju mirovanja S4)" brez nadzora:
7. Če je bil vaš prenosnik zgolj v stanju mirovanja (pokrov zaprt), ko je napadalec dostopal do njega: vaše šifriranje celotnega diska (BitLocker, FileVault, LUKS) glavni šifrirni ključ nosilca (VMK) je dešifriran v obliki navadnega besedila v volatile vašega prenosnika DRAM pomnilniški čipi ves čas. Napadalec z napravo Thunderbolt/USB4 DMA (na starejših nepopravljenih sistemih), napadom zamrznitve RAM-a pri hladnem zagonu ali znanim obvodom zaklenjenega zaslona bi lahko prebral aktivni pomnilnik, ne da bi poznal vaše geslo.
8. Če sumite, da je bil prenosni računalnik v stanju pripravljenosti posegan: držite fizični gumb za vklop pritisnjen 10 polnih sekund, da prisilite takojšen močan izklop (očiščenje hlapljivih ključev DRAM), namesto da odprete pokrov in se prijavite.
9. Zagon z znano čistega zunanjega Live USB-ja samo za branje (Ubuntu Live / Tails / SystemRescue ves čas pri sebi), da preverite nešifrirani notranji pogon /boot in EFI System Partition (ESP) zgoščenke:
10. Če uporabljate Linux z LUKS ali Windows z BitLocker, vam zagon s čistega zunanjega ključka USB na ločenem ali preverjenem računalniku omogoča zgoščevanje vseh datotek /boot/efi/ (ESP) in /boot/initramfs-* (sha256sum) in preverite, ali so časovni žigi spreminjanja particije (stat) se je spremenilo točno v tistem 2-urnem oknu, ko ste bili zunaj hotelske sobe.
11. Preglejte dnevnike dogodkov OS (Windows Event Viewer, macOS unified log, Linux journalctl) iz varnega okolja samo za branje, da preverite, ali je bil pokrov odprt, ali je bila vstavljena naprava USB ali je bil stroj znova zagnan, ko vas ni bilo:
12. Vsak sodoben operacijski sistem zabeleži nespremenljiv časovni žig strojne opreme do milisekunde natančno, ko se odpre ACPI Lid Switch sistem prebudi iz spanja (Kernel-Power Event ID 42 / 107 v sistemu Windows, Wake reason: EC.LidOpen v sistemu macOS) ali nov USB VID:PID naprava je oštevilčena na vodilu.
13. Če ste visoko tvegana tarča (novinar, obrambni pogodbenik, izvršni direktor, odvetnik za človekove pravice ali podpisnik kripto zakladnice) in najdete trdne dokaze o fizičnem odpiranju ohišja, nepričakovanih ponastavitvah BitLocker/TPM PCR ali nepooblaščenih dogodkih prebujanja, medtem ko niste v vaši lasti, obravnavajte strojno opremo kot zgorelo (Quarantine Device):
14. Ne povezujte sumljivega prenosnika s svojim poslovnim VPN ali domačim Wi-Fi. Uporabite ločen, čist pametni telefon (ki je ostal v vašem žepu), da zasukate svoje poverilnice, prekličete aktivne seje (ugrabitev sejnih piškotkov in preklic gesla) in prenos sredstev ali skrivnosti z uporabo čiste strojne opreme.

Odločitveno drevo: ocenjevanje nenadzorovanega prenosnika ali naprave po domnevnem fizičnem dostopu¶

Sledite temu poteku dela, da ugotovite, ali je bila vaša nenadzorovana naprava fizično dostopana ali spremenjena in kakšna raven popravka je potrebna:

flowchart TD
    Start["Prenosni računalnik, telefon ali strojna denarnica brez nadzora v hotelski sobi, na mejni kontroli ali v coworking prostoru"] --> StateCheck{"V kakšnem stanju napajanja je bil prenosni računalnik, ko ni bil v vaši lasti?"}

    StateCheck -->|"Spanje/pripravljenost (pokrov zaprt, RAM napajanje) ALI odklenjeno"| HighRiskState["VISOKO TVEGANJE: ključi za šifriranje diska in piškotki seje so bili aktivni v RAM-u (občutljivi na BadUSB, obvod zaklenjenega zaslona ali ekstrakcijo DMA/RAM)"]

    StateCheck -->|"Popolnoma izklopljen (hladna zaustavitev S5)"| ColdState["MANJŠE TVEGANJE RAM-a: ključi niso bili v RAM-u, zato mora napadalec spremeniti zagonski nalagalnik (/boot / EFI), Flash SPI BIOS ali Plant Hardware Keylogger"]

    HighRiskState --> PhysCheck["1. KORAK: Preglejte zunanje vijake, spodnji šiv, vrata USB in polnilne kable pod močno svetilko (kablov, ki niso bili nadzorovani, ne uporabljajte znova)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Kaj se zgodi, ko pregledate meritve celovitosti zagona/TPM?"}

    BootBehavior -->|"BitLocker / TPM nenadoma zahteva 48-mestni ključ za obnovitev ALI varen zagon se prikaže onemogočeno / spremenjeno"| BootTamper["POTRJENA SPREMEMBA ZAGONSKE POTI: TPM PCR (0, 2, 4, 7) Zaznana spremenjena vdelana programska oprema BIOS-a, dodatni ROM ali zagonski nalagalnik EFI"]

    BootBehavior -->|"Običajno se zažene (ali pregledano samo za branje prek zunanjega živega USB-ja)"| LogCheck["2. KORAK: Nadzor ACPI Lid-Open/Wake Logs & USB Connection History med oknom vaše odsotnosti"]

    LogCheck -->|"Dnevniki prikazujejo odprt pokrov, priključeno napravo USB ali nepojasnjen ponovni zagon, medtem ko vas ni bilo"| ConfirmedTouch["POTRJEN NEPOOBLAŠČEN FIZIČNI DOSTOP"]
    LogCheck -->|"Nič dogodkov prebujanja, nič vrzeli pri ponovnem zagonu, nedotaknjena tesnila vijakov in preverjeni zgoščevalci /boot"| CleanPass["Ni dokazov o elektronskem prebujanju ali spreminjanju zagona -> Uveljavi geslo za BIOS + zaščita DMA jedra + pravilnik o popolni zaustavitvi"]

    BootTamper --> BurnDevice["NA TEM STROJU NE VPISUJTE GESEL: strojna oprema v karanteni, preklic vseh sej v oblaku/ključe SSH iz čistega telefona in forenzično vodenje slik"]
    ConfirmedTouch --> BurnDevice

5 tehničnih vektorjev napada "zle služkinje".¶

Če želite vedeti, katere forenzične sledi iskati, razumejte pet dejanskih tehnik, ki se uporabljajo med fizičnimi napadi na prenosnike in strojne denarnice:

1. faza: Forenzični pregled sumljivega nenadzorovanega prenosnika (pred prijavo)¶

Če se vrnete v svojo hotelsko sobo ali prejmete prenosni računalnik nazaj po mejni kontroli in želite vedeti, ali je kdo odprl, prebudil ali priključil napravo, medtem ko ste bili odsotni, izvedite ta preverjanja v vrstnem redu:

1. 1. korak: Revizija fizičnih vrat, kabla in vijaka ohišja¶

1. V karanteno postavite vse kable, ki so ostali v sobi:
2. O.MG Cable ali USB Ninja izgleda 100-odstotno nerazločljiv od pristnega tkanega kabla Apple USB-C, kabla Anker ali adapterja Dell USB-C, vse do lasersko vgraviranih serijskih številk na ovoju priključka.
3. Če ste kabel USB-C, napajalno enoto ali vozlišče USB pustili brez nadzora v okolju z visokim tveganjem, prenehajte priklapljati njegove podatkovne linije v prenosnik; bodisi ga zamenjajte z znano dobrim kablom iz svoje zaprte vrečke ali namestite blokator podatkov USB samo za napajanje (USB kondom) v seriji z njim.
4. Preglejte vijake in šiv spodnjega pokrova pod grabljivo svetilko:
5. Držite svetilko pametnega telefona pod plitkim kotom 15 stopinj ("raking light") čez vsako glavo vijaka na dnu vašega prenosnika.
6. Tovarniški vijaki, enkrat zategnjeni v montažnem obratu, imajo čisto, enakomerno anodizirano prevleko znotraj zvezdastih/križnih rež. Vijak, ki so ga v hotelski sobi odvili z jeklenim nastavkom, kaže svetlo srebrne kovinske praske znotraj vdolbine za vijak, moteč modro/rdeč prah varovala navojev ali rahlo neporavnanost spodnje aluminijaste plošče vzdolž sponk zadnjih zračnikov.

2. 2. korak: Preverjanje dnevnikov bujenja OS, odprtega pokrova in ponovnega zagona (ali se je prenosni računalnik vklopil, ko vas ni bilo?)¶

Zabeležite si natančno časovno okno, ko ste bili odsotni od prenosnika (na primer 12:15 PM to 01:45 PM). Tudi če napadalec zažene Live USB ključek, nepričakovana vrzel ali hladen zagon v času delovanja vašega OS ali dogodek ACPI Lid-Open med tem oknom dokazuje, da je bil prenosnik fizično manipuliran:

V sistemu macOS (MacBook Air / MacBook Pro):¶

Odprite Terminal in zaženite ta ukaz za prikaz vsakega posameznega dogodka strojne opreme Odpiranje pokrova, Zapiranje pokrova, Prebujanje, Spanje in Vklop/Izklop iz krmilnika za upravljanje sistema (SMC / PMU) v zadnjih 24 urah:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

V sistemu Linux (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Preverite systemd-journald za vse dogodke zagona/zaustavitve ali prehode med pokrovom/mirovanjem med vašo odsotnostjo:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. Preverite, ali ste nešifrirani /boot in /boot/efi particije NISO bile spremenjene, ko je bila naprava izklopljena: Preverite natančno Modify in Change (ctime) časovni žigi inode vsake slike jedra, initramfs, in GRUB EFI binary notri /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Če je notri kakšna datoteka /boot oz /boot/efi ima a Change oz Modify časovni žig, ko ste bili zunaj sobe ali od zadnjega apt/dnf posodobitev jedra, vaš zagonski nalagalnik je bil spremenjen.)

V sistemu Windows 10/11:¶

Odprite okno Administrator PowerShell in poizvedite v dnevniku sistemskih dogodkov za vsak vklop (ID 12), Izklop (ID 13), spanje (ID 42), Prebudi se iz stanja spanja (ID 1 / ID 107) in nepričakovana izguba energije (ID 41) v zadnjih 24 urah:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Faza 2: Zakaj Apple Silicon Macs & Modern TPM 2.0 + PIN Sistemi so težji za "zlobne služkinje" (in kako jih pravilno konfigurirati)¶

Niso vsi prenosniki enako ranljivi za fizične posege. Tukaj je opisano, kako delujejo sodobni strojni koreni zaupanja in natančne nastavitve, ki jih morate omogočiti:

1. Apple Silicon MacBook (M1, M2, M3, M4)¶

Apple Silicon Macs so med najbolj odpornimi potrošniškimi prenosniki Evil-Maid, ki so jih kdaj izdelali, ko so izklopljeni (S5) in konfiguriran z FileVault + Firmware/Recovery Security: - Zagonski ROM je vgraviran v nespremenljiv silicij znotraj M-serije SoC (Hardware Root of Trust). Vsaka stopnja zagonske verige (iBoot -> macOS Kernel -> Kriptografsko podpisan sistemski nosilec SSV) pred izvedbo preveri Applov strojni ključ. - Čipi NAND za shranjevanje so strojno šifrirani z Secure Enclave (AES-XTS) z uporabo ključev, povezanih z vašim geslom za FileVault, z omejitvami hitrosti strojne opreme za preprečevanje udarcev. - Tri obvezne nastavitve, ki jih morate zdaj preveriti na svojem MacBooku: 1. FileVault je VKLOPLJEN: Sistemske nastavitve > Zasebnost in varnost > FileVault -> VKLOPLJEN. 2. Onemogoči samodejno prijavo in zahtevaj geslo takoj ob spanju: Sistemske nastavitve > Zaklenjeni zaslon -> Zahtevaj geslo po začetku ohranjevalnika zaslona ali izklopu zaslona -> Takoj. 3. Blokiraj nepooblaščene dodatke USB/Thunderbolt, ko so zaklenjeni: Pojdite na Sistemske nastavitve > Zasebnost in varnost > Dovoli povezavo pripomočkov in nastavite na »Vprašaj za nove dodatke« ali »Vprašaj vsakič« (nikoli »Samodejno ob odklepanju« ali »Vedno«). Ko je nastavljen na »Vprašaj vsakič«, priklop a BadUSB injektor s pritiskom na tipko ali orodje Thunderbolt DMA v zaklenjen MacBook vrže vrata v način samo za napajanje in blokira vse oštevilčenje podatkov PCIe/USB na ravni krmilnika strojne opreme.

2. Windows 10/11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

BitLocker je privzeto konfiguriran v 99 odstotkih prenosnih računalnikov z operacijskim sistemom Windows (Dell, Lenovo, HP, Surface). "TPM-Only" (Transparentno delovanje) način: - Ko pritisnete gumb za vklop na a TPM-Only Prenosnik BitLocker, prenosnik se zažene neposredno na zaklenjenem zaslonu sistema Windows, ne da bi vas vprašal za kodo PIN BitLocker, kar pomeni, da je čip TPM samodejno dešifriral glavni pogonski ključ (VMK) in naložil operacijski sistem Windows v RAM. - Na katerem koli prenosniku, ki uporablja diskretni čip TPM, povezan s CPE prek matične plošče SPI oz LPC bus, napadalec, ki odpre spodnji pokrov in pripne logični analizator za 50 $ na čip TPM MOSI/MISO pin prebere vaš goli tekst BitLocker Volume Master Key (VMK) takoj z žice v 5 sekundah (BitPixie / TPM-Sniffing) ne da bi poznali vaše geslo za Windows. - Zagon vse do zaslona za prijavo v sistem Windows tudi brez nadzora izpostavi jedro sistema Windows, sklad Wi-Fi in vodilo PCIe.

Kako omogočiti obvezno BitLocker pred zagonom ob zagonu (TPM + PIN) v sistemu Windows v 2 minutah:¶

Dodajanje PIN-a BitLocker pred zagonom prisili strojno opremo TPM 2.0 čip, da ključ za šifriranje diska ostane zaklenjen v siliciju, ki je odporen proti posegom, dokler fizično ne vnesete 6- do 20-mestne kode PIN pred zagonom na črnem zaslonu BIOS/BitLocker: 1. Pritisnite Win + R, tip gpedit.msc in pritisnite Enter (v sistemu Windows 10/11 Pro, Enterprise ali Education). 2. Pomaknite se do: Konfiguracija računalnika > Skrbniške predloge > Komponente Windows > Šifriranje pogona BitLocker > Pogoni operacijskega sistema. 3. Dvokliknite »Zahtevaj dodatno preverjanje pristnosti ob zagonu«, ga nastavite na Omogočeno in nastavite Konfiguriraj zagonsko kodo TPM: na Require startup PIN with TPM. 4. Odprite Administrator Command Prompt ali PowerShell in nastavite novo kodo PIN za BitLocker pred zagonom (če želite omogočiti alfanumerična gesla, omogočite tudi »Dovoli izboljšane kode PIN za zagon« v isti mapi pravilnika skupine):

manage-bde -protectors -add C: -TPMAndPIN

3. Linux (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

Na prenosnih računalnikih Linux (Ubuntu, Fedora, Debian, Arch, Qubes OS), standardno LUKS šifriranje celotnega diska že zahteva, da vnesete geslo pred zagonom, preden se pogon odklene, kar ustavi pasivno vohanje vodila TPM. Vendar pa standardne namestitve Linuxa ostanejo /boot (initramfs in vmlinuz) nešifrirani, zaradi česar so ranljivi za klasično 2-minutno USB Evil Maid /boot zamenjava, razen če izvedete te tri korake utrjevanja: 1. Nastavite močno nadzorniško geslo UEFI/BIOS in onemogočite zunanji USB/omrežni zagon: - Vnesite BIOS vašega prenosnika (F2, F1, F10, oz Del ob vklopu) -> pojdite na Varnost > Skrbniško/nadzorniško geslo in nastavite močno geslo, da napadalec ne more pritisniti F12 ob zagonu za nalaganje ključka USB. 2. Omogoči UEFI Secure Boot + Enroll Custom Keys / Signed Unified Kernel Images (sbctl + UKI): - Orodja, kot je sbctl (Arch, Fedora, Debian, Ubuntu) združiti jedro Linuxa, ukazno vrstico jedra in initramfs v eno samo kriptografsko podpisano Unified Kernel Image (UKI .efi) preverjeno z vašim strojnim ključem UEFI Secure Boot (PK / KEK / db). Če Evil Maid spremeni en sam bajt vašega initramfs, ga vdelana programska oprema UEFI noče zagnati in prikaže rdeče opozorilo Kršitev varnega zagona, preden sploh vnesete geslo LUKS. 3. Preveri IOMMU / Kernel DMA Protection in Namestite USBGuard: - Preverite, ali je jedro Linuxa IOMMU aktivno (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") in namestite usbguard (sudo apt install usbguard), da blokirate novo vstavljeno HID tipkovnice (03:*:*), ko je zaslon zaklenjen.

Faza 3: DIY tesnila za zaznavanje fizičnih posegov za potovanja z visokim tveganjem ("bleščeči lak za nohte" in Haven)¶

Obveščevalci, raziskovalci strojne opreme in preiskovalni novinarji uporabljajo dve poceni tehniki fizičnega odkrivanja nepopravljivih posegov:

1. Lak za nohte z bleščicami + makro fotografija" navojno tesnilo (Uncounterfeitable Entropy)¶

Standardne komercialne holografske nalepke "VOID IF REMOVED" lahko kupite na Amazonu za 10 USD, jih odlepite in zamenjate z enako nalepko. Bleščeči lak za nohte je matematično neponareljiv: 1. Kupite stekleničko prozornega laka za nohte, polnjenega z večbarvnimi kovinskimi bleščicami različnih velikosti za 5 dolarjev. 2. Z majhnim madežem bleščečega laka za nohte nanesite dva vdolbina vijaka na spodnjem pokrovu (ki povezujeta glavo vijaka z okoliško kovino ohišja) in čez spodnji šiv vašega prenosnika (ali čez trak, ki tesni vašo oblazinjeno torbo za prenosnik). 3. Ko se posuši, posnemite makro fotografijo visoke ločljivosti vsakega bleščečega pečata s kamero pametnega telefona (ki ostane v vašem žepu). 4. Zakaj ga napadalec ne more premagati: Tudi če ima napadalec popolnoma isto znamko bleščečega laka za nohte, naključna 2D geometrijska orientacija, porazdelitev barv in koti prekrivanja 80 posameznih bleščečih kosmičev tvorijo edinstven fizični prstni odtis. Ko se vrnete v svojo hotelsko sobo, posnemite drugo fotografijo vijačnega tesnila iz istega kota in primerjajte fotografiji "Pred" in "Po" na telefonu: če je bil posamezen vijak obrnjen celo za 5 stopinj, se vzorec bleščic opazno premakne.

2. Pretvarjanje rezervnega starega telefona Android v fizični senzor vdora v hotelsko sobo (Haven aplikacija)¶

• Brezplačno odprtokodno aplikacijo za Android, ki sta jo ustvarila Guardian Project in Freedom of the Press FoundationHaven: Keep Watch** vsak rezervni telefon Android spremeni v detektor gibanja, zvoka, vibracij (merilnik pospeška) in svetlobe okolice.
• Preden prenosnik pustite v sefu ali predalu hotelske sobe, vključite rezervni telefon Haven tik na vrhu vašega prenosnika v zaprtem predalu ali torbi: če kdor koli odpre predal (spremeni odčitek senzorja zunanje svetlobe) ali se dotakne prenosnika, Haven tiho posname fotografije, posname zvok in pošlje šifrirano opozorilo Signal na primarni telefon v vašem žepu.

3. Varno prečkanje mednarodnih meja in letališki sekundarni pregledi¶

Če potujete v tujino skozi jurisdikcije z visokim tveganjem, kjer lahko cariniki ali mejni uradniki vzamejo prenosnike in telefone iz vidnega polja: 1. Potujte z namenskim prenosnim računalnikom in telefonom "Clean Travel / Burner": Nikoli ne nosite svoje primarne delovne postaje podjetja, doživljenjskega trezorja gesel ali ključev SSH čez meje z visokim tveganjem. S seboj imejte čist Chromebook ali prenosni računalnik s svežo sliko, ki vsebuje samo določene datoteke, potrebne za to potovanje, in po prihodu dostopajte do občutljivega dela izključno prek overjene seje oddaljenega namizja. 2. Popolnoma izklopite (S5) 10 minut pred vstopom v carinarnico: popolnoma izklopite prenosni računalnik in telefon (Power Off), preden izstopite iz letala, tako da DRAM popolnoma propade in biometrično odklepanje (Face ID / Touch ID) je onemogočeno v korist močnega alfanumeričnega gesla.

Regionalne številke za klic v sili in protokoli agencije¶

Fizično poseganje v računalniško strojno opremo, nameščanje skritih strojnih zapisovalcev tipk ali nepooblaščeno mejno/hotelsko vohunjenje je treba prijaviti nacionalnim protiobveščevalnim službam in agencijam za kibernetsko obrambo:

• Združene države in Kanada:
• Dežurne službe: Pokličite 911 če v svoji hotelski sobi ali bivališču odkrijete vsiljivca.
• Zvezni preiskovalni urad (FBI) Protiobveščevalni in kibernetski oddelek / IC3: Če ste ameriški popotnik, obrambni izvajalec, raziskovalec ali direktor, čigar prenosni računalnik ali telefon je bil spremenjen v tujini ali v hotelu, prijavite incident lokalni FBI-jevi protiobveščevalni enoti ali na ic3.gov in cisa.gov/report (poškodovan kabel ali prenosni računalnik shranite nedotaknjenega v Faradayevi torbi za analizo forenzičnega laboratorija FBI).
• Kanadska varnostno obveščevalna služba (CSIS) & Cyber Center: Pokliči 1-833-CYBER-88 ali kontaktirajte CSIS (613-993-9620) za domnevno poseganje v tujo fizično napravo.
• Združeno kraljestvo:
• Dežurne službe: Pokličite 999 (ali 101 za policijo).
• Nacionalni center za kibernetsko varnost (NCSC) in nacionalni zaščitni varnostni organ (NPSA): Vladni, akademski in poslovni popotniki Združenega kraljestva bi morali upoštevati Navodila NCSC / NPSA za čezmorske potovalne naprave in poročati o domnevnih posegih v fizično strojno opremo prek ncsc.gov.uk.
• Evropska unija:
• Dežurne službe: Pokličite 112 v vseh državah članicah EU.
• Nacionalne skupine CSIRT/domače varnostne agencije (ANSSI Francija, BSI Nemčija, AIVD/NCSC-NL Nizozemska): Prijavite domnevne vsadke vdelane ali strojne opreme svojemu nacionalnemu CSIRT za forenzično preverjanje SPI/UEFI strojne opreme.
• Avstralija in Nova Zelandija:
• Dežurne službe: Pokličite 000 v Avstraliji ali 111 na Novi Zelandiji.
• Avstralski center za kibernetsko varnost (ACSC / ASD) & ASIO Outreach: Pokličite 1300 CYBER1 (1300 292 371).
• Indija in Azija-Pacifik:
• Indija (CERT-In / V sili): Pokličite 112 za policijo ali prijavite varnostne incidente strojne/vdelane programske opreme na incident@cert-in.org.in.

Pogosta vprašanja¶

Zakaj se je moj prenosni računalnik z operacijskim sistemom Windows nenadoma prenehal normalno zaganjati in zahteval moj 48-mestni obnovitveni ključ BitLocker takoj po tem, ko sem ga pustil v hotelski sobi?¶

Ko je BitLocker omogočen na prenosnem računalniku z operacijskim sistemom Windows, strojna oprema Trusted Platform Module (`TPM 2.0`) meri kriptografsko zgoščevanje SHA-256 vaše vdelane programske opreme BIOS/UEFI (`PCR 0`), opcijski ROM-ji (`PCR 2`), UEFI Boot Manager (`PCR 4`) in stanje varnega zagona (`PCR 7`) vsakič, ko se prenosnik vklopi. Če se je nekdo dotaknil vašega prenosnika, medtem ko vas ni bilo v sobi, in se nenadoma ustavi na modrem zaslonu, ki zahteva vaš 48-mestni obnovitveni ključ BitLocker, se je zgodila ena od dveh stvari: ali je pravkar nameščena zakonita posodobitev BIOS-a, ali je nekdo spremenil vaš zagonski vrstni red BIOS-a, onemogočil varni zagon, zagnal zunanji ključek USB ali spremenil vdelano programsko opremo vašega zagonskega nalagalnika, zaradi česar se zgoščene vrednosti TPM PCR spremenijo in sprožijo BitLockerjevo zaporo proti posegom. Ne vnesite svojega 48-mestnega obnovitvenega ključa dokler ne pregledate dnevnikov BIOS-a in zagonske verige, ker vnos obnovitvenega ključa v spremenjeno zagonsko okolje razkrije vaš pogon.

Če zaklenem zaslon svojega sistema Windows ali Mac (Win+L / Ctrl+Cmd+Q) lahko nekdo še vedno vdre prek vrat USB-C, preden odide v kavarno ali hotel?¶

Odvisno je od dveh nastavitev: Prvič, če nekdo priključi a Injektor tipk BadUSB (`Flipper Zero` oz `Rubber Ducky`) v zaklenjen prenosni računalnik lahko lažna tipkovnica vnaša samo v polje za geslo na zaklenjenem zaslonu (ne more odpreti terminala, ko je zaslon zaklenjen). Drugič pa, če ima prenosnik starejšega Vrata Thunderbolt 3/4 ali USB4 brez omogočene zaščite jedra DMA, specializirano strojno orodje PCIe DMA (`PCILeech`) lahko bere in piše sistemski RAM neposredno prek vodila PCIe, medtem ko je zaslon zaklenjen. Omogočanje Zaščita jedra DMA v sistemu Windows (`System Information > Kernel DMA Protection: On`) ali nastavitev macOS **Dovoli povezavo dodatkov -> Vsakič vprašaj** popolnoma blokira dostop do podatkov USB-C/Thunderbolt, ko je zaslon zaklenjen.

Ali lahko skeniram vdelano programsko opremo UEFI/BIOS svoje matične plošče iz sistema Linux ali Windows, da vidim, ali je Evil Maid zagnala vsadek vdelane programske opreme?¶

ja Odprtokodna varnostna orodja vdelane programske opreme, ki so jih razvili zlasti Intel in varnostni raziskovalci CHIPSEC (`github.com/chipsec/chipsec`) in fwupd (`fwupdmgr security`) v sistemu Linux vam omogoča, da izpišete živo sliko SPI flash ROM neposredno z matične plošče (`chipsec_util spi dump rom.bin`), preverite, ali strojna oprema BIOS zaščita pred pisanjem (`BIOS_CNTL` `BLE`/`BWE` bitov in `PR0-PR4` Protected Range registers) je pravilno zaklenjen in primerjajte svoj kriptografski zgoščeni ključ SPI flash z uradno sliko BIOS-a proizvajalca.

Ali je varno zakleniti svoj prenosnik ali strojno kripto denarnico v elektronski sef hotelske sobe?¶

Za zaščito pred napadom Evil Maid se nikoli ne zanašajte na standardni sef z elektronsko tipkovnico hotelske sobe. Skoraj vsak hotelski elektronski sef ima univerzalno mehansko obvodno ključavnico, skrito za plastično značko z logotipom na sprednji plošči, kot tudi tovarniško glavno kodo za preglasitev (`000000` oz `999999`) znano osebju hotela. Če je vaša edina možnost sef v hotelski sobi, postavite izklopljen prenosni računalnik vanj serijska varnostna vrečka, ki je zaščitena pred odpiranjem (ali čez šiv nanesite fotografiran bleščičasti lak za nohte), da boste takoj vedeli, ali se je vaša naprava dotaknila.

Kaj je "Hibernacija (S4)" proti "Spanje (S3 / S0ix)", in ali mirovanje ščiti pred napadi Evil Maid na RAM/DMA?¶

Ko vstopi prenosnik spanje (`S3` oz `S0ix`), čipi RAM ostanejo vklopljeni in hranijo šifrirne ključe vašega dešifriranega diska v obstojnem pomnilniku. Ko prenosnik vnese true mirovanje (`S4`), operacijski sistem zapiše vsebino RAM-a v šifrirano datoteko mirovanja (`hiberfil.sys` ali šifrirana zamenjava) na šifriranem SSD-ju, očisti šifrirne ključe glavnega diska in popolnoma prekine vso električno napajanje matične plošče in RAM-a (tako kot popolna zaustavitev). Zato sta oba **Popolna zaustavitev (`S5`)** in **Hibernacija (`S4`) na pogonu, zaščitenem s kodo PIN pred zagonom BitLocker ali geslom LUKS** zaščitite vaš RAM pred napadi DMA in hladnim zagonom, pod pogojem, da varen zagon in geslo za BIOS preprečujeta `/boot` nedovoljeno poseganje.

Sorodni vodniki¶

• Blokator podatkov javnega polnilnega kioska (kondom USB) in vbrizgavanje BadUSB HID
• Zaklepanje ključa za obnovitev šifriranja BitLocker, FileVault in LUKS ter ponastavitev TPM
• Posodobitev BIOS-a in vdelane programske opreme UEFI, izguba energije in Dual-BIOS Flashback
• Ukraden prenosnik ali telefon: brisanje na daljavo in zaklepanje računa
• Izčrpavanje denarnice za kriptovalute in kompromis semenske fraze
• Številke za klic v sili po državah

Viri in uradna navodila¶

• Nacionalni inštitut za standarde in tehnologijo (NIST) (Združene države): Posebna publikacija 800-147B (Smernice za zaščito BIOS-a za strežnike in delovne postaje) & SP 800-155 (Smernice za merjenje integritete BIOS-a).
• Agencija za nacionalno varnost (NSA) & Agencija za kibernetsko varnost in varnost infrastrukture (CISA) (Združene države): * Utrjevanje varnega zagona UEFI, modul zaupanja vredne platforme (TPM 2.0) Konfiguracija kode PIN pred zagonom in ublažitev neposrednega dostopa do pomnilnika Thunderbolt/PCIe (DMA) Napadi*.
• Nacionalni center za kibernetsko varnost (NCSC) in nacionalni zaščitni varnostni organ (NPSA) (Združeno kraljestvo): Varnost fizičnih naprav v dobavni verigi in čezmorskih potovanjih, pečati, ki so vidni pri posegih, in preverjanje celovitosti zagona.
• Microsoftova varnostna dokumentacija strojne opreme in jedro Linuxa IOMMU / fwupd Varnostna specifikacija gostitelja (HSI): Zaščita DMA jedra (VT-d / AMD-Vi) in protiukrepi BitLocker proti diskretnemu vohanju vodila TPM.