Ометање физичког уређаја (напад 'зле служавке'): Ненадзирана инспекција лаптопа и ДМА очвршћавање¶

Враћање у хотелску собу, зону за секундарну инспекцију на аеродрому, салу за конференцијске звучнике или заједнички радни сто да бисте открили да су ваш лаптоп, паметни телефон или хардверски новчаник за криптовалуте додирнули, померени, пробудили се или отворили док вам није на видику, представља инцидент са високим улозима у физичкој безбедности познат у криптографији и контраобавештајном истраживању као безбедносно истраживање Екоина Јоана Рутковска). Класични софтверски заштитни зид или антивирусни програм претпоставља да је нападач на другој страни интернета; нападач Евил Маид има физички практичан приступ вашем хардверу у трајању од 2 до 30 минута док сте одсутни за доручком, на састанку или сте затворени у соби за инспекцију. У зависности од софистицираности нападача, 90 секунди физичког приступа је довољно да се прикључи БадУСБ гумени дуцки са убризгавањем тастера или ПЦИе/Тхундерболт директан приступ меморији (DMA) убаците уређај у успавани лаптоп, закачите СПИ флеш програматор ЦХ341А од 15 УСД на БИОС чип матичне плоче или уњушите нешифровани LPC/SPI ТПМ магистрала, замените свој УСБ-Ц кабл за пуњење каблом за имплантацију бежичног кеилоггер (O.MG Cable), или замените нешифровани /boot партиција (initramfs) тако да снима вашу шифру за шифровање целог диска следећи пут када је унесете. За нападе киоска за УСБ пуњење на аеродромима, консултујте се јавни блокатори података киоска за пуњење и БадУСБ ХИД ињекција; ако ваш БитЛоцкер, ФилеВаулт или ЛУКС диск изненада затражи кључ за опоравак при покретању након што је неко додирнуо ваш лаптоп, погледајте Закључавање кључа за опоравак БитЛоцкер, ФилеВаулт и ЛУКС шифровање и ресетовање ТПМ-а; и ако је ваш уређај трајно узет, пређите на даљинско брисање украденог лаптопа или телефона и закључавање налога. Ако сте у непосредној физичкој опасности или сте суочени са незаконитим притвором, позовите локални број за хитне случајеве (911 у Сједињеним Државама и Канади, 112 широм Европске уније, 999 у Уједињеном Краљевству) или консултујте наш именик међународних бројеви за хитне случајеве.

Уради ово сада¶

1. НЕ куцајте шифровање целог диска (BitLocker / LUKS / FileVault) приступну фразу, лозинку за пријаву на ОС или главну лозинку у сумњиви лаптоп ако изненада тражи лозинку или кључ за опоравак након што је остао без надзора:
2. Класични напад Евил Маид замењује нешифровани боотлоадер или initramfs слику на лаптопу коме недостаје мерено покретање / безбедно покретање (или прикључује прозирни хардверски УСБ кључ за кључеве између тастатуре/доцк-а и лаптопа) тако да следећи пут када унесете LUKS или BitLocker приступну фразу, тројанизовани покретачки програм снима вашу приступну фразу отвореног текста и преноси је или сакрива на диску.
3. Пре него што додирнете тастатуру, извршите екстерну физичку проверу свих портова, каблова и шрафова на кућишту у трајању од 60 секунди испод ЛЕД лампице на телефону:
4. Искључите и проверите сваки УСБ-Ц, УСБ-А, ХДМИ, Етхернет и кабл за напајање прикључен на лаптоп или који седи на столу у вашем хотелу. Нападачи често мењају жртвин стандардни бели Аппле или црни УСБ-Ц кабл за пуњење за идентичан изглед O.MG Cable / USB Ninja кабл (који садржи скривену Ви-Фи приступну тачку и микроконтролер скривен унутар омота УСБ-Ц конектора који убризгава притиске тастера и евидентира саобраћај).
5. Окрените лаптоп наопако и прегледајте завртње доњег поклопца и гумене ножице: Потражите свеже микроскопске металне неравнине на P5 Pentalobe, Torx T5, или Phillips главе шрафова, недостајуће заптиваче рупе за шрафове или шав доњег угла који не лежи у равни јер је кућиште на брзину отворено да би се причврстила интерна СПИ флеш копча или M.2 ПЦИе имплант.
6. Проверите да ли је ваш лаптоп остављен у „Слееп/ Стандби (S3 / S0ix Модерно стање приправности)“ наспрам „Потпуно искључено (S5 / Хибернатед S4)" док нема надзора:
7. Ако је ваш лаптоп само спавао (поклопац затворен) када му је нападач приступио: Ваша шифровање целог диска (BitLocker, FileVault, LUKS) главни кључ за шифровање јачине звука (VMK) се налазио дешифрован у обичном тексту унутар волатила вашег лаптопа DRAM меморијски чипови све време. Нападач са Тхундерболт/УСБ4 ДМА уређајем (на старијим системима без закрпе), нападом замрзавања РАМ меморије при хладном покретању или познатим заобилажењем закључаног екрана могао би да чита активну меморију без познавања ваше лозинке.
8. Ако сумњате да је лаптоп који је у стању мировања неовлашћен: држите физичко Дугме за напајање притиснутим пуних 10 секунди да бисте наметнули моментално искључивање напајања (чишћење испарљивих ДРАМ кључева) уместо да отварате поклопац и да се пријавите.
9. Покретање са познатог чистог екстерног живог УСБ-а само за читање (Ubuntu Live / Tails / SystemRescue стално при себи) да бисте прегледали нешифровани интерни диск /boot и EFI System Partition (ESP) хешеви:
10. Ако користите Линук са LUKS или Виндовс са BitLocker, покретање са чистог екстерног УСБ стицка на засебној или провереној машини омогућава вам да хеширате сваку датотеку /boot/efi/ (ESP) и /boot/initramfs-* (sha256sum) и проверите да ли су временске ознаке модификације партиције (stat) променили током тачно 2-часовног периода када сте били ван своје хотелске собе.
11. Прегледајте евиденцију догађаја ОС (Windows Event Viewer, macOS unified log, Linux journalctl) из безбедног окружења само за читање да видите да ли је поклопац отворен, да ли је УСБ уређај уметнут или је машина поново покренута док вас није било:
12. Сваки модерни оперативни систем бележи непроменљиву хардверску временску ознаку до милисекунде кад год се отвори АЦПИ прекидач за поклопац, систем се буди из стања мировања (Kernel-Power Event ID 42 / 107 на Виндовс-у, Wake reason: EC.LidOpen на мацОС) или нови УСБ VID:PID уређај се набраја на магистрали.
13. Ако сте високо ризична мета (новинар, одбрамбени извођач, извршни директор, адвокат за људска права или потписник крипто благајне) и нађете чврсте доказе физичког отварања шасије, неочекиваних БитЛоцкер/ТПМ ПЦР ресетовања или неовлашћених догађаја буђења док нисте у вашем поседу, третирајте хардвер као спаљен (Quarantine Device):
14. Немојте повезивати сумњиви лаптоп на ваш корпоративни ВПН или кућни Ви-Фи. Користите посебан, чист паметни телефон (који је остао у вашем џепу) да ротирате своје акредитиве, опозовете активне сесије (отмица колачића сесије и опозив лозинке) и преносите средства или тајне користећи чист хардвер.

Стабло одлучивања: процена лаптопа или уређаја без надзора након сумње на физички приступ¶

Пратите овај ток посла да бисте утврдили да ли је вашем уређају без надзора физички приступено или модификовано и који ниво санације је потребан:

flowchart TD
    Start["Лаптоп, телефон или хардверски новчаник остављен без надзора у хотелској соби, граничној инспекцији или цоворкинг простору"] --> StateCheck{"У ком стању је био лаптоп док нисте били у вашем поседу?"}

    StateCheck -->|"У стању спавања/приправности (поклопац затворен, РАМ напаја) ИЛИ откључан"| HighRiskState["ВИСОКИ РИЗИК: Кључеви за шифровање диска и колачићи сесије били су активни у РАМ-у (подложни лошем УСБ-у, заобилазници закључаног екрана или екстракцији ДМА/РАМ-а)"]

    StateCheck -->|"Потпуно искључено (Хладно искључивање С5)"| ColdState["МАЊИ РИЗИК РАМ-а: кључеви нису били у РАМ-у, па нападач мора или да измени покретачки програм (/боот / ЕФИ), Фласх СПИ БИОС или Плант Хардвер Кеилоггер"]

    HighRiskState --> PhysCheck["КОРАК 1: Прегледајте спољне завртње, доњи шав, УСБ портове и каблове за пуњење под јаком лампом (немојте поново да користите каблове без надзора)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Шта се дешава када проверите интегритет покретања / ТПМ мерења?"}

    BootBehavior -->|"БитЛоцкер/ТПМ изненада захтева 48-цифрени кључ за опоравак ИЛИ безбедно покретање приказује онемогућено/промењено"| BootTamper["ПОТВРЂЕНА ИЗМЕНА ПУТА ЗА ПОЧЕТАК: ТПМ ПЦР-ови (0, 2, 4, 7) Откривен је модификовани БИОС фирмвер, опциони РОМ или ЕФИ покретачки програм"]

    BootBehavior -->|"Покреће се нормално (или се прегледа само за читање преко екстерног живог УСБ-а)"| LogCheck["КОРАК 2: Прегледајте АЦПИ поклопац отворених / евиденцију буђења и историју УСБ везе током прозора вашег одсуства"]

    LogCheck -->|"Дневници показују да је поклопац отворен, УСБ уређај прикључен или необјашњиво поновно покретање док вас није било"| ConfirmedTouch["ПОТВРЂЕН НЕОВЛАШЋЕНИ ФИЗИЧКИ ПРИСТУП"]
    LogCheck -->|"Нулти догађаји буђења, нула празнина у поновном покретању, нетакнуте заптивке завртња и верификовани хешови /покретања"| CleanPass["Нема доказа о електронском буђењу или модификацији покретања -> Примени лозинку за БИОС + ДМА заштиту језгра + Политика потпуног искључивања"]

    BootTamper --> BurnDevice["НЕМОЈТЕ КУПАТИ ЛОЗИНКЕ НА ОВОМ МАШИНУ: Хардвер ставити у карантин, опозвати све сесије у облаку/ССХ кључеве са чистог телефона и форензички возити слике"]
    ConfirmedTouch --> BurnDevice

5 техничких вектора напада "зле слушкиње".¶

Да бисте знали које форензичке трагове треба тражити, схватите пет стварних техника које се користе током физичких практичних напада на лаптопове и хардверске новчанике:

Фаза 1: Форензичка инспекција осумњиченог лаптопа без надзора (пре пријављивања)¶

Ако се вратите у хотелску собу или добијете лаптоп након граничне инспекције и желите да знате да ли је неко отворио, пробудио или укључио уређај у њу док сте били одсутни, извршите ове провере по редоследу:

1. Корак 1: Ревизија завртња физичког порта, кабла и шасије¶

1. ** Ставите у карантин све каблове који су остали у просторији**:
2. Ан O.MG Cable или USB Ninja изгледа 100 посто неразлучиво од оригиналног Аппле УСБ-Ц тканог кабла, Анкер кабла или Делл УСБ-Ц адаптера, све до ласерски урезаних серијских бројева на навлаци конектора.
3. Ако сте УСБ-Ц кабл, блок за напајање или УСБ чвориште оставили без надзора у окружењу високог ризика, престаните да прикључујете његове линије за пренос података у лаптоп; или га замените познатим добрим каблом из ваше запечаћене торбе или поставите УСБ блокатор података са само напајањем (УСБ кондом) у серији са њим.
4. Прегледајте шрафове доњег поклопца и шавове испод светла лампе за грабљење:
5. Држите батеријску лампу за паметни телефон под плитким углом од 15 степени („светло за грабљење“) преко сваке главе завртња на дну лаптопа.
6. Фабрички шрафови који су једном затегнути у фабрици имају чист, уједначен елоксирани премаз унутар звездастих/крижних прореза. Шраф који је одврнут у хотелској соби са челичним наставком показује светле сребрне металне огреботине унутар удубљења за шрафове, поремећену плаву/црвену прашину од навоја или благо неусклађеност доње алуминијумске плоче дуж задњих вентилационих копчи.

2. Корак 2: Провера евиденције покретања оперативног система, отварања поклопца и поновног покретања (да ли се лаптоп укључио док вас није било?)¶

Забележите тачан временски период када сте били далеко од лаптопа (на пример, 12:15 PM to 01:45 PM). Чак и ако нападач покрене Ливе УСБ стицк, неочекивани прекид или хладно покретање у току рада оперативног система, или АЦПИ Лид-Опен догађај током тог прозора, доказује да је лаптоп физички изманипулисан:

На мацОС-у (MacBook Air / MacBook Pro):¶

Отворите Терминал и покрените ову команду да бисте приказали сваки хардверски догађај Отварање поклопца, затварање поклопца, буђење, спавање и укључивање/искључивање из контролера за управљање системом (SMC / PMU) у последња 24 сата:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

На Линуку (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Провери systemd-journald за све догађаје покретања/искључивања или прелазе поклопац/спавање током вашег одсуства:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. Потврдите да сте нешифровани /boot и /boot/efi партиције НИСУ модификоване док је машина била искључена: Проверите тачно Modify и Change (ctime) иноде временске ознаке сваке слике кернела, initramfs, и GRUB ЕФИ бинарни унутра /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Ако постоји нека датотека унутра /boot или /boot/efi има а Change или Modify временска ознака када сте били ван собе или од ваше последње apt/dnf ажурирање кернела, ваш боотлоадер је манипулисан.)

На Виндовс 10/11:¶

Отворите прозор Администратор ПоверСхелл и затражите евиденцију системских догађаја за свако Укључивање (ID 12), Искључивање (ID 13), спавај (ID 42), Буђење из сна (ID 1 / ID 107), и неочекивани губитак снаге (ID 41) у последња 24 сата:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Фаза 2: Зашто Аппле Силицон Мац рачунари и модерни TPM 2.0 + PIN Системи су тежи за "злу слушкињу" (и како их правилно конфигурисати)¶

Нису сви лаптоп рачунари подједнако подложни физичком неовлашћењу. Ево како функционишу савремени хардверски корени поверења и тачна подешавања која морате да омогућите:

1. Аппле Силицон МацБоок (M1, M2, M3, M4)¶

Аппле Силицон Мац рачунари су међу потрошачким лаптоп рачунарима који су најотпорнији на злослушкиње икада направљени када су искључени (S5) и конфигурисан са ФилеВаулт + Фирмваре/Рецовери Сецурити: - РОМ за покретање је урезан у непроменљиви силицијум унутар М-серије СоЦ (Hardware Root of Trust). Свака фаза ланца чизме (iBoot -> macOS Kernel -> Криптографски потписан системски волумен SSV) је верификован Аппле-овим хардверским кључем пре извршења. - НАНД чипови за складиштење су хардверски шифровани помоћу Сецуре Енцлаве (AES-XTS) користећи кључеве везане за вашу ФилеВаулт лозинку са хардверским ограничењима брзине против ударања. - 3 обавезна подешавања која морате одмах да проверите на свом МацБоок-у: 1. ФилеВаулт је УКЉУЧЕН: Подешавања система > Приватност и безбедност > ФилеВаулт -> УКЉУЧЕНО. 2. Онемогући аутоматско пријављивање и захтевај лозинку одмах у режиму спавања: Подешавања система > Закључани екран -> Захтевај лозинку након што се чувар екрана покрене или се екран искључи -> Одмах. 3. Блокирај неовлашћене УСБ / Тхундерболт додатке када је закључан: Идите на Подешавања система > Приватност и безбедност > Дозволи додацима да се повежу и подесите на „Тражи нову додатну опрему“ или „Питај сваки пут“ (никада „Аутоматски када је откључано“ или „Увек“). Када је подешено на „Питај сваки пут“, укључивање а BadUSB ињектор притиска на тастер или Тхундерболт ДМА алат у закључани МацБоок испушта порт у режим само за напајање и блокира све ПЦИе/УСБ набрајање података на нивоу хардверског контролера.

2. Виндовс 10/11 Про & Ентерприсе (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

Подразумевано на 99 процената Виндовс лаптоп рачунара (Делл, Леново, ХП, Сурфаце), БитЛоцкер је конфигурисан у "TPM-Only" (Транспарентни рад) режим: - Када притиснете дугме за напајање на а TPM-Only БитЛоцкер лаптоп, лаптоп се покреће директно на Виндовс закључани екран без тражења БитЛоцкер ПИН-а, што значи да је ТПМ чип аутоматски дешифровао главни кључ диск јединице (VMK) и учитао Виндовс ОС у РАМ. - На било ком лаптопу који користи дискретни ТПМ чип повезан са ЦПУ-ом преко матичне плоче SPI или LPC бус, нападач који отвара доњи поклопац и причвршћује логички анализатор од 50 долара на ТПМ чип MOSI/MISO пин чита ваш главни БитЛоцкер кључ за јачину звука отвореног текста (VMK) одмах са жице за 5 секунди (BitPixie / TPM-Sniffing) без познавања лозинке за Виндовс. - Покретање све до екрана за пријаву на Виндовс такође излаже Виндовс кернел, Ви-Фи стек и ПЦИе магистралу без надзора.

Како омогућити обавезни БитЛоцкер ПИН за покретање пре покретања (TPM + PIN) на Виндовс-у за 2 минута:¶

Додавање БитЛоцкер ПИН-а пре покретања присиљава хардвер TPM 2.0 чип за држање кључа за шифровање диска закључаног унутар његовог силикона отпорног на неовлашћено коришћење док физички не откуцате свој ПИН од 6 до 20 знакова пре покретања на црном БИОС/БитЛоцкер екрану: 1. Притисните Win + R, тип gpedit.msc и притисните Ентер (на Виндовс 10/11 Про, Ентерприсе или Едуцатион). 2. Идите до: Конфигурација рачунара > Административни шаблони > Виндовс компоненте > БитЛоцкер шифровање диск јединице > Дискови оперативног система. 3. Двапут кликните на „Захтевај додатну аутентификацију при покретању“, подесите је на Омогућено и подесите Конфигуриши ТПМ почетни ПИН: на Require startup PIN with TPM. 4. Отворите Администраторску командну линију или ПоверСхелл и поставите свој нови БитЛоцкер ПИН пре покретања (да бисте дозволили алфанумеричке приступне фразе, такође омогућите "Дозволи побољшане ПИН-ове за покретање" у истој фасцикли смерница групе):

manage-bde -protectors -add C: -TPMAndPIN

3. Линук (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

На Линук лаптопима (Ubuntu, Fedora, Debian, Arch, Qubes OS), стандардни LUKS шифровање целог диска већ захтева да унесете приступну фразу пре покретања пре него што се диск откључа, што зауставља пасивно њушкање ТПМ магистрале. Међутим, стандардне инсталације Линука напуштају /boot (initramfs и vmlinuz) нешифровани, што их чини рањивим на класични 2-минутни УСБ Евил Маид /boot замена осим ако не предузмете ова три корака очвршћавања: 1. Поставите јаку лозинку надзора за УЕФИ/БИОС и онемогућите екстерно покретање са УСБ-а/мрежа: - Унесите БИОС свог лаптопа (F2, F1, F10, или Del при укључивању) -> идите на Безбедност > Лозинка администратора/надзорника и поставите јаку приступну фразу тако да нападач не може да притисне F12 при покретању да бисте учитали УСБ стицк. 2. Омогући УЕФИ безбедно покретање + упиши прилагођене кључеве / потписане обједињене слике кернела (sbctl + UKI): - Алати попут sbctl (Arch, Fedora, Debian, Ubuntu) повезују Линук кернел, командну линију кернела и initramfs у једну криптографски потписану Уједињену слику кернела (UKI .efi) верификовано помоћу хардверског кључа УЕФИ Сецуре Боот (PK / KEK / db). Ако Евил Маид модификује један бајт вашег initramfs, УЕФИ фирмвер одбија да га покрене и приказује црвено упозорење Сецуре Боот Виолатион пре него што унесете своју ЛУКС лозинку. 3. Провери IOMMU / Kernel DMA Protection и Инсталирај USBGuard: - Проверите да ли је Линук кернел ИОММУ активан (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") и инсталирајте usbguard (sudo apt install usbguard) да блокирате ново уметнуто HID тастатуре (03:*:*) док је екран закључан.

Фаза 3: „Уради сам“ заптивке за откривање физичких неовлаштених радњи за путовања високог ризика („светлуцави лак за нокте“ и Haven)¶

Обавештајни службеници, истраживачи хардвера и истраживачки новинари користе две јефтине, неисправне технике физичког откривања неовлашћеног приступа:

1. Заптивач шрафова „Сјајни лак за нокте + макро фотографија“ (Uncounterfeitable Entropy)¶

Стандардне комерцијалне холографске налепнице „ВОИД ИФ РЕМОВЕД“ могу се купити на Амазону за 10 долара, огулити и заменити идентичном налепницом. Сјајни лак за нокте је математички неисправан: 1. Купите бочицу од 5 долара прозирног лака за нокте испуњену разнобојним металним шљокицама различитих величина. 2. Нафарбајте мало светлуцавог лака за нокте преко два удубљена завртња доњег поклопца (премошћивање главе шрафа са околним металом кућишта) и преко доњег шава вашег лаптопа (или преко траке која заптива подстављену торбу за лаптоп). 3. Када се осуши, направите макро фотографију у високој резолуцији сваког светлуцавог печата помоћу камере паметног телефона (која вам остаје у џепу). 4. Зашто нападач не може да га победи: Чак и ако нападач носи потпуно исти бренд светлуцавог лака за нокте, насумична 2Д геометријска оријентација, дистрибуција боја и углови преклапања 80 појединачних светлуцавих љускица формирају јединствен физички отисак прста. Када се вратите у хотелску собу, снимите другу фотографију заптивке завртња из истог угла и упоредите фотографије „пре“ и „после“ на свом телефону: ако је један шраф окренут за чак 5 степени, шара шрафова се приметно помера.

2. Претварање резервног старог Андроид телефона у физички сензор упада у хотелску собу (Haven апликација)¶

• Креирали су Пројекат Гуардиан и Фондација за слободу штампе, бесплатна Андроид апликација отвореног кода Haven: Keep Watch претвара сваки резервни Андроид телефон у детектор покрета, звука, вибрација (акцелерометар) и амбијенталног светла.
• Пре него што оставите свој лаптоп у сефу или фиоци хотелске собе, ставите резервни телефон да ради Haven тачно на врху вашег лаптопа унутар затворене фиоке или торбе: ако неко отвори фиоку (мењајући очитавање сензора амбијенталног светла) или додирне лаптоп, Haven нечујно снима фотографије, снима звук и шаље шифровано упозорење Сигнал на примарни телефон у вашем џепу.

3. Безбедан прелазак међународних граница и секундарне инспекције аеродрома¶

Ако путујете у иностранство кроз јурисдикције високог ризика где царински или гранични службеници могу да уклоне лаптопове и телефоне из видокруга: 1. Путујте са наменским лаптопом и телефоном „Цлеан Травел / Бурнер“: Никада немојте преносити своју примарну корпоративну радну станицу, доживотни трезор лозинки или ССХ кључеве преко граница високог ризика. Носите чист Цхромебоок или лаптоп са свежом сликом који садржи само одређене датотеке потребне за то путовање и приступајте осетљивом раду стриктно преко проверене сесије удаљене радне површине након доласка. 2. ** Потпуно искључите (S5) 10 минута пре уласка у царинску салу**: потпуно искључите лаптоп и телефон (Power Off) пре изласка из авиона тако да се ДРАМ потпуно распадне и биометријско откључавање (Face ID / Touch ID) је онемогућен у корист јаке алфанумеричке приступне фразе.

Регионални бројеви за хитне случајеве и протоколи агенција¶

Физичко петљање у компјутерски хардвер, постављање тајних хардверских кеилоггера или неовлашћену граничну/хотелску шпијунажу треба пријавити националним контраобавештајним службама и агенцијама за сајбер одбрану:

• Сједињене Државе и Канада:
• Хитна помоћ: Позовите 911 ако откријете уљеза у вашој хотелској соби или резиденцији.
• Федерални истражни биро (FBI) Контраобавештајно и сајбер одељење / IC3: Ако сте путник из САД, одбрамбени радник, истраживач или извршни директор чији је лаптоп или телефон неовлаштен у иностранству или у хотелу, пријавите инцидент свом локалном Одреду за контраобавештајну службу ФБИ-ја или на ic3.gov и cisa.gov/report (сачувајте оштећени кабл или лаптоп нетакнутим у Фарадаи торби за ФБИ форензичку лабораторијску анализу).
• Канадска безбедносно-обавештајна служба (CSIS) & Сајбер центар: Позовите 1-833-CYBER-88 или контактирајте ЦСИС (613-993-9620) за сумњу на неовлаштено неовлашћено коришћење страног физичког уређаја.
• Уједињено Краљевство:
• Хитна помоћ: Позовите 999 (или 101 за полицију).
• Национални центар за сајбер безбедност (NCSC) и Национално заштитно тело (NPSA): Влада Уједињеног Краљевства, академски и пословни путници треба да се придржавају Упутства НЦСЦ/НПСА за прекоморске путне уређаје и пријаве сумњу на неовлашћено физичко манипулисање хардвером преко ncsc.gov.uk.
• Европска унија:
• Хитна помоћ: Позовите 112 у свим државама чланицама ЕУ.
• Националне ЦСИРТ-ове / Агенције за унутрашњу безбедност (ANSSI Француска, BSI Немачка, AIVD/NCSC-NL Холандија): Пријавите сумњиви фирмвер или хардверске импланте свом националном ЦСИРТ-у ради хардверске СПИ/УЕФИ форензичке верификације.
• Аустралија и Нови Зеланд:
• Хитна помоћ: Позовите 000 у Аустралији или 111 на Новом Зеланду.
• Аустралијски центар за сајбер безбедност (ACSC / ASD) & АСИО Оутреацх: Позовите 1300 CYBER1 (1300 292 371).
• Индија и азијско-пацифички регион:
• Индија (CERT-In / Хитан случај): Позовите 112 за полицију или пријави безбедносне инциденте хардвера/фирмвера на incident@cert-in.org.in.

Често постављана питања¶

Зашто је мој Виндовс лаптоп изненада престао да се нормално покреће и затражио мој 48-цифрени БитЛоцкер кључ за опоравак одмах након што сам га оставио у хотелској соби?¶

Када је БитЛоцкер омогућен на Виндовс лаптопу, хардвер Модул поуздане платформе (`TPM 2.0`) мери криптографски СХА-256 хеш вашег БИОС/УЕФИ фирмвера (`PCR 0`), опциони РОМ (`PCR 2`), УЕФИ Боот Манагер (`PCR 4`), и стање безбедног покретања (`PCR 7`) сваки пут када се лаптоп укључи. Ако је неко додирнуо ваш лаптоп док сте били ван собе и он се изненада заустави на плавом екрану захтевајући ваш 48-цифрени кључ за опоравак БитЛоцкер-а, догодила се једна од две ствари: или је легитимно ажурирање БИОС-а управо инсталирано, или је неко променио редослед покретања БИОС-а, онемогућио безбедно покретање, покренуо екстерни УСБ стицк или изменио фирмвер покретача, што доводи до промене ТПМ ПЦР хешева и покреће БитЛоцкер-ово закључавање против неовлашћеног приступа. Немојте уносити свој 48-цифрени кључ за опоравак док не прегледате БИОС евиденције и ланац покретања, јер откуцавање кључа за опоравак у неовлашћено окружење за покретање открива ваш диск.

Ако закључам свој Виндовс или Мац екран (Win+L / Ctrl+Cmd+Q) пре него што одете у кафић или хотел, може ли неко ипак да га хакује преко УСБ-Ц порта?¶

Зависи од два подешавања: Прво, ако неко укључи а Лош УСБ ињектор за притисак тастера (`Flipper Zero` или `Rubber Ducky`) у закључани лаптоп, лажна тастатура може да укуца само у поље за лозинку на закључаном екрану (не може да отвори терминал док је екран закључан). Друго, међутим, ако лаптоп има старији Тхундерболт 3/4 или УСБ4 порт без омогућене Кернел ДМА заштите, специјализовани ПЦИе ДМА хардверски алат (`PCILeech`) може читати и писати системску РАМ меморију директно преко ПЦИе магистрале док је екран закључан. Омогућавање Кернел ДМА заштита у Виндовс-у (`System Information > Kernel DMA Protection: On`) или подешавање мацОС-а **Дозволи повезивање прибора -> Питај сваки пут** потпуно блокира приступ УСБ-Ц/Тхундерболт подацима док је екран закључан.

Да ли могу да скенирам УЕФИ / БИОС фирмвер своје матичне плоче из Линука или Виндовс-а да видим да ли је Евил Маид укључила имплантат фирмвера?¶

Да. Безбедносни алати отвореног кода које су развили Интел и истраживачи безбедности, посебно ЦХИПСЕЦ (`github.com/chipsec/chipsec`) и фвупд (`fwupdmgr security`) на Линук-у, омогућава вам да избаците своју живу СПИ флеш РОМ слику директно са матичне плоче (`chipsec_util spi dump rom.bin`), проверите да ли хардверска БИОС заштита од писања (`BIOS_CNTL` `BLE`/`BWE` битови и `PR0-PR4` Регистри заштићеног опсега) је правилно закључан и упоредите ваш СПИ флеш криптографски хеш са званичном БИОС сликом произвођача.

Да ли је безбедно закључати свој лаптоп или хардверски крипто новчаник у електронском сефу хотелске собе?¶

Никада се не ослањајте на сеф са електронском тастатуром стандардне хотелске собе да бисте се заштитили од напада Зле служавке. Скоро сваки хотелски електронски сеф има универзалну механичку премосницу сакривену иза пластичне ознаке логотипа на предњој плочи, као и фабрички главни код за поништавање (`000000` или `999999`) познат хотелском особљу. Ако вам је сеф у хотелској соби једина опција, ставите искључени лаптоп у а серијализована сигурносна торба са очигледним неовлашћењем (или нанесите фотографисани печат лака за нокте преко шава) тако да ћете одмах знати да ли је ваш уређај додирнут.

Шта је „хибернација (S4)“ против „Спавање (S3 / S0ix)", и да ли хибернација штити од РАМ / ДМА напада Евил Маид?¶

Када уђе лаптоп спавај (`S3` или `S0ix`), РАМ чипови остају укључени и држе ваше дешифроване кључеве за шифровање диска у нестабилној меморији. Када лаптоп уђе у труе хибернација (`S4`), оперативни систем уписује садржај РАМ меморије у шифровану датотеку хибернације (`hiberfil.sys` или шифрована замена) на шифрованом ССД-у, чисти кључеве за шифровање главног диска и потпуно прекида сву електричну енергију матичне плоче и РАМ-а (баш као потпуно гашење). Стога, оба **Потпуно искључивање (`S5`)** и **Хибернација (`S4`) на диску заштићеном БитЛоцкер ПИН-ом пре покретања или ЛУКС приступном фразом** штите вашу РАМ меморију од ДМА напада и напада хладног покретања, под условом да безбедно покретање и БИОС лозинка спречавају `/boot` петљање.

Повезани водичи¶

• Јавни блокатор података киоска за пуњење (УСБ кондом) и БадУСБ ХИД ињекција
• Закључавање кључа за опоравак БитЛоцкер, ФилеВаулт и ЛУКС шифровање и ресетовање ТПМ-а
• Цигла за ажурирање БИОС-а и УЕФИ фирмвера, губитак напајања и Дуал-БИОС Фласхбацк
• Украден лаптоп или телефон: даљинско брисање и закључавање налога
• Одлив новчаника криптовалута и компромис са семенском фразом
• Бројеви за хитне случајеве по земљама

Извори и службена упутства¶

• Национални институт за стандарде и технологију (NIST) (Сједињене Америчке Државе): Специјална публикација 800-147Б (Смернице за заштиту БИОС-а за сервере и радне станице) и СП 800-155 (Смернице за мерење интегритета БИОС-а).
• Агенција за националну безбедност (NSA) & Агенција за сајбер безбедност и безбедност инфраструктуре (CISA) (Сједињене Америчке Државе): * Учвршћивање УЕФИ безбедног покретања, модул поуздане платформе (TPM 2.0) Конфигурација ПИН-а пре покретања и ублажавање Тхундерболт/ПЦИе директног приступа меморији (DMA) Напади*.
• Национални центар за сајбер безбедност (NCSC) и Национално заштитно тело (NPSA) (Уједињено Краљевство): Безбедност физичког уређаја за ланац снабдевања и путовања у иностранство, печати против неовлашћеног отварања и провера интегритета покретања.
• Мицрософт хардверска безбедносна документација и Линук кернел IOMMU / fwupd Спецификација безбедности хоста (HSI): ДМА заштита језгра (VT-d / AMD-Vi) и БитЛоцкер противмере против дискретног откривања ТПМ магистрале.