Fysisk enhetsmanipulering ('Evil Maid'-attack): obevakad datorinspektion och DMA-härdning¶

Att återvända till ett hotellrum, tullens sekundära inspektionsområde, konferensrum med högtalare eller delat coworkingbord för att upptäcka att din bärbara dator, smartphone eller hårdvaruplånbok för kryptovaluta berördes, flyttades, väcktes ur sömnen eller öppnades när du var utom synhåll, är en fysisk säkerhetsincident med hög insats som är känd inom kryptografi och kontraintelligens som en "Security Attack"**E Rutkowska). En klassisk mjukvarubrandvägg eller antivirusprogram förutsätter att angriparen befinner sig på andra sidan internet; en Evil Maid-angripare har fysisk praktisk tillgång till din hårdvara i 2 till 30 minuter medan du är borta på frukost, på ett möte eller fängslad i ett inspektionsrum. Beroende på angriparens förfining räcker det med 90 sekunders fysisk åtkomst för att koppla in en BadUSB keystroke-injection rubber ducky eller PCIe/Thunderbolt Direct Memory Access (DMA) leech-enhet i en sovande bärbar dator, fäst en $15 CH341A SPI-flashprogrammerare på moderkortets BIOS-chip eller sniffa den okrypterade LPC/SPI TPM-buss, byt ut din USB-C-laddningskabel mot en trådlös keylogger-implantatkabel (O.MG Cable), eller ersätt den okrypterade /boot partition (initramfs) så att den fångar din fulldiskkrypteringslösenord nästa gång du skriver den. För USB-laddningskioskattacker på flygplatser, kontakta offentliga laddningskioskens datablockerare och BadUSB HID-injektion; om din BitLocker-, FileVault- eller LUKS-enhet plötsligt ber om en återställningsnyckel vid start efter att någon rört din bärbara dator, se BitLocker-, FileVault- och LUKS-krypteringsnyckellåsning och TPM-återställning; och om din enhet togs permanent, byt till stulen bärbar dator eller telefon med fjärrkontroll och låsning av konto. Om du är i omedelbar fysisk fara eller står inför olaglig frihetsberövande, ring ditt lokala nödnummer (911 i USA och Kanada, 112 över hela Europeiska unionen, 999 i Storbritannien) eller konsultera vår katalog över internationella nödnummer.

Gör det här nu¶

1. Skriv INTE din heldiskkryptering (BitLocker / LUKS / FileVault) lösenordsfras, OS-inloggningslösenord eller huvudlösenord till den misstänkta bärbara datorn om den plötsligt ber om ett lösenord eller återställningsnyckel efter att ha lämnats obevakad:
2. Den klassiska Evil Maid-attacken ersätter den okrypterade starthanteraren eller initramfs bild på en bärbar dator som saknar uppmätt start/säker start (eller kopplar in en genomskinlig USB-keylogger-dongel för hårdvara mellan ditt tangentbord/docka och den bärbara datorn) så att nästa gång du skriver LUKS eller BitLocker lösenfras, den trojaniserade starthanteraren registrerar din klartextlösenfras och sänder den eller döljer den på disken.
3. Innan du rör vid tangentbordet, utför en 60-sekunders extern fysisk inspektion av alla portar, kablar och chassiskruvar under telefonens LED-ficklampa:
4. Koppla ur och inspektera alla USB-C-, USB-A-, HDMI-, Ethernet- och strömkabel som är anslutna till den bärbara datorn eller på ditt skrivbord. Angripare byter ofta ut ett offers vanliga vita Apple- eller svarta USB-C-laddningskabel mot en identiskt utseende O.MG Cable / USB Ninja kabel (som innehåller en dold Wi-Fi-åtkomstpunkt och mikrokontroller gömd inuti USB-C-kontaktskalet som injicerar tangenttryckningar och loggar trafik).
5. Vänd den bärbara datorn upp och ner och inspektera skruvarna och gummifötterna på bottenkåpan: Leta efter fräscha mikroskopiska metallgrader på P5 Pentalobe, Torx T5, eller Phillips skruvhuvuden, saknade skruvhålstätningar eller en nedre hörnsöm som inte sitter jämnt eftersom chassit hastigt öppnades för att fästa en intern SPI-blixtklämma eller M.2 PCIe-implantat.
6. Kontrollera om din bärbara dator var kvar i "Sleep / Standby" (S3 / S0ix Modern Standby)" kontra "Helt avstängd (S5 / Viloläge S4)" utan uppsikt:
7. Om din bärbara dator bara låg i sömn (lock stängt) när angriparen kom åt den: Din heldiskkryptering (BitLocker, FileVault, LUKS) huvudvolymkrypteringsnyckel (VMK) satt dekrypterad i vanlig text inuti din bärbara dators flyktiga DRAM minneschips hela tiden. En angripare med en Thunderbolt/USB4 DMA-enhet (på äldre opatchade system), en kallstartsatt RAM-frysningsattack eller en känd förbikoppling av låsskärmen kunde läsa aktivt minne utan att känna till ditt lösenord.
8. Om du misstänker att den sovande bärbara datorn har manipulerats: Håll den fysiska strömknappen nedtryckt i 10 hela sekunder för att tvinga en omedelbar hård avstängning (tömning av flyktiga DRAM-nycklar) istället för att öppna locket och logga in.
9. Starta från en känd, ren, skrivskyddad extern Live USB (Ubuntu Live / Tails / SystemRescue hålls på din person hela tiden) för att inspektera den interna enhetens okrypterade /boot och EFI System Partition (ESP) hash:
10. Om du kör Linux med LUKS eller Windows med BitLocker, uppstart från ett rent externt USB-minne på en separat eller verifierad maskin låter dig hasha in varje fil /boot/efi/ (ESP) och /boot/initramfs-* (sha256sum) och kontrollera om partitionsändringens tidsstämplar (stat) ändrades under den exakta 2-timmarsperioden du var ute från ditt hotellrum.
11. Inspektera OS-händelseloggar (Windows Event Viewer, macOS unified log, Linux journalctl) från en säker skrivskyddad miljö för att se om locket var öppet, en USB-enhet satt i eller om maskinen startade om medan du var borta:
12. Varje modernt operativsystem registrerar en oföränderlig hårdvarutidsstämpel ner till millisekund närhelst ACPI Lock Switch öppnas, vaknar systemet från viloläge (Kernel-Power Event ID 42 / 107 på Windows, Wake reason: EC.LidOpen på macOS), eller en ny USB VID:PID enheten räknas upp på bussen.
13. Om du är ett högriskmål (journalist, försvarsentreprenör, verkställande direktör, människorättsadvokat eller undertecknare av kryptokassa) och hittar bevis på fysisk öppning av chassit, oväntade BitLocker/TPM PCR-återställningar eller obehöriga väckningshändelser när du inte är i din besittning, behandla hårdvaran som bränd (Quarantine Device):
14. Anslut inte den misstänkta bärbara datorn till ditt företags VPN eller hem Wi-Fi. Använd en separat, ren smartphone (som stannade i fickan) för att rotera dina referenser, återkalla aktiva sessioner (kapning av sessionskakor och återkallande av lösenord), och överföra pengar eller hemligheter med ren hårdvara.

Beslutsträd: bedömning av en obevakad bärbar dator eller enhet efter misstänkt fysisk åtkomst¶

Följ det här arbetsflödet för att avgöra om din obevakade enhet var fysiskt tillgänglig eller modifierad och vilken nivå av åtgärd som krävs:

flowchart TD
    Start["Laptop-, telefon- eller hårdvaruplånbok lämnas obevakad i hotellrum, gränsinspektion eller arbetsplats"] --> StateCheck{"Vilket strömtillstånd var den bärbara datorn i när du inte ägde den?"}

    StateCheck -->|"Sömn/standby (lock stängt, RAM-drivet) ELLER olåst"| HighRiskState["HÖG RISK: Diskkrypteringsnycklar och sessionscookies fanns i RAM (mottaglig för BadUSB, Lock-Screen Bypass eller DMA/RAM-extraktion)"]

    StateCheck -->|"Helt avstängd (avstängning av kall S5)"| ColdState["LÄGRE RAM RISK: Nycklar fanns inte i RAM, så angriparen måste antingen ändra Bootloader (/boot / EFI), Flash SPI BIOS eller Plant Hardware Keylogger"]

    HighRiskState --> PhysCheck["STEG 1: Inspektera yttre skruvar, bottensöm, USB-portar och laddningskablar under en stark ficklampa (återanvänd inte obevakade kablar)"]
    ColdState --> PhysCheck

    PhysCheck --> BootBehavior{"Vad händer när du inspekterar bootintegritet/TPM-mätningar?"}

    BootBehavior -->|"BitLocker/TPM kräver plötsligt 48-siffrig återställningsnyckel ELLER säker start visar inaktiverad/förändrad"| BootTamper["BEKRÄFTAD ÄNDRING AV STARTSÖK: TPM PCR (0, 2, 4, 7) upptäckt modifierad BIOS Firmware, Option ROM eller EFI Bootloader"]

    BootBehavior -->|"Startar normalt (eller inspekterad skrivskyddad via extern live-USB)"| LogCheck["STEG 2: Granska ACPI Lock-Open / Wake Logs & USB-anslutningshistorik under ditt frånvarofönster"]

    LogCheck -->|"Loggar visar locket öppet, USB-enhet ansluten eller oförklarlig omstart medan du var borta"| ConfirmedTouch["BEKRÄFTAD OBEHÖRIG FYSISK ÅTKOMST"]
    LogCheck -->|"Noll väckningshändelser, noll omstartsluckor, intakta skruvtätningar och verifierade /starthaschar"| CleanPass["Inga bevis för elektronisk väckning eller startmodifiering -> Framtvinga BIOS-lösenord + Kernel DMA-skydd + Fullständig avstängningspolicy"]

    BootTamper --> BurnDevice["SKRIV INTE LÖSENORD PÅ DENNA MASKIN: Karantän hårdvara, återkalla alla molnsessioner/SSH-nycklar från Clean Phone och Image Drive forensiskt"]
    ConfirmedTouch --> BurnDevice

De 5 tekniska vektorerna för en "evil Maid"-attack¶

För att veta vilka rättsmedicinska ledtrådar du ska leta efter, förstå de fem faktiska teknikerna som används under fysiska praktiska attacker mot bärbara datorer och hårdvaruplånböcker:

Fas 1: Rättsmedicinsk inspektion av en misstänkt obevakad bärbar dator (innan du loggar in)¶

Om du återvänder till ditt hotellrum eller får tillbaka din bärbara dator efter en gränskontroll och vill veta om någon har öppnat, vaknat eller kopplat in en enhet i den medan du var borta, utför dessa kontroller i ordning:

1. Steg 1: Granskning av fysisk port, kabel och chassiskruv¶

1. Sätt alla kablar som lämnats kvar i rummet i karantän:
2. En O.MG Cable eller USB Ninja ser till 100 procent omöjlig att skilja från en äkta Apple USB-C-vävd kabel, Anker-kabel eller Dell USB-C-adapter, ända ner till de laseretsade serienumren på kontakthylsan.
3. Om du lämnade en USB-C-kabel, elbricka eller USB-hubb obevakad i en högriskmiljö, sluta att ansluta dess dataledningar till din bärbara dator; antingen byt ut den mot en känd kabel från din förseglade påse eller placera en enbart USB-datablockerare (USB kondom) i serie med den.
4. Inspektera skruvarna och sömmen under ficklampan under rakande ficklampa:
5. Håll din smartphone-ficklampa i en ytlig 15-graders vinkel ("raking light") över varje skruvhuvud på undersidan av din bärbara dator.
6. Fabriksskruvar som åtdragits en gång vid monteringsfabriken har ren, enhetlig anodiserad beläggning inuti stjärn-/korsskårorna. En skruv som skruvades loss i ett hotellrum med en stålbit visar ljusa silvermetallrepor inuti skruvfördjupningen, stört blått/rött gänglåsdamm eller en lätt snedställning av den nedre aluminiumplattan längs de bakre ventilklämmorna.

2. Steg 2: Kontrollera OS Wake-, Lock-Open- och Reboot-loggar (Blev den bärbara datorn påslagen när du var borta?)¶

Notera det exakta tidsfönstret du var borta från den bärbara datorn (till exempel 12:15 PM to 01:45 PM). Även om en angripare startar ett Live USB-minne, en oväntad lucka eller kallstart i ditt operativsystems drifttid, eller en ACPI Lid-Open-händelse under det fönstret, bevisar att den bärbara datorn var fysiskt manipulerad:

På macOS (MacBook Air / MacBook Pro):¶

Öppna Terminal och kör det här kommandot för att visa varje enskild Lock Open, Lock Close, Wake, Sleep och Power-On/Shutdown hårdvaruhändelser från System Management Controller (SMC / PMU) under de senaste 24 timmarna:

pmset -g log | grep -E "Wake|Sleep|LidOpen|LidClose|Start|Shutdown|DarkWake" | tail -n 60

log show --predicate 'eventMessage contains "USB" or process == "kernel"' --last 4h | grep -iE "usb|appleusb|hid"

På Linux (Ubuntu, Fedora, Debian, Arch, RHEL):¶

1. Kontrollera systemd-journald för eventuella start-/avstängningshändelser eller lock/sömnövergångar under din frånvaro:

   journalctl --list-boots -n 10
   journalctl --since "4 hours ago" | grep -iE "lid|suspend|wake|usb|new high-speed|hid-generic|thunderbolt|pcie"
   

2. Verifiera att du är okrypterad /boot och /boot/efi partitioner modifierades INTE medan maskinen var avstängd: Kontrollera exakt Modify och Change (ctime) inode tidsstämplar för varje kärnbild, initramfs, och GRUB EFI binär inuti /boot:

   find /boot -type f -exec stat -c "%y %z %n" {} + | sort
   

   (Om någon fil inuti /boot eller /boot/efi har en Change eller Modify tidsstämpel när du var ute ur rummet, eller sedan senast apt/dnf kärnuppdatering, din starthanterare manipulerades.)

På Windows 10/11:¶

Öppna ett Administrator PowerShell-fönster och fråga systemhändelseloggen för varje Power-On (ID 12), Avstängning (ID 13), Sova (ID 42), Vakna ur sömn (ID 1 / ID 107), och oväntat strömförlust (ID 41) under de senaste 24 timmarna:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=@(1, 12, 13, 41, 42, 107); StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-Table -AutoSize -Wrap

Get-WinEvent -LogName "Microsoft-Windows-DriverFrameworks-UserMode/Operational" -ErrorAction SilentlyContinue | Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-12) } | Select-Object TimeCreated, Id, Message

Fas 2: Varför Apple Silicon Macs & Modern TPM 2.0 + PIN System är svårare att "evil Maid" (och hur man konfigurerar dem rätt)¶

Alla bärbara datorer är inte lika sårbara för fysisk manipulering. Så här fungerar moderna hårdvarurötter och de exakta inställningarna du måste aktivera:

1. Apple Silicon MacBooks (M1, M2, M3, M4)¶

Apple Silicon Mac-datorer är bland de mest Evil-Maid-resistenta bärbara datorer för konsumenter som någonsin byggts när ** stängts av (S5)** och konfigurerad med FileVault + Firmware/Recovery Security: - Start-ROM etsat i oföränderligt kisel inuti M-seriens SoC (Hardware Root of Trust). Varje steg i stövelkedjan (iBoot -> macOS Kernel -> Kryptografiskt signerad systemvolym SSV) verifieras av Apples hårdvarunyckel före körning. - Lagrings-NAND-chips är hårdvarukrypterade av Secure Enclave (AES-XTS) med hjälp av nycklar kopplade till ditt FileVault-lösenord med hårdvarugränser för anti-hammering. - De tre obligatoriska inställningarna du måste verifiera på din MacBook just nu: 1. FileVault är PÅ: Systeminställningar > Sekretess och säkerhet > FileVault -> PÅ. 2. Inaktivera automatisk inloggning och Kräv lösenord omedelbart vid viloläge: Systeminställningar > Låsskärm -> Kräv lösenord efter att skärmsläckaren startar eller visningen stängs av -> Omedelbart. 3. Blockera obehöriga USB-/Thunderbolt-tillbehör när de är låsta: Gå till Systeminställningar > Sekretess och säkerhet > Tillåt tillbehör att ansluta och ställ in den på "Be om nya tillbehör" eller "Fråga varje gång" (aldrig "Automatiskt när upplåst" eller "Alltid"). När inställt på "Fråga varje gång", kopplar du in en BadUSB tangenttrycksinjektor eller Thunderbolt DMA-verktyg i en låst MacBook släpper porten till endast strömläge och blockerar all PCIe/USB-datauppräkning på hårdvarukontrollernivå.

2. Windows 10/11 Pro & Enterprise (BitLocker + Pre-Boot TPM PIN + Kernel DMA Protection)¶

Som standard på 99 procent av Windows bärbara datorer (Dell, Lenovo, HP, Surface), BitLocker är konfigurerad i "TPM-Only" (Transparent drift) läge: - När du trycker på strömbrytaren på a TPM-Only BitLocker-bärbar dator, den bärbara datorn startar direkt till Windows låsskärm utan att be dig om en BitLocker-PIN, vilket innebär att TPM-chippet automatiskt dekrypterade huvudenhetsnyckeln (VMK) och laddade Windows OS till RAM. - På vilken bärbar dator som helst som använder ett diskret TPM-chip anslutet till processorn via moderkortets SPI eller LPC bus, en angripare som öppnar bottenluckan och klämmer fast en logikanalysator på 50 $ på TPM-chippets MOSI/MISO pin läser din klartext BitLocker Volume Master Key (VMK) direkt från kabeln på 5 sekunder (BitPixie / TPM-Sniffing) utan att känna till ditt Windows-lösenord. - Att starta upp hela vägen till Windows-inloggningsskärmen exponerar också Windows-kärnan, Wi-Fi-stacken och PCIe-bussen utan uppsikt.

Hur man aktiverar en obligatorisk BitLocker Pre-Boot Startup PIN (TPM + PIN) på Windows på 2 minuter:¶

Att lägga till en Pre-Boot BitLocker PIN tvingar hårdvaran TPM 2.0 chip för att hålla diskkrypteringsnyckeln låst inuti dess manipuleringssäkra kisel tills du fysiskt skriver din 6-till-20-teckens PIN-kod för start på den svarta BIOS/BitLocker-skärmen: 1. Tryck Win + R, typ gpedit.msc och tryck på Retur (på Windows 10/11 Pro, Enterprise eller Education). 2. Navigera till: Datorkonfiguration > Administrativa mallar > Windows-komponenter > BitLocker Drive Encryption > Operativsystemsenheter. 3. Dubbelklicka på "Kräv ytterligare autentisering vid start", ställ in den på Aktiverad och ställ in Konfigurera TPM-start-PIN: till Require startup PIN with TPM. 4. Öppna en Administratörskommandotolk eller PowerShell och ställ in din nya BitLocker-PIN före start (för att tillåta alfanumeriska lösenfraser, aktivera även "Tillåt förbättrade PIN-koder för start" i samma grupprincipmapp):

manage-bde -protectors -add C: -TPMAndPIN

3. Linux (LUKS2 + Secure Boot + Unified Kernel Images (UKI) + BIOS Password)¶

På bärbara Linux-datorer (Ubuntu, Fedora, Debian, Arch, Qubes OS), standard LUKS Heldiskkryptering kräver redan att du skriver in en lösenordsfras före start innan enheten låses upp, vilket stoppar passiv TPM-bussniffning. Standardinstallationer av Linux lämnar dock /boot (initramfs och vmlinuz) okrypterade, vilket gör dem sårbara för den klassiska 2-minuters USB Evil Maid /boot utbyte om du inte tar dessa tre härdningssteg: 1. Ställ in ett starkt UEFI/BIOS Supervisor-lösenord och inaktivera extern USB/nätverksstart: - Ange din bärbara dators BIOS (F2, F1, F10, eller Del vid start) -> gå till Säkerhet > Administratörs-/administratörslösenord och ställ in en stark lösenfras så att en angripare inte kan trycka på F12 vid uppstart för att ladda ett USB-minne. 2. Aktivera UEFI Secure Boot + Registrera anpassade nycklar / Signerade Unified Kernel Images (sbctl + UKI): - Verktyg som sbctl (Arch, Fedora, Debian, Ubuntu) paketera Linux-kärnan, kärnans kommandorad och initramfs till en enda kryptografiskt signerad Unified Kernel Image (UKI .efi) verifierad av din UEFI Secure Boot-hårdvarunyckel (PK / KEK / db). Om en Evil Maid ändrar en enda byte av din initramfsUEFI-firmware vägrar att starta upp den och visar en röd Secure Boot Violation-varning innan du någonsin skriver ditt LUKS-lösenord. 3. Verifiera IOMMU / Kernel DMA Protection och Installera USBGuard: - Kontrollera att Linux-kärnan IOMMU är aktiv (dmesg | grep -iE "DMAR|IOMMU|AMD-Vi") och installera usbguard (sudo apt install usbguard) för att blockera nyinfogade HID tangentbord (03:*:*) medan skärmen är låst.

Fas 3: Gör-det-själv fysiska manipulationsdetekteringstätningar för högriskresor ("Glitter Nagellack" & Haven)¶

Underrättelseofficerare, hårdvaruforskare och undersökande journalister använder två billiga, oförglömliga fysiska manipulationsdetekteringstekniker:

1. Skruvtätningen "Glitter Nagellack + Macro Photo" (Uncounterfeitable Entropy)¶

Standard kommersiella "VOID IF REMOVED" holografiska klistermärken kan köpas på Amazon för $10, skalas av och ersättas med ett identiskt klistermärke. Glitternagellack är matematiskt oförglömligt: 1. Köp en flaska för 5 USD med klart nagellack fyllt med flerfärgade metallglitterflingor i flera storlekar. 2. Måla en liten klick glitternagellack över två nedsänkta skruvar på bottenlocket (som överbryggar skruvhuvudet till den omgivande metallen på chassit) och över bottensömmen på din bärbara dator (eller över tejp som försluter din vadderade laptopväska). 3. När den har torkat, ta ett högupplöst makrofoto av varje glittertätning med din smartphonekamera (som stannar i fickan). 4. Varför en angripare inte kan besegra den: Även om angriparen bär exakt samma märke av glitternagellack, bildar den slumpmässiga 2D-geometriska orienteringen, färgfördelningen och överlappningsvinklarna för 80 individuella glitterflingor ett unikt fysiskt fingeravtryck. När du återvänder till ditt hotellrum, ta ett andra foto av skruvtätningen från samma vinkel och jämför "Före" och "Efter"-bilderna på din telefon: om en enstaka skruv vrids med till och med 5 grader, ändras glittermönstret märkbart.

2. Förvandla en extra gammal Android-telefon till en fysisk hotellrumsintrångssensor (Haven app)¶

• Skapad av Guardian Project och Freedom of the Press Foundation, den kostnadsfria Android-appen med öppen källkod Haven: Keep Watch gör vilken extra Android-telefon som helst till en detektor för rörelse, ljud, vibration (accelerometer) och omgivande ljus.
• Innan du lämnar din bärbara dator i ett värdeskåp eller en låda på hotellrummet, placera reservtelefonen igång Haven precis ovanpå din bärbara dator inuti den stängda lådan eller väskan: om någon öppnar lådan (ändrar avläsningen av omgivande ljussensor) eller rör vid den bärbara datorn, Haven tar tyst foton, spelar in ljud och skickar en krypterad Signal-varning till den primära telefonen i fickan.

3. Passa internationella gränser och sekundära flygplatsinspektioner på ett säkert sätt¶

Om du reser internationellt genom högriskjurisdiktioner där tull- eller gränstjänstemän kan ta bärbara datorer och telefoner utom synhåll: 1. Resa med en dedikerad "Clean Travel / Burner" bärbar dator och telefon: Bär aldrig din primära företagsarbetsstation, livstidslösenordsvalv eller SSH-nycklar över högriskgränser. Bär en ren Chromebook eller nybildad bärbar dator som bara innehåller de specifika filer som behövs för den resan, och få tillgång till känsligt arbete strikt över en autentiserad fjärrskrivbordssession efter ankomsten. 2. Stäng av helt (S5) 10 minuter innan du går in i tullhallen: Stäng av den bärbara datorn och telefonen helt (Power Off) innan du går av flygplanet så att DRAM förfaller helt och biometrisk låsning (Face ID / Touch ID) är inaktiverat till förmån för en stark alfanumerisk lösenfras.

Regionala nödnummer och byråprotokoll¶

Fysisk manipulering av datorhårdvara, plantering av hemliga nyckelloggare för hårdvara eller obehörigt gräns-/hotellspionage bör rapporteras till nationella kontraspionage- och cyberförsvarsbyråer:

• USA och Kanada:
• Nödtjänst: Slå 911 om du upptäcker en inkräktare i ditt hotellrum eller bostad.
• Federal Bureau of Investigation (FBI) Division för kontraspionage och cyber / IC3: Om du är en amerikansk resenär, försvarsentreprenör, forskare eller chef vars bärbara dator eller telefon har manipulerats utomlands eller på ett hotell, rapportera händelsen till din lokala FBI Field Office Counterintligence Squad eller på ic3.gov och cisa.gov/report (bevara den manipulerade kabeln eller den bärbara datorn orörd i en Faraday-väska för FBI:s kriminaltekniska laboratorieanalys).
• Kanadensisk säkerhetsunderrättelsetjänst (CSIS) & Cyber Centre: Ring 1-833-CYBER-88 eller kontakta CSIS (613-993-9620) för misstänkt manipulering av främmande fysisk enhet.
• Storbritannien:
• Nödtjänst: Slå 999 (eller 101 för polisen).
• National Cyber Security Center (NCSC) & National Protective Security Authority (NPSA): Storbritanniens regering, akademiker och företagsresenärer bör följa NCSC / NPSA Overseas Travel Device Guidance och rapportera misstänkt fysisk hårdvarumanipulation via ncsc.gov.uk.
• Europeiska unionen:
• Nödtjänst: Slå 112 i alla EU:s medlemsländer.
• Nationella CSIRTs/inhemska säkerhetsbyråer (ANSSI Frankrike, BSI Tyskland, AIVD/NCSC-NL Nederländerna): Rapportera misstänkt fast programvara eller hårdvaruimplantat till din nationella CSIRT för kriminalteknisk verifiering av hårdvara SPI/UEFI.
• Australien och Nya Zeeland:
• Nödtjänst: Slå 000 i Australien eller 111 i Nya Zeeland.
• Australian Cyber Security Center (ACSC / ASD) & ASIO Outreach: Ring 1300 CYBER1 (1300 292 371).
• Indien och Asien-Stillahavsområdet:
• Indien (CERT-In / Nödläge): Ring 112 för polis eller rapportera säkerhetsincidenter för hårdvara/firmware till incident@cert-in.org.in.

Vanliga frågor¶

Varför slutade plötsligt min bärbara Windows-dator att starta normalt och bad om min 48-siffriga BitLocker-återställningsnyckel direkt efter att jag lämnade den i mitt hotellrum?¶

När BitLocker är aktiverat på en bärbar Windows-dator, hårdvaran Trusted Platform Module (`TPM 2.0`) mäter den kryptografiska SHA-256-hash för din BIOS/UEFI-firmware (`PCR 0`), alternativ-ROM (`PCR 2`), UEFI Boot Manager (`PCR 4`), och Säker startstatus (`PCR 7`) varje gång den bärbara datorn slås på. Om någon rörde vid din bärbara dator när du var ute ur rummet och den plötsligt stannar vid en blå skärm som kräver din 48-siffriga BitLocker-återställningsnyckel, hände en av två saker: antingen en legitim BIOS-uppdatering installerad, eller någon ändrade din BIOS-startordning, inaktiverade Secure Boot, startade ett externt USB-minne eller modifierade din bootloader-firmware, vilket gör att TPM PCR-hasharna ändras och utlöser BitLockers låsning mot sabotage. Ange inte din 48-siffriga återställningsnyckel tills du inspekterar BIOS-loggarna och startkedjan, eftersom att skriva in din återställningsnyckel i en manipulerad startmiljö exponerar din enhet.

Om jag låser min Windows- eller Mac-skärm (Win+L / Ctrl+Cmd+Q) innan du går iväg på ett kafé eller hotell, kan någon fortfarande hacka den via USB-C-porten?¶

Det beror på två inställningar: För det första, om någon kopplar in en BadUSB tangenttryckningsinjektor (`Flipper Zero` eller `Rubber Ducky`) på en låst bärbar dator kan det falska tangentbordet bara skriva in i lösenordsrutan på låsskärmen (det kan inte öppna en terminal medan skärmen är låst). För det andra, men om den bärbara datorn har en äldre Thunderbolt 3/4- eller USB4-port utan Kernel DMA-skydd aktiverat, ett specialiserat PCIe DMA-hårdvaruverktyg (`PCILeech`) kan läsa och skriva system-RAM direkt genom PCIe-bussen medan skärmen är låst. Aktiverar Kernel DMA-skydd i Windows (`System Information > Kernel DMA Protection: On`) eller ställa in macOS **Tillåt tillbehör att ansluta -> Fråga varje gång** blockerar USB-C/Thunderbolt-dataåtkomst helt medan skärmen är låst.

Kan jag skanna mitt moderkorts UEFI/BIOS-firmware inifrån Linux eller Windows för att se om en Evil Maid flashade ett firmware-implantat?¶

Ja. Säkerhetsverktyg för öppen källkod för fast programvara utvecklade av Intel och säkerhetsforskare, specifikt CHIPSEC (`github.com/chipsec/chipsec`) och fwupd (`fwupdmgr security`) på Linux, låter dig dumpa din live SPI flash ROM-bild direkt från moderkortet (`chipsec_util spi dump rom.bin`), verifiera om hårdvara BIOS Write Protection (`BIOS_CNTL` `BLE`/`BWE` bitar och `PR0-PR4` Protected Range registers) är ordentligt låst och jämför din SPI-flash kryptografiska hash med den officiella BIOS-avbilden från tillverkaren.

Är det säkert att låsa min laptop eller hårdvara kryptoplånbok i ett elektroniskt värdeskåp på hotellrum?¶

Lita aldrig på ett elektroniskt knappsatsskåp av standardhotellrum för att skydda mot en Evil Maid-attack. Nästan varje elektroniskt hotellskåp har ett universellt mekaniskt bypass-nyckelhål gömt bakom plastlogotypen på frontpanelen, samt en fabriksöverstyrningskod (`000000` eller `999999`) känd för hotellpersonalen. Om ett hotellrumsskåp är ditt enda alternativ, placera din avstängda bärbara dator i en manipuleringssäker serialiserad säkerhetsväska (eller applicera en fotograferad glitter-nagellacksförsegling över sömmen) så att du omedelbart vet om din enhet berördes.

Vad är "Hibernation (S4)" kontra "Sömn (S3 / S0ix)", och skyddar Hibernation mot RAM / DMA Evil Maid-attacker?¶

När en bärbar dator kommer in Sova (`S3` eller `S0ix`), RAM-kretsen förblir påslagen och håller dina dekrypterade diskkrypteringsnycklar i flyktigt minne. När en bärbar dator blir sann viloläge (`S4`), operativsystemet skriver innehållet i RAM-minnet till en krypterad vilofil (`hiberfil.sys` eller krypterad swap) på den krypterade SSD:n, rensar huvuddiskens krypteringsnycklar och bryter all ström till moderkortet och RAM-minnet helt (precis som en fullständig avstängning). Därför kan både **Fullständig avstängning (`S5`)** och **Hibernation (`S4`) på en enhet som skyddas av en förstart BitLocker-PIN eller LUKS-lösenordsfras** skyddar ditt RAM-minne mot DMA- och kallstartsattacker, förutsatt att Secure Boot och ett BIOS-lösenord förhindrar `/boot` manipulering.

Relaterade guider¶

• Offentlig laddningskioskens datablockerare (USB-kondom) och BadUSB HID-injektion
• BitLocker-, FileVault- och LUKS-krypteringsnyckellåsning och TPM-återställning
• BIOS- och UEFI-firmwareuppdatering, strömavbrott och Dual-BIOS Flashback
• Stulen bärbar dator eller telefon: fjärrrensning och kontolås
• Avlopp för kryptovaluta plånbok och kompromiss med kärnfraser
• Nödnummer per land

Källor och officiell vägledning¶

• National Institute of Standards and Technology (NIST) (USA): Specialpublikation 800-147B (BIOS-skyddsriktlinjer för servrar och arbetsstationer) & SP 800-155 (BIOS Integrity Measurement Guidelines).
• National Security Agency (NSA) & Cybersecurity and Infrastructure Security Agency (CISA) (USA): * Härdande UEFI Secure Boot, Trusted Platform Module (TPM 2.0) Konfiguration av PIN-kod före uppstart och dämpande Thunderbolt/PCIe Direct Memory Access (DMA) Attacker*.
• National Cyber ​​Security Center (NCSC) & National Protective Security Authority (NPSA) (Storbritannien): Supply Chain and Overseas Travel Physical Device Security, Tamper-evident Seals och Boot Integrity Verification.
• Microsoft Hardware Security Documentation & Linux Kernel IOMMU / fwupd Värdsäkerhetsspecifikation (HSI): Kernel DMA-skydd (VT-d / AMD-Vi) och BitLocker-motåtgärder mot diskret TPM-busssniffning.