Question Comment sécuriser mon ordinateur portable afin que le piratage par accès physique ne soit pas possible?


J'ai foiré mon système plus tôt, j'ai été accueilli avec un écran noir, lors du démarrage d'Ubuntu. Lorsque j'ai démarré mon ordinateur portable, j'ai sélectionné l'option de récupération dans le menu grub et j'ai choisi l'option racine Terminal. J'ai vu que je pouvais utiliser la commande add user, avec laquelle je pourrais probablement utiliser pour créer un utilisateur privilégié sur ma machine.

N'est-ce pas un problème de sécurité?

On aurait pu me voler mon ordinateur portable et au démarrage, choisir la récupération et ajouter un autre utilisateur, je suis alors trompé. Y compris mes données.

En y repensant, même si vous supprimez cette entrée d’une manière ou d’une autre, vous pouvez démarrer à partir d’un live-CD, obtenir un chroot en cours d'exécution et ensuite ajouter un autre utilisateur, avec les privilèges appropriés qui lui permettent de voir toutes mes données.

Si je configure le BIOS pour qu'il démarre uniquement en HD, sans USB, CD / DVD, démarrage réseau et définir un mot de passe BIOS, cela ne changera rien, car vous aurez toujours cette entrée de démarrage de récupération grub.

Je suis quasiment certain que quelqu'un de Chine, de Russie, ne peut pas pirater mon Ubuntu Trusty Tahr du réseau, car il est sécurisé comme ça. Mais si quelqu'un a un accès physique à ma machine, alors, voilà pourquoi je pose cette question. Comment puis-je sécuriser ma machine pour que le piratage via un accès physique ne soit pas possible?


Rapport d'erreur:


69
2017-09-21 07:51


origine


Cryptage intégral du disque et glitternailpolish pour vos vis. Qui ne le fait pas aujourd'hui? - mondjunge
@ByteCommander vous pouvez ajouter des utilisateurs root. Ajoutez simplement un autre utilisateur avec uid 0 à / etc / password. Je viens d'ajouter fred fred:x:0:0:fred,,,:/home/fred:/bin/bash et maintenant si je me connecte comme fred et courir whoami, Je reçois root - Josef
@ByteCommander ils devrait être. Les outils pour gérer des comptes comme adduser etc. ne vous laissera pas faire cela habituellement, mais juste en éditant /etc/passwd travaux. Etre un hacker signifie ignorer ce que vous devrait faire ;) - Josef
@ blade19899 Votre nouveau bogue sera sûrement refusé. Comparez ce existant: bugs.launchpad.net/ubuntu/+bug/283662 - Byte Commander
@ blade19899 Mon point plus général est que vous devez penser en termes de risques et de compromis, pas absolus. Je n'ai aucune idée de qui vous êtes ou de l'endroit où vous habitez, mais un vol de maison conduisant quelqu'un à utiliser efficacement vos données (au lieu d'essayer de décharger le matériel) semble un peu exagéré et peut-être moins préoccupant que le temps. l'argent ou même la perte de données qui pourrait résulter de l'absence d'options de récupération efficaces. C'est pourquoi avoir un terminal racine de secours est une bonne chose. Mais évidemment, cela ne veut pas dire que vous ne devriez pas regarder dans le chiffrement intégral du disque. - Relaxed


Réponses:


À mon avis, seul le chiffrement intégral du disque utilisant un algorithme puissant et, surtout, un bon mot de passe est la seule chose qui puisse sécuriser vos données stockées localement. Cela vous donne probablement une sécurité de 99,99%. Veuillez vous référer à l'un des nombreux guides sur la façon de procéder.


En plus de ça, c'est Pas possible pour sécuriser votre machine à partir d'un pirate expérimenté disposant d'un accès physique.

  • Mots de passe utilisateur / compte:
    Il est facile de créer un nouvel utilisateur admin si vous démarrez en mode de récupération, comme vous l'avez décrit vous-même, car vous obtenez un shell root sans que les mots de passe vous soient demandés.
    Cela peut ressembler à un problème de sécurité accidentel, mais est destiné à (qui aurait pensé cela?) À des cas de récupération, par exemple vous perdu votre mot de passe administrateur ou foiré le sudo commande ou autre chose vitale.

  • mot de passe root:
    Ubuntu n'a pas défini de mot de passe d'utilisateur root par défaut. Cependant, vous pouvez en définir un et on vous le demandera si vous démarrez en mode de récupération. Cela semble assez sécurisé, mais n’est toujours pas une solution sécurisée. Vous pouvez toujours ajouter le paramètre du noyau single init=/bin/bashvia GRUB avant de démarrer Ubuntu qui le lance en mode mono-utilisateur - qui est en fait un shell root sans mot de passe également.

  • Sécuriser le menu GRUB avec un mot de passe:
    Vous pouvez sécuriser vos entrées de menu GRUB pour qu'elles ne soient accessibles qu'après authentification, c'est-à-dire que vous pouvez refuser de démarrer le mode de récupération sans mot de passe. Cela empêche également de manipuler les paramètres du noyau. Pour plus d'informations, reportez-vous à la Site Grub2 / Passwords sur help.ubuntu.com. Cela ne peut être ignoré que si vous démarrez depuis un support externe ou connectez directement le disque dur à une autre machine.

  • Désactiver le démarrage à partir d'un média externe dans le BIOS:
    Vous pouvez définir l'ordre de démarrage et exclure généralement les périphériques du démarrage dans de nombreuses versions actuelles du BIOS / UEFI. Ces paramètres ne sont cependant pas sécurisés, car tout le monde peut accéder au menu de configuration. Vous devez également définir un mot de passe ici, mais ...

  • Mots de passe du BIOS:
    Vous pouvez également contourner les mots de passe du BIOS. Il existe plusieurs méthodes:

    • Réinitialisez la mémoire CMOS (où les paramètres du BIOS sont stockés) en ouvrant le boîtier de l'ordinateur et en retirant physiquement la batterie CMOS ou en définissant temporairement un cavalier "Clear CMOS".
    • Réinitialisez les paramètres du BIOS avec une combinaison de touches de service. La plupart des fabricants de cartes mères décrivent des combinaisons de touches dans leurs manuels de maintenance pour rétablir les valeurs par défaut des paramètres du BIOS, y compris le mot de passe. Un exemple serait de tenir ScreenUp tout en allumant le pouvoir, qui, si je me souviens bien, a débloqué une carte mère Acer avec le BIOS AMI une fois pour moi après que j'ai gâché mes paramètres d'overclocking.
    • Last but not least, il existe un ensemble de mots de passe par défaut qui semblent toujours fonctionner, indépendamment du mot de passe défini. Je ne l'ai pas testé, mais ce site en propose une liste, classée par fabricant.
      Merci à Rinzwind pour cette information et ce lien! 
  • Verrouille le boîtier de l'ordinateur / refuse l'accès physique à la carte mère et au disque dur:
    Même si tout le reste échoue, un voleur de données peut toujours ouvrir votre ordinateur portable, retirer le disque dur et le connecter à son propre ordinateur. Le monter et accéder à tous les fichiers non chiffrés est un jeu d'enfant. Vous devez le placer dans un boîtier sécurisé où vous pouvez être sûr que personne ne peut ouvrir l’ordinateur. Ceci est cependant impossible pour les ordinateurs portables et difficile pour les ordinateurs de bureau. Peut-être pouvez-vous penser à posséder un film d'action comme un appareil auto-destructeur qui fait exploser des explosifs si quelqu'un tente de l'ouvrir? ;-) Mais assurez-vous que vous n'aurez jamais à l'ouvrir pour la maintenance alors!

  • Cryptage intégral du disque:
    Je sais que j'ai conseillé cette méthode comme étant sécurisée, mais elle n'est pas sûre à 100% si vous perdez votre ordinateur portable lorsqu'il est allumé. Il y a une soi-disant "attaque de démarrage à froid" qui permet à l'attaquant de lire les clés de chiffrement de votre RAM après avoir réinitialisé la machine en cours d'exécution. Cela décharge le système, mais ne vide pas le contenu de la RAM sans alimentation est assez court.
    Merci à kos pour son commentaire sur cette attaque!
    Je vais également citer son deuxième commentaire ici:

    Ceci est une vieille vidéo, mais explique bien le concept: "On se souvient: les attaques à froid des clés de chiffrement" sur YouTube; Si un mot de passe BIOS est défini, l'attaquant peut toujours retirer la batterie CMOS pendant que l'ordinateur portable est toujours allumé pour permettre au lecteur spécialement conçu de démarrer sans perdre une seconde cruciale. ceci est plus effrayant de nos jours en raison des SSD, car un SSD personnalisé sera probablement capable de transférer même 8 Go en moins d'une minute, en considérant une vitesse d'écriture de ~ 150 Mo / s

    Question connexe, mais toujours sans réponse, sur la manière d’empêcher les attaques par amorçage à froid: Comment puis-je activer Ubuntu (en utilisant le chiffrement intégral du disque) pour appeler LUKSsupend avant de dormir / suspendre sur la RAM?


Pour conclure: Actuellement, rien ne protège vraiment votre ordinateur portable contre l’usage de personnes ayant un accès physique et une intention malveillante. Vous ne pouvez chiffrer toutes vos données que si vous êtes assez paranoïaques pour risquer de tout perdre en oubliant votre mot de passe ou un plantage. Le chiffrement rend donc les sauvegardes encore plus importantes qu'elles ne le sont déjà. Cependant, ils doivent ensuite être cryptés et placés dans un endroit très sûr.
Ou ne donnez simplement pas votre ordinateur portable et espérez que vous ne le perdrez jamais. ;-)

Si vous vous souciez moins de vos données, mais de votre matériel, vous pouvez acheter et installer un émetteur GPS dans votre cas, mais cela ne concerne que les vrais paranoïaques ou les agents fédéraux.


83
2017-09-21 08:15



Et le chiffrement intégral du disque ne vous sauvera pas des attaques à froid, si votre ordinateur portable est volé pendant qu'il est allumé! - kos
Aussi, après que votre ordinateur portable soit resté hors de votre contrôle pendant un certain temps, vous ne pouvez plus vous attendre à ce qu'il soit en sécurité. Il pourrait maintenant enregistrer votre mot de passe de pré-démarrage, par exemple. - Josef
Le cryptage de vos données ne devrait pas augmenter le risque de le perdre, car vous avez des sauvegardes, n'est-ce pas? Les données stockées une seule fois ne sont guère meilleures que celles qui n'existent pas. Les SSD, en particulier, ont soudainement tendance à échouer sans avoir la possibilité d'en tirer quelque chose. - Josef
Ceci est une vieille vidéo, mais explique bien le concept: youtube.com/watch?v=JDaicPIgn9U; Si un mot de passe BIOS est défini, l'attaquant peut toujours retirer la batterie CMOS pendant que l'ordinateur portable est toujours allumé pour permettre au lecteur spécialement conçu de démarrer sans perdre une seconde cruciale. ceci est plus effrayant de nos jours en raison des SSD, car un SSD personnalisé sera probablement capable de transférer même 8 Go en moins d'une minute, en considérant une vitesse d'écriture de ~ 150 Mo / s - kos
@ByteCommander mais votre SSD peut échouer de la même manière et toutes vos données sont perdues. Bien sûr, si vous avez tendance à oublier les mots de passe (eh bien, notez-le et mettez-le dans votre coffre-fort), la probabilité de perdre toutes vos données peut augmenter avec le cryptage, mais ce n'est pas comme si vos données étaient cryptées . Vous ne "risquez pas tout en oubliant votre mot de passe ou un plantage", vous le faites en ne disposant pas de sauvegardes. - Josef


Cryptez votre disque. Ainsi, votre système et vos données seront en sécurité en cas de vol de votre ordinateur portable. Autrement:

  • Le mot de passe du BIOS ne vous aidera pas: le voleur peut facilement extraire le disque de votre ordinateur et le placer sur un autre PC pour le démarrer.
  • Votre mot de passe utilisateur / root ne vous aidera pas non plus: le voleur peut facilement monter le disque comme expliqué ci-dessus et accéder à toutes vos données.

Je vous recommande d'avoir une partition LUKS dans laquelle vous pouvez configurer un LVM. Vous pouvez laisser votre partition de démarrage non chiffrée afin de ne saisir que votre mot de passe une fois. Cela signifie que votre système pourrait être plus facilement compromis s'il était falsifié (volé et rendu à vous sans même vous en apercevoir), mais c'est un cas très rare et, sauf si vous pensez être suivi par la NSA, un gouvernement ou une autre la mafia, vous ne devriez pas vous inquiéter à ce sujet.

Votre programme d'installation Ubuntu devrait vous permettre d'installer avec LUKS + LVM d'une manière très simple et automatisée. Je ne vais pas republier les détails ici, car il existe déjà beaucoup de documentation sur Internet. :-)


10
2017-09-21 07:53



Si possible, pourriez-vous fournir une réponse plus détaillée? Comme vous pouvez le constater par ma question, je ne suis pas un fan de la sécurité. - blade19899
mis en vogue pour les puces, mais notez que le cryptage intégral du disque n’est pas la seule façon, et n’est pas non plus nécessaire si vous limitez vos fichiers sensibles à /home/yourName - comme tu devrais! - ensuite, empilez ce dossier avec un pilote de chiffrement au niveau fichier (tel que celui que j'ai mentionné sur le PO et refusez de nouveau le spam), une alternative très viable. Je ne suis pas inquiet pour les gens qui voient toutes les choses ennuyeuses dans /usr, etc. - underscore_d
@underscore_d: Je suis en effet préoccupé par d'autres choses à l'extérieur /home (y compris les données personnelles et professionnelles dans d'autres partitions), il est donc plus facile pour moi de tout chiffrer, mais je suppose que chaque utilisateur a ses propres besoins :-). Cependant, en utilisant ecryptfs n'est pas la meilleure décision de performance. Vous pouvez trouver des repères ici. Assurez-vous de lire les pages 2-5 dans l'article pour les résultats réels (page 1 n'est qu'une introduction). - Peque
Très vrai, merci pour le lien / benchmarks. Je n'ai pas encore rencontré d'obstacles, mais peut-être que plus tard je le ferai. En outre, j'ai réalisé que je devrais probablement commencer à penser à chiffrer des choses comme /var/log, /var/www (la source), & /tmp, alors peut-être que le chiffrement intégral du disque commencera à paraître plus judicieux! - underscore_d
@underscore_d: oui, et alors vous commencez à penser à /etc et autres répertoires de haut niveau ... En fin de compte, le chiffrement intégral du disque est une solution simple et rapide qui vous permettra de dormir comme un bébé chaque nuit. ^^ - Peque


L'ordinateur portable le plus sécurisé est celui qui ne contient aucune donnée. Vous pouvez configurer votre propre environnement de cloud privé et ne plus stocker rien d'important localement.

Ou retirez le disque dur et faites-le fondre avec de la thermite. Bien que cela réponde techniquement à la question, ce n'est peut-être pas le plus pratique car vous ne pourrez plus utiliser votre ordinateur portable. Mais ces hackers toujours nébuleux non plus.

En dehors de ces options, cryptez le disque dur en double-cliquant et utilisez une clé USB pour le déchiffrer. La clé USB contient un ensemble de clés de déchiffrement et le BIOS contient l'autre ensemble - protégé par mot de passe, bien sûr. Combinez cela avec une routine d'autodestruction automatique des données si la clé USB n'est pas branchée pendant le démarrage / reprise de la suspension. Transportez la clé USB sur votre personne à tout moment. Cette combinaison arrive également à traiter XKCD # 538.

XKCD #538


10
2017-09-21 20:20



Une routine d'autodestruction automatique sera certainement une bonne surprise lorsque votre clé USB accumulera de la poussière sur les plages de contact. - Dmitry Grigoryev


Il y a quelques solutions matérielles à noter.

Premièrement, certains ordinateurs portables, comme certains ordinateurs portables professionnels Lenovo, sont équipés d'un commutateur de détection de violation qui détecte l'ouverture du boîtier. Sur Lenovo, cette fonctionnalité doit être activée dans le BIOS et un mot de passe administrateur doit être défini. Si une manipulation est détectée, le portable s'arrêtera (je crois) immédiatement, au démarrage, il affichera un avertissement et demandera le mot de passe administrateur et l'adaptateur secteur approprié pour continuer. Certains détecteurs d'effraction déclenchent également une alarme sonore et peuvent être configurés pour envoyer un courrier électronique.

La détection de sabotage n'empêche pas vraiment la falsification (mais cela peut rendre plus difficile le vol de données de la RAM - et la détection de sabotage peut "bricoler" le périphérique s'il détecte un problème. Le principal avantage est que quelqu'un ne peut pas manipuler secrètement le matériel sans que vous le sachiez - si vous avez mis en place une sécurité logicielle solide telle que le chiffrement intégral du disque, l'altération cachée du matériel est certainement l'un des vecteurs d'attaque restants.

Une autre sécurité physique est que certains ordinateurs portables peuvent être verrouillés sur un quai. Si la station d'accueil est solidement fixée à une table (via des vis qui seront sous l'ordinateur portable) et si l'ordinateur portable reste verrouillé sur la station d'accueil lorsqu'elle n'est pas utilisée, elle fournit une couche supplémentaire de protection physique. Bien sûr, cela n'arrêtera pas un voleur déterminé, mais cela rend plus difficile le vol de l'ordinateur portable de votre domicile ou de votre entreprise, et même verrouillé, il est toujours parfaitement utilisable (et vous pouvez brancher des périphériques, Ethernet, etc.).

Bien sûr, ces fonctionnalités physiques ne sont pas utiles pour sécuriser un ordinateur portable qui ne les possède pas. Mais si vous êtes soucieux de la sécurité, il peut être utile de les considérer lors de l'achat d'un ordinateur portable.


5
2017-09-21 13:34





En plus de crypter votre disque (vous ne le ferez pas): - SELinux et TRESOR. Les deux durcissent le noyau Linux et tentent de rendre difficile la lecture des choses par les attaquants en mémoire.

Pendant que vous y êtes: Nous entrons maintenant sur le territoire non seulement de la peur des méchants au hasard qui veulent vos informations de carte de débit (ils ne le font pas) mais souvent assez des agences de renseignement. Dans ce cas vous vouloir faire plus:

  • Essayez de purger tout ce qui est à source fermée (également le micrologiciel) du PC. Cela inclut UEFI / BIOS!
  • Utiliser tianocore / coreboot comme nouvel UEFI / BIOS
  • Utilisez SecureBoot avec vos propres clés.

Il y a beaucoup d'autres choses que vous pouvez faire, mais celles-ci devraient donner un nombre raisonnable de choses avec lesquelles elles doivent chatouiller.

Et n'oubliez pas: xkcd ;-)


2
2017-09-21 10:56



Ces suggestions ne sont pas utiles. Ni SELinux ni TRESOR n’arrêtent une personne ayant un accès physique. Ils ne sont pas conçus pour ce modèle de menace. Ils donneront un faux sentiment de sécurité. P.S. Purger le code source fermé n’a aucun lien avec la sécurité contre une personne ayant un accès physique. - D.W.
@ D.W. "TRESOR (acronyme récursif de" TRESOR Runs Encryption Securely Outside RAM ") est un correctif du noyau Linux qui fournit un chiffrement basé uniquement sur le CPU pour se défendre contre les attaques par démarrage à froid. Mais ce n'est qu'un point secondaire. J'ai écrit 'Additional' car ces choses ne feront rien si vous ne cryptez pas votre disque (dans un scénario d'accès physique). Cependant, lorsque vous augmentez la sécurité physique, vous ne devez pas oublier que l'attaquant peut toujours démarrer et effectuer une attaque numérique (par exemple, en exploitant des bogues). - larkey
@ D.W. Si votre PC est bien crypté, il est plutôt chiant, mais il est sujet à l'escalade de privilèges. C'est pourquoi, si l'on est sur le point de sécuriser le système d'un point de vue physique, il convient également de renforcer le côté logiciel. J'ai explicitement déclaré qu'ils ont durci le noyau Linux et qu'ils devraient être faits aditionellement. La même chose vaut pour les logiciels à source fermée. Votre disque est peut-être bien chiffré, mais s'il y a un enregistreur de frappe dans l'UEFI, cela ne vous aidera pas contre les agences de renseignement. - larkey
Si vous utilisez le chiffrement intégral du disque et que vous ne laissez pas votre ordinateur fonctionner sans surveillance, les attaques d'élévation de privilèges ne sont pas pertinentes, car l'attaquant ne connaîtra pas le mot de passe de déchiffrement. (Une utilisation correcte du chiffrement intégral du disque nécessite l’arrêt / la mise en veille prolongée sans surveillance). Si vous utilisez le chiffrement intégral du disque et faire laissez votre ordinateur sans surveillance, le chiffrement intégral du disque peut être ignoré par un nombre illimité de méthodes - par exemple, la connexion d'un dongle USB - même si vous utilisez TRESOR, SELinux, etc. Cette réponse ne semble pas refléter une analyse de sécurité minutieuse. - D.W.
Avec le libellé "essayez de", tout ce qui est admissible - le chiffrement rot13 peut essayer de garantir qu'un exploit ne peut pas prendre le contrôle du système. Cela ne réussira pas, mais je peux le décrire comme un essai. Ce que je veux dire, c’est que les moyens de défense que vous privilégiez ne sont pas efficaces pour arrêter cette catégorie d’attaques. SELinux / TRESOR n'arrête pas le démarrage à froid. Pour analyser la sécurité, vous devez commencer par un modèle de menace et analyser les défenses contre ce modèle de menace spécifique. La sécurité ne consiste pas à asperger une liste sans fin de restrictions supplémentaires qui sonnent bien. Il y a de la science à cela. - D.W.


Parce que vous avez un peu changé la question, voici ma réponse à la partie modifiée:

Comment puis-je sécuriser ma machine pour que le piratage via un accès physique ne soit pas possible?

Répondre: Vous ne pouvez pas

Il existe de nombreux systèmes matériels et logiciels avancés, tels que le sabotage détection, le cryptage, etc., mais tout y est:

Vous pouvez protéger vos données, mais vous ne pouvez pas protéger votre matériel une fois que quelqu'un y a eu accès. Et si vous continuez à utiliser du matériel après que quelqu'un ait eu accès, vous mettez vos données en danger!

Utilisez un ordinateur portable sécurisé avec une fonction d'autoprotection qui efface la mémoire vive lorsque quelqu'un tente de l'ouvrir, utilise le chiffrement intégral du disque, stocke les sauvegardes de vos données chiffrées à des emplacements différents. Ensuite, rendez le plus difficile possible pour obtenir un accès physique à votre matériel. Mais si vous pensez que quelqu'un a eu accès à votre matériel, essuyez-le et jetez-le.

La prochaine question vous devriez demanderest: Comment puis-je acquérir un nouveau matériel qui n'a pas été falsifié?


2
2017-09-24 09:35





Utiliser un Mot de passe ATA pour votre disque dur / SSD

Cela empêchera l'utilisation du disque sans le mot de passe. Cela signifie que vous ne peut pas démarrer sans le mot de passe, car vous ne pouvez pas accéder à la MBR ou la ESP sans le mot de passe. Et si le disque est utilisé dans une autre manchine, le mot de passe est toujours requis.

Donc, vous pouvez utiliser un soi-disant mot de passe utilisateur ATA pour votre disque dur / SSD. Ceci est généralement défini dans le BIOS (mais ce n'est pas un mot de passe BIOS).

Pour plus de sécurité, vous pouvez définir un mot de passe maître ATA sur le disque aussi. Pour désactiver l'utilisation du mot de passe du fabricant.

Vous pouvez le faire sur le terrain avec hdparm aussi.

Soin supplémentaire devrait être pris parce que vous pouvez perdre toutes vos données si vous perdez le mot de passe.

http://www.admin-magazine.com/Archive/2014/19/Using-the-ATA-security-features-of-modern-hard-disks-and-SSDs

Remarque: il existe également des faiblesses car il existe des logiciels qui prétendent récupérer le mot de passe ATA, voire prétendent le supprimer. Donc, ce n'est pas sûr à 100% non plus.

Remarque: le mot de passe ATA n'est pas nécessairement fourni avec FED (Full Disk Encryption)


1
2017-10-16 21:08