Detectar cambios en / boot cuando se usa el cifrado completo del disco

Question

Detectar cambios en / boot cuando se usa el cifrado completo del disco

#1 de tylerl (6 votos)
#2 de Matrix (-1 votos)

4

Cuando se ejecuta un sistema Linux totalmente encriptado usando dm-crypt, la partición /boot tiene que estar sin cifrar para arrancar, por lo que sé. He configurado un servidor que se puede desbloquear de forma remota conectándome a un servidor ssh preinicio que se ejecuta desde initrd.

Un vector de ataque que me gustaría cerrar es instalar un keylogger en el initrd.

Razoné así: No puedo evitar los cambios en la partición /boot porque el adversario tiene acceso a ella en un entorno hospedado. Pero puedo detectar cambios usando sumas de comprobación dentro del sistema encriptado usando sha512sum simple o tripwire. También puedo monitorear el servidor para reiniciar (lo que podría indicar cambios).

¿Qué métodos de mitigación vienen a tu mente?

linux disk-encryption integrity ids boot

pregunta Peter Meyer 05.08.2012 - 22:21

fuente

2 respuestas

Lea otras preguntas en las etiquetas linux disk-encryption integrity ids boot

Protección de DDoS de IPTables que funciona con el contador de direcciones IP por cliente Y UDP ¿Cómo desinfecto la entrada LDAP y prevengo los ataques de inyección? ¿Qué escenarios de inyección de LDAP son posibles?

score 6 · Answer 1

Este es exactamente el problema por el que se creó Secure Boot para resolverlo. El problema es que si no tienes una cadena de confianza que se remonta a POST, no puedes garantizar que no haya habido manipulación. (Y aún así, la "garantía" es una exageración).

Puede sumar la partición de arranque al inicio; quizás use la suma de control como parte de la clave para el siguiente paso. No es completamente a prueba de manipulaciones, pero sin integración de cifrado basada en hardware, nada lo será. Solo haz lo mejor que puedas con las herramientas que tienes y asegúrate de entender las limitaciones.

score -1 · Answer 2

Después de realizar SSHing remotamente en el servidor, podría hacer kexec en un núcleo suministrado desde una ubicación segura. También asegúrate de proporcionar tus propios binarios hash / kexec, ya que también podrían ser modificados. Asegúrese de que los módulos también se carguen desde una ubicación segura.