¿Cuánto vale el cifrado del disco? ¿Amenaza de Bios propietario, SMM, optionrom, TPM, etc.?

4

Suponiendo que hay datos privados / secretos en una máquina (es decir, un arco x86), lo más razonable para mí sería cifrar estos datos, para protegerlos.

Entiendo que el propósito de asegurar, seguro, no controlado y amp; los datos secretos solo se sirven cuando la clave / contraseña se mantiene segura. También sé que, dado que hay software necesario para el descifrado / encriptación, hasta cierto punto confío en este software (es decir, necesito confiar en Linux Kernel, software GNU, marco LUKS para el cifrado de disco basado en Linux, etc.). Al ser en su mayoría de código abierto, un autid del software mencionado anteriormente puede parecer al menos posible.

¿Todavía qué hay con el software BIOS de la PC? Lo más común es que es un código de código propietario (código cerrado). En teoría, y creo que prácticamente hay un buen cambio de que algunos programas maliciosos en el BIOS de la PC están configurando un registrador de teclas - > Se captura la contraseña - > La seguridad de los datos es nula. (¿correcto?)

También acabo de comenzar a escuchar (con cierto impacto) la función x86 del Modo de gestión segura SMM , que parece que se puede explotar para trabajar de forma bluepill con algunos rootkit . También, de nuevo, esto podría causar un daño arbitrario y, por supuesto, parece romper mi propósito de cifrado al registrar las claves.

Peor aún me pregunto acerca de la opción de la BIOS. Según tengo entendido, el PC Bios cargaría y ejecutaría el código de un dispositivo (como un chip de tarjeta de red) y lo ejecutaría (!!!) . Por lo tanto, en el peor de los casos, un chino / americano / alemán (nombre de cualquier otro país / organización no confiable de su elección) podría manifestar los dispositivos como algún tipo de virus informático (utilizando esta opción de función).

Con todo lo que realmente me pregunto sobre el valor del cifrado del disco si hay tanto desconocimiento y peligro antes de que se ejecute el kernel de Linux (quizás de confianza, porque es de código abierto).

Sinceramente, si tuviera que crear un rootkit, también buscaría colocarlo (o anclarlo) en algún lugar del TPM, PCBIOS, optionroms, kernel, etc. Solo para el kernel hay algo de confianza.

Me encantaría escuchar tus pensamientos.

Buenas preguntas como:

¿

proporciona información sobre cómo mantener el BIOS de la PC libre / guardar de malware ? etc, pero mi paranoia también es no saber qué hace el BIOS (código cerrado) en primer lugar.

alguna actualización

Sobre la amenaza de cambiar / manipular el código de BIOS, me pregunto si los proyectos linuxBIOS o coreboot (www.coreboot.org) no muestran la posibilidad de modificar el BIOS por el código propio (también de malware) y la opción de hacerlo. A propósito por razones de seguridad. Después de todo, un BIOS de código abierto, autoescrito o en segundo lugar, parece factible, ya que las cosas que el BIOS hace no son "el mundo" (solo un trabajo de inicialización). Por lo tanto, aún temo que, dada la documentación de hardware o la ingeniería inversa, se pueda crear un bios de malware e implementarlo (consulte la herramienta flashrom.org)

Actualizar: Otra fuente que muestra el problema del firmware / hardware propietario es enlace

    
pregunta humanityANDpeace 01.10.2012 - 08:59
fuente

2 respuestas

4

Su pregunta se reduce esencialmente a la gestión de riesgos. La forma más sencilla de analizar un riesgo particular es ver dónde se encuentra en las siguientes tres categorías:

  • Probabilidad: ¿Cuál es la probabilidad de que este riesgo se convierta en un problema?
  • Impacto: si se produce un problema debido a este riesgo, ¿cuál es el problema?
  • Costo: ¿cuánto costará reducir esta probabilidad de riesgo o su impacto a un nivel aceptable?

Tenga en cuenta que costo no es solo monetario, sino que incluye tiempo, esfuerzo, conveniencia, etc.

La mayoría de los riesgos nunca se pueden mitigar por completo. El objetivo es encontrar un equilibrio aceptable entre probabilidad, impacto y costo. Ahora veamos específicamente su problema:

Probabilidad
En realidad, la probabilidad de que un atacante instale chips falsos de BIOS y TPM es pequeña. Como anécdota, no puedo citar un solo caso en la historia de infosec donde un verdadero atacante haya hecho esto. Que yo sepa, solo se ha demostrado en condiciones de laboratorio. Su riesgo real es tener un dispositivo de keylogger de hardware instalado entre el teclado y el puerto USB o PS / 2. ¿Qué tan probable es que un atacante tenga acceso físico? El atacante también tiene un modelo de riesgo: ¿es probable que corran el riesgo de ser atrapados por el bien de lo que está protegiendo? Sea realista aquí: ¿está protegiendo un servicio web para compartir fotos utilizado por 20 personas o un banco con decenas de miles de clientes? Yo diría que la probabilidad de ataques de BIOS / TPM es minúscula, pero la probabilidad de que los keyloggers de hardware sean bajos a medianos, dependiendo de su almacenamiento y las circunstancias de acceso.

Impacto
¿Qué puedes perder? ¿Cuál es la pérdida fiscal máxima absoluta , incluidas las pérdidas de ventas proyectadas debido a la pérdida de confianza? ¿Cuánto es probable que tenga que pagar en horas extras cuando su personal se está limpiando después de una infracción? ¿Podría ser demandado o multado por incumplimiento de las leyes de protección de datos, como DPA 1998? De su modelo de pérdida proyectada, ¿cuánto le ha costado a otras compañías en circunstancias similares? Recuerde que su riesgo de pérdida debe ser relativo a las operaciones comerciales en su conjunto. Piense en términos de activos: ¿qué considera usted importante? ¿Es su código fuente? ¿Son sus registros financieros? ¿Sus documentos de diseño de producto? ¿Qué información de riesgo le preocupa más perder? Supongo que está teniendo un gran impacto aquí, ya que los keyloggers permitirían a un atacante obtener acceso casi sin inhibiciones a su red.

Coste
¿Cuánto le costará llevar el riesgo o el impacto a un nivel aceptable? Tenga en cuenta que los métodos de mitigación pueden no tener que implementarse en todas las máquinas. ¿Se pueden utilizar controles de acceso y auditorías adecuados? ¿Su seguridad física es lo suficientemente fuerte?

Algunas posibles formas de reducir el riesgo de manipulación:

  • ¡No le dé al personal acceso a áreas en las que no necesitan estar! Si usa llaveros RFID para entrada sin llave, no permita que el PA del CEO los use para entrar en la sala de servidores.
  • Se bloquea en las cajas de las computadoras para evitar la manipulación interna.
  • Coloque torres de computadoras dentro de gabinetes cerrados con llave, para que sea difícil interferir con los cables del teclado.
  • Quite o deshabilite las ranuras USB en servidores y computadoras que no las necesitan.
  • Las computadoras portátiles se guardan en un gabinete cerrado cuando no están en uso.
  • Use cerraduras Kensington en computadoras portátiles y otros equipos sensibles.
  • Use cinta de seguridad para sellar servidores y otros sistemas de alto riesgo.
  • Utilice cerraduras de alta calidad. Esto me asusta más que cualquier otra cosa: recientemente aprendí a elegirlos y los más baratos son demasiado fáciles para romper. Un bloqueo de Yale decente mantendrá ocupado a un intruso experto durante 3-4 minutos. Los que no son de marca pueden durar menos de 15 segundos. Maglocks por sí solos no son suficientes, y pueden ser derrotados con un electroimán casero, un pequeño circuito y una batería de computadora portátil .
  • Haga que sus alarmas y sistemas de CCTV se prueben con frecuencia, y priorice la ubicación de los sensores de seguridad (por ejemplo, PIRs , cámaras, magnéticas sensores de entrada, etc.) en áreas de alto riesgo.

En general, es probable que pueda reducir este riesgo a un nivel aceptable implementando 4 o 5 de esas ideas.

    
respondido por el Polynomial 01.10.2012 - 10:17
fuente
0

Saldré inmediatamente y diré que tiene razón en que su BIOS podría estar comprometido, de hecho, toda su computadora podría diseñarse con el propósito expreso de extraer todas las piezas. de información al respecto. Además, no hay absolutamente ninguna manera de que puedas estar seguro de lo contrario. No hay un conjunto de herramientas o un método que te dé tranquilidad aquí.

El hecho es que es extremadamente improbable que, incluso si su hardware pudiera ser controlado, alguien con esa capacidad querría hacerlo por usted. Someter una BIOS y hacer que funcione con amenazas basadas en software es difícil, muy difícil de hecho e innecesario, ya que el malware basado en software puro que utiliza vulnerabilidades no parcheadas en el sistema operativo o el software cargado funcionará igual de bien y es mucho más fácil.

Lo más probable es que su mayor amenaza sea la pérdida de datos debido a un robo o mala colocación de su dispositivo, y contra eso está el cifrado para protegerlo. No protegerá sus datos de ser desviados por el malware mientras la máquina esté encendida y los datos no cifrados, pero lo hará si deja su computadora portátil en un taxi.

    
respondido por el GdD 01.10.2012 - 10:23
fuente

Lea otras preguntas en las etiquetas