¿La protección mediante contraseña del BIOS de un servidor ayuda a proteger los datos confidenciales?

Lo más común protegido por la contraseña de administrador de BIOS es el proceso de arranque. Alguien con acceso de administrador a la BIOS (ya sea por desprotegido o por compromiso de contraseña) puede configurar la computadora para que arranque desde cualquier medio que le guste. Esto permitirá que un atacante omita las restricciones de acceso que tiene implementadas en los datos no cifrados en sus unidades. Con esto, pueden:

• Lea todos los datos almacenados sin cifrar en la unidad.
• Ejecute las herramientas de craqueo con las credenciales de los usuarios locales o descargue los datos del autenticador para el craqueo sin conexión.
• Edite los archivos de registro o contraseña para obtener acceso dentro del sistema operativo nativo.
• Suba archivos maliciosos y configure el sistema para ejecutarlos en el próximo arranque.

Por supuesto, el acceso al BIOS generalmente significa que el atacante ya tiene acceso físico a la computadora. En este punto, todas las apuestas están desactivadas de todos modos: muchas BIOS (y sus contraseñas) pueden borrarse con un simple puente en la placa base, o el atacante podría simplemente extraer el disco duro y hacer lo que quiera con su propio sistema. Dicho esto, muchas de las recomendaciones en mi publicación aquí (y otras respuestas en eso, y los enlaces vinculados) todavía vale la pena considerarlas.

• Encripta el disco duro
• Asegúrese de que la computadora esté físicamente segura (por ejemplo, habitación / gabinete / chasis bloqueados)
• Use contraseñas seguras para el cifrado y amp; BIOS

Proteger con contraseña el BIOS no es completamente un esfuerzo inútil. Sin embargo, no debe ser una medida en la que solo se confíe. Para que la contraseña de su BIOS sea efectiva en su propósito, debe haber otras medidas implementadas para evitar que se omita.

No de manera significativa: lo único que podría evitar es que un atacante físico malintencionado reinicie la computadora desde un liveUSB / liveCD (y de este modo obtenga acceso sin conexión a sus datos).

Si desea proteger datos confidenciales, debe configurar algún tipo de cifrado de disco (de modo que los datos sean solo accesibles cuando su sistema se está ejecutando); tenga en cuenta que esto requeriría cierta interacción al inicio (por ejemplo, ingresar una frase de contraseña).

Un atacante que puede estar físicamente presente frente a la computadora también puede abrir la caja con un destornillador y tenerla a su manera en el disco; o simplemente puede salir corriendo con la computadora debajo del brazo. Ninguna contraseña del BIOS le dará ninguna protección contra eso. Las contraseñas de la BIOS ofrecen cualquier protección solo contra los atacantes que se supone que no deben ir físicamente en la máquina. En ese caso, la contraseña del BIOS protege ... la configuración del BIOS.

Las dos configuraciones que el atacante puede querer modificar son la fecha actual y la secuencia de inicio . La secuencia de arranque es bastante obvia: al cambiarla, el atacante puede hacer que la máquina arranque desde una llave USB que trajo, en lugar del disco duro, dándole acceso completo al disco duro y sus preciosos archivos.

Cambiar la fecha es más un caso de borde; Al hacer que la máquina crea que está en el pasado, el atacante puede desencadenar algún otro comportamiento que podría afectar la seguridad. Por ejemplo, si el inicio de sesión a nivel de sistema operativo utiliza tarjetas inteligentes con certificados, el sistema operativo verificará que el certificado no haya sido revocado. Si el atacante pudo robar una tarjeta inteligente con su código PIN, pero se descubrió el robo y se revocó el certificado, es posible que el atacante quiera modificar la fecha para que la máquina crea que el certificado es todavía no revocado.

Las máquinas recientes pueden usar algo llamado UEFI : un nuevo estándar para los sistemas operativos de arranque. Una característica de esto es que el gestor de arranque se puede firmar, y el BIOS verifica esa firma; no arrancará un sistema operativo sin firma. Esto se llama arranque seguro . Sin embargo, la mayoría de los BIOS permiten la desactivación de esta característica. Esta es otra configuración del BIOS que la contraseña del BIOS puede proteger.