Cifrado de colas del disco de arranque USB (contraseña de arranque previo en vivo)

Esta es una pregunta válida. Creo que el sistema operativo se creó originalmente para iniciarse en un CD / DVD y actuar como un medio de almacenamiento desechable, que podría usarse junto con una unidad de almacenamiento en miniatura cifrada de forma segura.

Hay métodos que podría usar, de hecho, el encriptado LVM sobre LUKS viene a la mente (y suena muy parecido a lo que está pidiendo) para el encriptado completo del sistema (menos la partición de arranque, por supuesto) para garantizar la integridad y confidencialidad del sistema. (si se hace persistente) no se ha comprometido. También sería posible agrupar el contenido de los USB para verificar posibles manipulaciones.

Me imagino que la razón por la que esto no se implementa es que aumenta significativamente el nivel de dificultad para la implementación. El Joe promedio (la gente para la que se creó originalmente) probablemente se rendiría antes de pasar por el problema de encriptar volúmenes y eso, sé que (al menos para mí) fue bastante difícil implementar LVM en LUK en mi sistema Arch .

En cualquier caso, es probable que no confíe en ningún medio que usted haya entregado a otra persona, si confía en que esté seguro. En cuanto a que sabes que tu DVD no ha sido manipulado ... bueno, probablemente podría hacer uno que se pareciera al tuyo con bastante facilidad si tuviera acceso directo a él ... Sólo un pensamiento.

Todo esto se reduce a la seguridad en profundidad, a la facilidad de uso sobre la seguridad, a qué distancia desea llegar y cuán paranoico es con respecto a sus amenazas potenciales.

Esto se puede lograr de una manera diferente usando la memoria de una sola escritura. El problema es que es posible que no esté disponible de forma generalizada y que no resuelva otros problemas que también tiene que resolver:

• Los medios ópticos sin portador son difíciles de 'reemplazar' con versiones malvadas, pero el cifrado no impide la modificación o manipulación como lo hacen los medios de escritura una vez

• Las unidades USB tienen controladores, EEPROMS y chips Flash, todos los cuales no son visibles dentro del estuche y pueden ser objeto de abuso, por lo que el cifrado por sí solo no es suficiente

• El cifrado solo ayuda a evitar la manipulación siempre que su llave no se escape y no se produzcan modificaciones. Cuando lo hace, realmente funciona en su contra al proporcionar una falsa sensación de seguridad

Una forma en la que he intentado hacerlo yo mismo es cortar los pines de escritura de los chips, pero con los controladores NAND y FTL esto plantea un problema, ya que a menudo tienen que reasignar bloques, lo que no será posible. Básicamente destruye la NAND en ningún momento.

Otro método que probé fue usar tarjetas SD y tarjetas CF y eliminar físicamente las líneas de escritura allí, pero esto planteaba problemas similares y aún no resolvía los problemas de los controladores integrados que aún se pueden explotar con facilidad. Teniendo en cuenta que las unidades ópticas también tienen controladores integrados y la placa base, CPU, PCH, etc. también tienen esos, podría valer la pena establecer primero su modelo de amenaza. Si puede asumir que nadie se ha metido con su hardware, quizás una unidad USB con un interruptor de protección contra escritura sea suficiente.

Para llevar el punto a casa un poco más lejos: el cifrado no es igual al almacenamiento inmutable.