Bitlocker: ¿Llave USB vs Contraseña?

¿Por qué no ambos? Si habilita BitLocker sin un TPM (editor de políticas de grupo), luego le pide que use "TPMAndPINAndStartupKey", debe requerir tanto la clave de inicio basada en el archivo como el PIN (que, si habilita "PIN mejorados" en el editor de políticas de grupo , pueden ser frases de contraseña reales).

Además, en cualquier caso, no me preocuparía demasiado el forzamiento brutal. BitLocker tiene protecciones razonablemente sólidas contra eso, utilizando una función de derivación de clave lenta (aunque no conozco los detalles) para el "PIN". Es aún peor si está pasando por el proceso normal de desbloqueo, donde la propia interfaz de usuario hará que los intentos de fuerza bruta no sean prácticos, pero sus "amigos" probablemente extraerán el disco para los ataques sin conexión.

La decisión aquí es entre algo que sabes y algo que tienes .

Contraseña, algo que sabes :

• La contraseña no puede ser robada junto con su computadora portátil.
• Los humanos son malos para elegir contraseñas seguras.

Llave USB, algo que tienes :

• La clave USB tendrá algunas propiedades criptográficas garantizadas, a diferencia de la mayoría de las contraseñas.
• Si guarda la memoria USB con usted, podría ser fácilmente robada junto con su computadora portátil.

Entonces para los dos adversarios que mencionaste. Los ladrones pueden robar su llave USB junto con su computadora portátil. Los amigos también podrían tener acceso a su llave USB si no la protege. Por otro lado, los ladrones no pueden obtener su contraseña si solo roban su dispositivo y los amigos no pueden obtenerla por casualidad si se ajustan a mi definición de amigo de sentido común.

Sin embargo, si tiene el escenario donde alguien tiene acceso a su dispositivo sin que usted lo sospeche, es vulnerable a muchos vectores de ataque:

• Alguien instala un pequeño dispositivo de registro de teclas que intercepta su teclado (solo se aplica si usa un teclado periférico)
• Alguien con acceso físico a su dispositivo lo restablece y se inicia en una utilidad de descarga de memoria. Luego se puede analizar el volcado de memoria para recuperar la clave de Bitlocker (Elcomsoft Forensic Disk Decryptor puede hacer esto). Esto se puede evitar con un TPM.
• Alguien en el hombro lo navega y lo ve escribiendo su contraseña.
• Si tiene un puerto FireWire, es posible volcar la memoria activa mediante la explotación de DMA. Dump les da la llave. Creo que es posible evitar esto a través de la Política de grupo, deshabilitando la activación de dispositivos FireWire si el dispositivo está bloqueado.

Aparte de eso, vale la pena recordar que si alguna vez llega un malware a tu máquina (por ejemplo, un amigo te engaña para que ejecutes algo) puede robar fácilmente la clave de cifrado (y hacer cualquier otra cosa).

En mi opinión, un TPM es una parte importante de la configuración segura de BitLocker.

Alguna información adicional:

• Creación de un BitLocker de Windows a prueba de balas
• Una contraseña no es suficiente: ¿Por qué el cifrado del disco no funciona y cómo podemos corregirlo?

Vale la pena considerar que la memoria flash en un dispositivo flash USB puede ser atacada y leída cuando es robada. Muchas herramientas de adquisición forense incluyen el volcado de memoria, por lo que si la unidad de memoria flash USB es robada junto con la computadora portátil, usted es consciente del compromiso pero no puede hacer nada si el adversario logra esto. Agregar un segundo dispositivo USB además de TPM y una contraseña segura puede proporcionar una opción más segura que un solo dispositivo USB solo porque el ladrón necesitaría ambos para acceder a su computadora.

Todavía hay vectores de ataque que se pueden usar para atacar su máquina mientras los datos no están encriptados, y pueden simplemente raspar la contraseña de la memoria RAM de su computadora. Estos incluyen el acceso a la memoria DMA; registradores de teclado y malware sniffing USB; el ataque de RAM congelado; TEMPEST, van Eck, u otros ataques de canal lateral; un ataque de red en vivo que compromete su computadora y lee sus datos mientras la está utilizando legítimamente; Y siempre hay surf de hombro y robo de dongle. Ser consciente de la navegación por los hombros y de las personas que te rodean, apagar tu computadora completamente cuando la dejas, ejecutar programas antivirus y antimalware, y asegurar siempre que las llaves USB se conviertan en prácticas estándar si crees que tus amigos son capaces de estos ataques. .