Proteger la tarjeta sd física de Raspberry Pi para cambiarla

Debe usar Full Disk Encryption en la sdcard utilizada para arrancar el Pi. Usándolo, si el atacante se lleva la sdcard, no podrá leer su contenido. Esto protegerá las credenciales 802.1x almacenadas en la tarjeta.

Segundo, use la autenticación 802.1x en la red. 802.1x requiere inicio de sesión y contraseña para que el cliente obtenga una dirección IP. Sin un inicio de sesión y una contraseña válidos, el Pi no podrá unirse a la red incluso si el atacante conecta el cable de red en él.

Con esto, tendrá que conectar un teclado y un monitor a la Pi, para ingresar la contraseña del disco y las credenciales 802.1x. Si este Pi va a ejecutar un entorno seguro, mantenga una buena imagen de disco en otro lugar y vuelva a flashear la tarjeta cada vez que se apague el Pi. Esto evitará que el atacante entre, apague el Pi y haga retroceder el gestor de arranque (el ataque Evid Maid). Esto es obligatorio , a menos que desee que el atacante obtenga las credenciales 802.1x y la clave de cifrado del disco completo al mismo tiempo.

Punto de bonificación: nadie sin credenciales válidas podrá acceder a una habitación sin supervisión y conectar una computadora portátil.

Olvídese de la autenticación de la dirección MAC, es trivial cambiar el MAC.

Creo que colocar el Pis en un armario o en un rack de servidores que tiene una puerta que puede cerrarse debería hacer el truco con la menor cantidad de problemas.

La respuesta de ThoriumBR es realmente buena, pero horriblemente complicada de configurar. Volver a flashear la tarjeta SD cada vez que se apaga el Pi es sin duda una opción, pero a menos que esté trabajando para un empleador muy preocupado por la seguridad (lo cual es improbable considerando que su plataforma de hardware es la Raspberry Pi), es poco probable que sea implementable. en la práctica.

El Pi no tiene ningún tipo de mecanismo para garantizar que solo se inicie una imagen de software en buen estado. Tampoco tiene ningún mecanismo para permitir el arranque de una imagen sin que el atacante pueda averiguar qué hay en la imagen.

Así que tus opciones son básicamente.

1. Asegure físicamente el pi.
2. Mantenga los secretos de autenticación necesarios para acceder a su red solo en RAM. La desventaja de este enfoque es que siempre que tenga un corte de energía, esos secretos deben volver a ingresarse.
3. Bloquee el puerto de red para que, incluso si el atacante compromete a Pi, el daño que puede hacer al resto de sus sistemas sea limitado.

P.S. tenga en cuenta que las restricciones de la dirección MAC no son muy seguras, es trivial para un atacante insertar un sniffer, tomar la dirección MAC de un dispositivo legítimo y luego reconfigurar su dispositivo con esa dirección MAC.