¿Cómo asegurar mi computadora portátil para que no sea posible hackear mediante acceso físico?

73

Arruiné mi sistema antes, me saludaron con una pantalla negra cuando arranqué en Ubuntu. Cuando encendí mi computadora portátil, seleccioné la opción de recuperación del menú de grub y elegí el respaldo en la terminal raíz . Vi que podía usar el comando agregar usuario, con el que probablemente podría usar para crear un usuario privilegiado en mi máquina.

¿No es eso un problema de seguridad?

Uno podría haber robado mi computadora portátil y en el inicio elegí la recuperación y agregué otro usuario, entonces estoy confundido. Incluyendo mis datos.

Ahora que lo pienso, incluso si de alguna manera elimina esa entrada, uno podría arrancar desde un CD en vivo, poner chrooten marcha y luego agregar otro usuario, con los privilegios correctos que le permiten ver todos mis datos.

Si configuro el BIOS para que se inicie solo en mi HD, sin USB, CD / DVD, inicio de red, y establezco una contraseña de BIOS, todavía no importaría, porque todavía tendría esa entrada de inicio de recuperación de grub.

Estoy bastante seguro de que alguien de China, Rusia, no puede hackear mi Ubuntu Trusty Tahr, desde la red, porque es seguro así. Pero, si uno tiene acceso físico a mi - su - máquina, entonces, bueno, es por eso que hago esta pregunta. ¿Cómo puedo asegurar mi máquina para que no sea posible hackear el acceso físico?

Informe de error:

Error # 283662 "sin mensaje de inicio de sesión en" modo de recuperación "-boot": Errores: Ubuntu

— cuchilla19899
fuente

35

Cifrado de disco completo y pulido brillante para sus tornillos. ¿Quién no hace eso hoy en día?

— mondjunge

2

@ByteCommander puede agregar usuarios root. Simplemente agregue otro usuario con uid 0 a / etc / password. Acabo de agregar fred fred:x:0:0:fred,,,:/home/fred:/bin/bashy ahora si inicio sesión como fred y corro whoami, obtengoroot

— Josef

3

@ByteCommander deberían estarlo. Las herramientas para administrar cuentas como adduseretc., por lo general, no le permitirán hacerlo, pero solo la edición /etc/passwdfunciona. Ser un hacker significa ignorar lo que debes hacer;)

— Josef

3

@ blade19899 Su nuevo error seguramente será rechazado. Compare este existente: bugs.launchpad.net/ubuntu/+bug/283662

— Byte Commander

44

@ blade19899 Mi punto más amplio es que debe pensar en términos de riesgos y compensaciones, no absolutos. No tengo ni idea de quién es o dónde vive, pero un robo en una casa que lleva a que alguien use sus datos de manera efectiva (en lugar de tratar de descargar el hardware) todavía suena un poco exagerado y posiblemente menos preocupante que el momento, dinero o incluso pérdida de datos que podría resultar de la falta de opciones de recuperación efectivas. Es por eso que tener un terminal raíz alternativo es algo bueno. Pero, obviamente, eso no quiere decir que no debería buscar en el cifrado de disco completo.

— Relajado

86

Supongo que solo el cifrado de disco completo utilizando un algoritmo fuerte y, lo más importante, una buena contraseña es lo único que puede proteger sus datos almacenados localmente. Esto le brinda probablemente un 99.99% de seguridad. Consulte una de las muchas guías sobre cómo hacer esto.

Además de eso, NO es posible asegurar su máquina de un hacker experimentado con acceso físico.

Contraseñas de usuario / cuenta:
es fácil crear un nuevo usuario administrador si inicia en modo de recuperación, como lo describió usted mismo, porque obtiene un shell raíz sin que se le pidan contraseñas de esta manera.
Puede parecer un problema de seguridad accidental, pero está destinado a casos de recuperación (¿quién lo hubiera pensado?), En los que, por ejemplo, perdió su contraseña de administrador o desordenó el sudocomando u otras cosas vitales.
contraseña de root:
Ubuntu no ha configurado ninguna contraseña de usuario root de forma predeterminada. Sin embargo, puede configurar uno y se le pedirá si arranca en modo de recuperación. Esto parece bastante seguro, pero en última instancia todavía no es una solución segura. Todavía puede agregar el parámetro del kernel a single init=/bin/bashtravés de GRUB antes de iniciar Ubuntu que lo inicia en modo de usuario único, que de hecho es un shell raíz sin contraseña también.
Asegurar el menú de GRUB con una contraseña:
puede asegurar que las entradas de su menú de GRUB solo sean accesibles después de la autenticación, es decir, puede negar el inicio del modo de recuperación sin contraseña. Esto también evita manipular los parámetros del núcleo. Para obtener más información, consulte el sitio Grub2 / Contraseñas en help.ubuntu.com . Esto solo se puede omitir si arranca desde un medio externo o conecta el HDD a otra máquina directamente.
Deshabilite el arranque desde un medio externo en el BIOS:
puede configurar el orden de arranque y, por lo general, excluir dispositivos del arranque en muchas versiones actuales de BIOS / UEFI. Sin embargo, esas configuraciones no están aseguradas, ya que todos pueden ingresar al menú de configuración. Aquí también debe establecer una contraseña, pero ...
Contraseñas de BIOS: por
lo general, también puede omitir las contraseñas de BIOS. Hay varios métodos:
- Restablezca la memoria CMOS (donde se almacena la configuración del BIOS) abriendo la carcasa de la computadora y retirando físicamente la batería CMOS o configurando temporalmente un puente "Clear CMOS".
- Restablezca la configuración del BIOS con una combinación de teclas de servicio. La mayoría de los fabricantes de placas base describen combinaciones de teclas en sus manuales de servicio para restablecer la configuración de BIOS en mal estado a los valores predeterminados, incluida la contraseña. Un ejemplo sería esperar ScreenUpmientras se enciende la alimentación, que, si no recuerdo mal, desbloqueó una placa base Acer con AMI BIOS una vez para mí después de que estropeé mi configuración de overclocking.
- Por último, pero no menos importante, hay un conjunto de contraseñas de BIOS predeterminadas que parecen funcionar siempre, independientemente de la contraseña establecida real. No lo probé, pero este sitio ofrece una lista de ellos, clasificados por fabricante.
  ¡Gracias a Rinzwind por esta información y enlace!
Bloquee la caja de la computadora / niegue el acceso físico a la placa base y al disco duro:
incluso si todo lo demás falla, un ladrón de datos aún puede abrir su computadora portátil / computadora, saque el HDD y conéctelo a su propia computadora. Montarlo y acceder a todos los archivos no encriptados es pan comido desde allí. Debe colocarlo en un estuche seguro donde pueda asegurarse de que nadie pueda abrir la computadora. Sin embargo, esto es imposible para las computadoras portátiles y difícil para las computadoras de escritorio. ¿Tal vez se te ocurra ser dueño de una película de acción como un dispositivo autodestructivo que explota algunos explosivos en el interior si alguien intenta abrirlo? ;-) ¡Pero asegúrese de que nunca tendrá que abrirlo usted mismo para realizar tareas de mantenimiento!
Cifrado de disco completo:
sé que aconsejé que este método sea seguro, pero tampoco es 100% seguro si pierde su computadora portátil mientras está encendida. Hay un llamado "ataque de arranque en frío" que permite al atacante leer las claves de cifrado de su RAM después de reiniciar la máquina en funcionamiento. Esto descarga el sistema, pero no descarga el contenido de RAM del tiempo sin energía es lo suficientemente corto.
¡Gracias a kos por su comentario sobre este ataque!
También voy a citar su segundo comentario aquí:

Este es un video antiguo, pero explica bien el concepto: "No sea que lo recordemos: ataques de arranque en frío en claves de cifrado" en YouTube ; si tiene configurada una contraseña de BIOS, el atacante aún puede quitar la batería CMOS mientras la computadora portátil aún está encendida para permitir que la unidad personalizada se inicie sin perder ningún segundo crucial; Esto es más aterrador hoy en día debido a los SSD, ya que un SSD diseñado a medida probablemente sea capaz de volcar incluso 8GB en menos de 1 minuto, considerando una velocidad de escritura de ~ 150MB / s

Pregunta relacionada, pero aún sin respuesta, sobre cómo prevenir los ataques de arranque en frío: ¿Cómo habilito Ubuntu (usando el cifrado de disco completo) para llamar a LUKSsupend antes de dormir / suspender a RAM?

Para concluir: actualmente nada realmente protege su computadora portátil de ser utilizada por alguien con acceso físico e intención maliciosa. Solo puede cifrar completamente todos sus datos si es lo suficientemente paranoico como para arriesgarse a perder todo al olvidar su contraseña o un bloqueo. Por lo tanto, el cifrado hace que las copias de seguridad sean aún más importantes de lo que ya son. Sin embargo, también deben cifrarse y ubicarse en un lugar muy seguro.
O simplemente no regale su computadora portátil y espere que nunca la pierda. ;-)

Sin embargo, si le importan menos sus datos pero más su hardware, es posible que desee comprar e instalar un remitente GPS en su estuche, pero eso es solo para las personas paranoicas reales o los agentes federales.

— Byte Commander
fuente

77

¡Y aún así el cifrado de disco completo no lo salvaría de los ataques de arranque en frío, si su computadora portátil es robada mientras está encendida!

— kos

14

Además, después de que su computadora portátil estuvo fuera de su control por cualquier cantidad de tiempo, ya no se puede esperar que sea segura. Ahora podría registrar su contraseña previa al arranque, por ejemplo.

— Josef

1

Cifrar sus datos no debería aumentar el riesgo de perderlos, ya que tiene copias de seguridad, ¿verdad? Los datos almacenados solo una vez no son mucho mejores que los datos que no existen. Los SSD tienden especialmente a fallar repentinamente sin la posibilidad de sacarles nada.

— Josef

3

Este es un video antiguo, pero explica bien el concepto: youtube.com/watch?v=JDaicPIgn9U ; si tiene configurada una contraseña de BIOS, el atacante aún puede quitar la batería CMOS mientras la computadora portátil aún está encendida para permitir que la unidad personalizada se inicie sin perder ningún segundo crucial; Esto es más aterrador hoy en día debido a los SSD, ya que un SSD diseñado a medida probablemente será capaz de volcar incluso 8 GB en menos de 1 minuto, considerando una velocidad de escritura de ~ 150 MB / s

— kos

2

@ByteCommander pero su SSD puede fallar de la misma manera y todos sus datos se pierden. Claro, si tiende a olvidar las contraseñas (bueno, escríbalas y guárdelas en su caja fuerte), la probabilidad de perder todos sus datos podría aumentar con el cifrado, pero no es que sus datos sean súper seguros a menos que se atreva a cifrarlos. . No "arriesga todo olvidando su contraseña o un bloqueo", lo hace al no tener copias de seguridad.

— Josef

11

La computadora portátil más segura es la que no tiene datos. Puede configurar su propio entorno de nube privada y luego no almacenar nada de importancia local.

O saca el disco duro y derrítelo con termita. Si bien esto técnicamente responde la pregunta, puede que no sea la más práctica, ya que ya no podrá usar su computadora portátil. Pero tampoco lo harán esos hackers siempre nebulosos.

Salvo esas opciones, encripte doblemente el disco duro y requiera que se conecte una memoria USB para desencriptarlo. La memoria USB contiene un conjunto de claves de descifrado y el BIOS contiene el otro conjunto, protegido por contraseña, por supuesto. Combine eso con una rutina automática de autodestrucción de datos si la unidad USB no está conectada durante el inicio / reanudación de la suspensión. Lleve la memoria USB en su persona en todo momento. Esta combinación también pasa a tratar con XKCD # 538 .

— E. Diaz
fuente

77

La rutina de autodestrucción automática sin duda será una sorpresa agradable una vez que su memoria USB acumule algo de polvo en las almohadillas de contacto.

— Dmitry Grigoryev

10

Cifra tu disco. De esta manera, su sistema y sus datos estarán seguros en caso de robo de su computadora portátil. De otra manera:

La contraseña del BIOS no ayudará: el ladrón puede extraer fácilmente el disco de su computadora y ponerlo en otra PC para arrancarlo.
Su contraseña de usuario / root tampoco ayudará: el ladrón puede montar fácilmente el disco como se explicó anteriormente y acceder a todos sus datos.

Te recomendaría que tengas una partición LUKS en la que puedas configurar un LVM. Puede dejar su partición de arranque sin cifrar para que solo necesite ingresar su contraseña una vez. Esto significa que su sistema podría verse comprometido más fácilmente si es manipulado (robado y devuelto sin que usted lo note), pero este es un caso muy raro y, a menos que piense que está siendo seguido por la NSA, un gobierno o algún tipo de mafia, no deberías preocuparte por esto.

Su instalador de Ubuntu debería darle la opción de instalar con LUKS + LVM de una manera muy fácil y automatizada. No estoy volviendo a publicar los detalles aquí, ya que hay mucha documentación en Internet. :-)

— Peque
fuente

Si es posible, ¿podría proporcionar una respuesta más detallada? Como puede ver en mi pregunta, no soy un fanático de la seguridad.

— blade19899

votaron por las viñetas, pero tenga en cuenta que el cifrado de disco completo no es la única forma, ni es necesario si confina sus archivos confidenciales /home/yourName, ¡como debería! - luego apile esta carpeta con un controlador de cifrado a nivel de archivo (como uno que mencioné en el OP y no volverá a enviar spam), una alternativa muy viable. No me preocupa que la gente vea todas las cosas aburridas /usr, etc.

— underscore_d

1

@underscore_d: De hecho, estoy preocupado por otras cosas externas /home(incluidos datos personales y profesionales en otras particiones), por lo que es más fácil para mí cifrar todo, pero creo que cada usuario tiene sus propias necesidades :-). Sin embargo, el uso ecryptfsno es la mejor decisión en cuanto al rendimiento. Puedes encontrar algunos puntos de referencia aquí . Asegúrese de leer las páginas 2-5del artículo para obtener resultados reales (la página 1es solo una introducción).

— Peque

Muy cierto, gracias por el enlace / puntos de referencia. Todavía no he alcanzado ninguna barrera de rendimiento, pero tal vez más tarde lo haga. Además, me di cuenta de que probablemente tendré que empezar a pensar en cifrar cosas como /var/log, /var/www(fuente), y /tmp, ¡entonces tal vez el cifrado de disco completo comenzará a parecer más sensato!

— underscore_d

@underscore_d: sí, y luego empiezas a pensar en /etcotros directorios de nivel superior ... Al final, el cifrado de disco completo es una solución simple y rápida que te permitirá dormir como un bebé todas las noches. ^^

— Peque

5

Hay un par de soluciones de hardware que vale la pena destacar.

En primer lugar, algunas computadoras portátiles, como algunas computadoras portátiles empresariales de Lenovo, vienen con un interruptor de detección de manipulación que detecta cuándo se abre el estuche. En Lenovo, esta función debe activarse en el BIOS y debe establecerse una contraseña de administrador. Si se detecta una manipulación, la computadora portátil (creo) se apagará de inmediato, al inicio mostrará una advertencia y requerirá la contraseña de administrador y el adaptador de CA adecuado para continuar. Algunos detectores de manipulación también activarán una alarma sonora y se pueden configurar para enviar un correo electrónico.

La detección de manipulación realmente no evita la manipulación (pero puede dificultar el robo de datos de la RAM, y la detección de manipulación puede "bloquear" el dispositivo si detecta algo realmente dudoso como tratar de quitar la batería CMOS). La principal ventaja es que alguien no puede manipular encubiertamente el hardware sin que usted lo sepa: si ha configurado una seguridad de software sólida, como el cifrado de disco completo, la manipulación encubierta del hardware es definitivamente uno de los vectores de ataque restantes.

Otra seguridad física es que algunas computadoras portátiles se pueden bloquear en un muelle. Si la base está montada de forma segura en una mesa (a través de los tornillos que estarán debajo de la computadora portátil) y la computadora portátil se mantiene bloqueada en la base cuando no está en uso, entonces proporciona una capa adicional de protección física. Por supuesto, esto no detendrá a un ladrón determinado, pero definitivamente hace que sea más difícil robar la computadora portátil de su hogar o negocio, y mientras está bloqueada todavía es perfectamente utilizable (y puede conectar periféricos, ethernet, etc.).

Por supuesto, estas características físicas no son útiles para asegurar una computadora portátil que no las tiene. Pero si usted es consciente de la seguridad, puede valer la pena considerarlos al comprar una computadora portátil.

— Blake Walsh
fuente

2

Además de cifrar su disco (no lo evitará): - SELinux y TRESOR. Ambos fortalecen el kernel de Linux e intentan dificultar que los atacantes lean cosas de la memoria.

Mientras lo hace: ahora entramos en el territorio no solo del miedo a los malvados tipos al azar que desean la información de su tarjeta de débito (no lo hacen) sino a menudo lo suficiente de las agencias de inteligencia. En ese caso, quieres hacer más:

Intente purgar todo lo de código cerrado (también firmware) de la PC. ¡Esto incluye UEFI / BIOS!
Utilice tianocore / coreboot como nuevo UEFI / BIOS
Use SecureBoot con sus propias claves.

Hay muchas otras cosas que puede hacer, pero deberían dar una cantidad razonable de cosas con las que deben hacer cosquillas.

Y no te olvides de: xkcd ;-)

— larkey
fuente

Estas sugerencias no son útiles. Ni SELinux ni TRESOR detienen a alguien con acceso físico. No están diseñados para este modelo de amenaza. Proporcionarán una falsa sensación de seguridad. PS El código de código cerrado de purga no tiene ninguna relación con la seguridad contra alguien con acceso físico.

— DW

1

@DW "TRESOR (acrónimo recursivo de" TRESOR ejecuta el cifrado de forma segura fuera de la RAM ") es un parche de kernel de Linux que proporciona cifrado basado en CPU únicamente para defenderse contra ataques de arranque en frío", por lo que TRESOR definitivamente ayuda en tales escenarios. Pero eso es solo un punto secundario. Escribí 'Adicional' ya que esas cosas realmente no harán nada si no encriptas tu disco (en un escenario de acceso físico). Sin embargo, cuando aumente la seguridad física, no debe olvidar que el atacante aún puede arrancar y hacer un ataque digital también (es decir, explotar errores).

— larkey

@DW Es bastante malo si tu PC está bien encriptada pero es propensa a la escalada de privilegios. Es por eso que, si uno está a punto de asegurar el sistema desde un lado físico, también se debe fortalecer el lado del software. Expliqué explícitamente que endurecieron el kernel de Linux y que deberían hacerse adicionalmente . Lo mismo ocurre con el software de código cerrado. Su disco puede estar bien encriptado, pero si hay un keylogger de puerta trasera en el UEFI, no lo ayudará contra las agencias de inteligencia.

— larkey

Si usa el cifrado de disco completo y no deja su computadora funcionando desatendida, los ataques de escalada de privilegios son irrelevantes, ya que el atacante no sabrá la contraseña de descifrado. (. El uso apropiado de cifrado de disco completo se requiere para apagar / hibernación cuando desatendida) Si utiliza el cifrado de disco completo y hace dejar el ordenador desatendido, entonces el cifrado de disco completo puede ser evitado por cualquier número de métodos - por ejemplo, la fijación de un USB dongle, incluso si usa TRESOR, SELinux, etc. Una vez más, esos no están diseñados para este modelo de amenaza. Esta respuesta no parece reflejar un cuidadoso análisis de seguridad.

— DW

1

Con la frase "intentar hacerlo" con comadreja, todo califica: el cifrado rot13 puede intentar garantizar que un exploit no pueda hacerse cargo del sistema. No valdrá la pena, pero puedo describirlo como un intento. Mi punto es que las defensas que estás señalando no son efectivas para detener esta clase de ataques. SELinux / TRESOR no detiene el arranque en frío. Para analizar la seguridad, debe comenzar con un modelo de amenaza y analizar las defensas contra ese modelo de amenaza específico. La seguridad no es el proceso de rociar una lista interminable de restricciones adicionales que suenan bien. Hay algo de ciencia en ello.

— DW

2

Debido a que cambió un poco la pregunta, aquí está mi respuesta a la parte modificada:

¿Cómo puedo asegurar mi máquina para que no sea posible hackear el acceso físico?

Respuesta: no puedes

Hay muchos sistemas avanzados de hardware y software como detección de manipulaciones , cifrado, etc., pero todo se trata de esto:

Puede proteger sus datos, pero no puede proteger su hardware una vez que alguien tuvo acceso a ellos. Y si continúa usando cualquier hardware después de que alguien más tuvo acceso, ¡está poniendo en peligro sus datos!

Use una computadora portátil segura con detección de manipulación que borre la RAM cuando alguien intente abrirla, use el cifrado de disco completo, almacene copias de seguridad de sus datos cifrados en diferentes ubicaciones. Luego, haga que sea lo más difícil posible obtener acceso físico a su hardware. Pero si cree que alguien tuvo acceso a su hardware, límpielo y deséchelo.

La siguiente pregunta que debe hacer es: ¿Cómo puedo adquirir nuevo hardware que no haya sido manipulado?

— Josef
fuente

1

Use una contraseña ATA para su HDD / SSD

Esto evitará el uso del disco sin la contraseña . Esto significa que no puede arrancar sin la contraseña porque no puede acceder al MBR o ESP sin la contraseña. Y si el disco se usa dentro de otra máquina, aún se requiere la contraseña.

Por lo tanto, puede utilizar una llamada contraseña de usuario ATA para su HDD / SSD. Esto generalmente se configura dentro del BIOS (pero esta no es una contraseña de BIOS).

Para mayor seguridad, también puede establecer una contraseña maestra ATA en el disco. Para deshabilitar el uso de la contraseña del fabricante.

También puedes hacer esto en el cli hdparm.

Se debe tener especial cuidado porque puede perder todos sus datos si pierde la contraseña.

http://www.admin-magazine.com/Archive/2014/19/Using-the-ATA-security-features-of-modern-hard-disks-and-SSDs

Nota: Aquí también hay puntos débiles, ya que existen softwares que afirman recuperar la contraseña de ATA, o incluso afirman que la eliminan. Por lo tanto, tampoco es 100% seguro.

Nota: la contraseña ATA no necesariamente viene con FED (Full Disk Encryption)

— solsticio
fuente