Názory k článku Cold-Boot Attack ukradne hesla z paměti za dvě minuty, ochrana nefunguje
-
654 (neregistrovaný)
Jenže ony ty spreje nejsou zadarmo...
Ale určitě by šlo vyrobit nepraktické a drahé chlazení na stlačený vzduch. Kompresor stlačí a zkapalní vzduch (a taky zahřeje), pak vzduch projde chladičem a pak hurá k procesoru. Má to ale jeden problém; dlouhodobě chladit elektroniku pod rosný bod způsobí kondenzaci vody.
-
V článku se píše o spreji.
spreje se stlačeným vzduchem
Většina plechovek se stlačeným vzduchem neobsahuje vzduch, ale zkapalněné uhlovodíky (propan - butan). Takže nejde ani tak o stlačený, jako spíš zkapalněný plyn, který se při vzpřímeném použití spreje stačí odpařovat a z trysky uniká plyn, zatímco při převrácení uniká rovnou kapalina (bod varu někde kolem -40°C, podle poměru použitých látek).
Stejného efektu dosáhnete i s běžnou propan-butanovou bombou na kemping případně do domů, které nemají zavedený plyn (a tyto jsou výrazně levnější, než běžné spreje pro IT použití).
-
Radovan (neregistrovaný)
Spíš ocenění pro jazykovědce, koukni se na tohle: https://pl.wikipedia.org/wiki/Płyn
-
BobTheBuilderStříbrný podporovatelAž na to, že Windows defaultně nehibernují. Spíš to bývá tak, že uspí a po nějaké době teprve hibernují.
-
KateStříbrný podporovatelOno je to pokud vím ještě složitější. By default se používá hybridní spánek: Uspí se do RAM i na disk současně. Ta defaultní hibernace je pak při vypnutí systému. Aby jim to startovalo rychleji, vypnutí Windows je jen poshazování aplikací, logout a hibernace.
-
Meh (neregistrovaný)
Clickbait.
1) Sbernice SPI to ma spocitane vzhledem k tomu, ze jeji fungovani je zavisle na politicky nekorektnich vyrazech master a slave.
2) Rozebrani do dvou minut je prezitek, moderni trend v konstrukci notebooku, respektive v kopirovani Applu smeruje k tomu, ze baterie bude prilepena k sasi a pamet s diskem pripajena na desce. Chlazeni a odpajeni nejde moc dobre dohromady.
3) Flashovani BIOSu bych moc nerozmazaval, nebo se toho chytne Microsoft a zavede Secure Boot druheho radu. -
KateStříbrný podporovatel
Pointa je v tom, že odstranit to epoxidové lepidlo může před tím než to vypne a začne mu odtikávat čas.
-
KateStříbrný podporovatel
Nebo má s sebou akuvrtačku a ty šroubky odvrtá. Navíc, nedá se tomu přechodu do hibernace předejít prostě tím že otevře víko? Ten countdown do hibernace i suspend se tím zákonitě musí přerušit, aby šlo zadat heslo.
-
Ondra Satai NekolaZlatý podporovatelA to vyresi co?
Utocnik ma uspany pocitac, prichysta si vercajk, odstrani lepidlo, odstrani case/kryty/cokoli... a teprv pak zacne bezet mission impossible countdown na samotny utok.
-
MartinX (neregistrovaný)
Za prve vidim, ze s pocitacom bolo manipulovane a za druhe sa predlzi celkovy cas, ktory utocnik potrebuje na uskutocnenie utoku (netyka sa to situacii, ked utocnik pocitac ukradne, ale len tych, ked chce data precitat nepozorovane a nasledne pocitac vratit).
V situaciach, kde je pocitac nastaveny tak, ze po urcitej dobe spanku prejde automaticky do hibernacie a RAM sa odpoji od napajania ("hybrid sleep" vo Windows) moze stazeny pristup do vnutra pocitaca utok aj uplne znemoznit, pretoze v case, ked sa utocnik dostane do pocitaca, uz v RAM nemusia byt ziadne data. -
kdyz probouzim z hibernace (GNU/Linux nad LUKS), tak se me Grub zepta na heslo k LUKS drive nez zobrazi Grub menu... tedy totozne jako bych startoval normalne...
rozdil je jen v tom, ze kdyz se nasledne natahne jadro a initramfs, tak se bud obnovi ram ze swapu(pri probouzeni z hibernace), nebo nabehne system z rootfs(pri normalnim startu)...
-
PanKachna (neregistrovaný)
Jak je ve videu vidět, je nutné mít heslo Windows v nějakém text editoru, Win10 se už nechovají jako Win7 a hesla neuchovávají v paměti nebo minimálně ne v nešifrované podobě, protože po dlouhých letech přestal fungovat Mimikatz.
Také jsem si všiml, že není zaheslovaný BIOS/EFI a má na výběr z čeho chce boot. Každý bezpečák nebo alespoň IT specialista toto zná a v institucích kde je potřeba bezpečnost tyto věci vypíná. Na konci videa je dokonce vidět jak borec zběsile mačká shift, a má tedy přepsaný sethc.exe, aby měl command line s právy sysadmin. WTF, proč tedy dělal ten cold boot? Mimochodem žádná organizace, která se stará o svá data nepoužívá nešifrovaný disk, takže ani tento útok není moc relevantní.
Tím chci říci, že tahle metoda je možná, ale lze řešit a v reálném světě není ani moc použitelná. Tím nechci říct, že by na opravu měli výrobci kašlat. -
Šifrovaný disk je samozřejmě základní podmínkou, právě proto chce útočník získat z paměti klíče a hesla, aby se k datům dostal. Pokud někde uživatel nechá uspaný počítač s bezpečně šifrovaným diskem, jsou klíče stále v paměti a je možné je takto vyextrahovat a pak si v klidu data z disku přečíst.
Zakázání bootu v Biosu nepomůže, v článku je to napsáno. Při flešování té paměti si může útočník v klidu boot z USB povolit nebo třeba nastavit jako výchozí.
-
Pan Kachna (neregistrovaný)
Tak to nesouhlasím, protože klíče se rozhodně nesmějí nacházet v RAM. K ukládání klíčů slouží TPM nebo OPAL. Ukažte mi firemní notebook bez tohoto vybavení. Je hodně vtipné, že když se chcete v videu podívat na typ Lenovo notebooku, tak zjistíte, že to někdo schválně rozmazal. Zřejmě to vědí také.
Sorry, to s bootem jsem netušil, že je možné. -
Filip JirsákStříbrný podporovatelJde o ty klíče, které aktuálně operační systém používá pro šifrování/rozšifrování dat. Ty musejí být za běhu systému v RAM, protože se neustále používají. Klíče pro šifrování disku by ještě mohl systém před uspáním z RAM vymazat, ale co klíče, které si drží aplikace – uživatelské šifrování disku (VeraCrypt), prohlížeče, SSH, VPN…
-
Filip JirsákStříbrný podporovatel
Jedině v případě, kdy jsou data na disku šifrovaná přímo TPM. Pak ale nefunkční TPM znamená ztrátu dat. Často se data na disku šifrují jedním klíčem, a ten klíč je na disku uložen zašifrován jinými klíči. Jeden klíč může být TPM, ale pak může být jiný klíč uložený třeba v AD a použije se pro rozšifrování v případě nefunkčního TPM.
-
Proti tomu chrani uz to, ze bude nejspis vypnuty anebo s vybitou baterii, a disky budou sifrovane. Na druhou stranu, gumova hadice se moc nepouziva, zanechava "stopy". Bohate staci vhodne nainstalovana kamera (at uz klasicka nebo termo), snimani otresu pri psani, apod. Je to min prace, casove nejnarocnejsi cast muze delat "lopata", a funguje to prakticky vzdy.
Docela by me zajimalo, co maji zdejsi ctenari tak cenneho v laptopech, ze je tak trapi nejaky prunik do jejich dat.
-
s (neregistrovaný)
Ja se treba neodhlasuju z prohlizece, SSH klic mam vsude mozne a tezko bych dohledaval, kde vsude ho musim jeste "revokovat". Takze tady to sifrovani smysl ma. Kkt mi ukradne laptop, zapne browser, nebo prohlidne shell history a udela bordel. Takze nejaky smysl to sifrovani ma. Ale bat se zmrazovanim pameti je IMO paranoia.
-
mr.n (neregistrovaný)
chudí lidé kradou notebooky kvůli HW, protože si jej nemohou dovolit, nebo chtějí notebook prodat a utržit peníze..
bohatí lidé, pro které je cena HW zanedbatelná, kradou notebooky kvůli tomu, aby získali data na notebooku.. a to mohou být buď přímo data uložená na notebooku, nebo kvůli přístupům, které jsou na notebooku uložené.. třeba SSH klíče, hesla k systémům atp. divil byste se se, kolik škody může způsobit třeba to, že se vaše konkurence dostane k plánům nového produktu, který chcete uvést na trh a který by konkurenci třeba úplně zničil.. to už stojí za to, podnikat různé eskapády proto, abyste se jako konkurent k těm datům dostal (řekněme že tato data mají hodnotu celého vašeho businessu, což si třeba odhadnete na 10mil USD).. konkurence je celosvétová..
a nemusí to být zrovna váš notebook, protože v té dané společnosti pracujete, ale jste třeba sysadmin v dodavatelské společnosti pro tu danou společnost a někdo vám ukradne notebook, aby se skrze váš servisní účet dostal do vnitřního prostředí klienta, o jehož data má zájem.. scénáře jsou různé..
a laborovat s chlazením paměti? samozřejmě, že se to vyplatí, abyste obešel už docela pokročilou ochranu.. když vám jde o 10mil USD, tak si těch 100tis USD klidně rád zaplatíte ;)
(nemám s tím praktické zkušenosti, vše o čem se tu píše jsou samozřejmě praktiky za hranou zákona)
-
KateStříbrný podporovatel
U nešifrovaných dat se ještě dá bát že budou nějak zneužita, ale opravdu vidím zlodějíčka jak podchlazuje RAM.
-
KateStříbrný podporovatel
Pokud se někdo bude namáhat dolovat data z notebooku mražením pamětí, nebude to náhodný nálezce nebo zloděj tašek v tramvaji, ale cílený útok. Což už je té gumové hadici přece jen trochu blíž :)
-
JSH (neregistrovaný)
No samozřejmě že bych vyklopil všechno docela rychle. Nemám pocit, že by můj příspěvek implikoval opak. S tím, že se nikdo nebude obětovat pro cizí prachy samozřejmě počítá i ten nadutý kapitalista. Proto bych tipoval, že zmizení nějakého klíčového zaměstnance bude řešit hodně rychle. A tohle dává útočníkovi to relativně úzké okno pro využití těch informací.
-
Petr M (neregistrovaný)
Jako vývojař HW mám docela dost zásadní připomínku. Na DIMM ani SO-DIMM není vůbec sběrnice SPI!!!
Běžně se využívá SMBus (System Management Bus), což je rozšíření Philipsácké I2C (o jeden signál pro události a timeouty). Nicméně s I2C je zpětně kompatibilní a paměti využívají I2C EEPROM. Resp. standardní řadu 24Cxx, která dovoluje mít na sběrnici až osm těchto pamětí a volí se hardwarově pomocí třech nožiček, který se dávají na Vcc (1) nebo na Gnd (0). To propojení je fyzicky pod každým slotem a dovoluje mít na jednom SMB masteru až osm slotů DIMM. Signály pro select adresy jsou SA[2..0], sama sběrnice má data (SDA) a hodiny (SCL)
Například pro SO-DIMM DDR3 je zapojení pinů:
- SDA na pinu 200,
- SCL na pinu 202.- SA0 na pinu 197,
- SA1 na pinu 201,
- SA2 nevvyeden (natvrdo 0) ,Oproti tomu signály pro SPI (SCK, MOSI, MISO, #SSn) nikde v JEDEC specifikaci nevidím ani přes fulltext...
-
Filip JirsákStříbrný podporovatel
Po té sběrnici SPI se ale nekomunikuje s DIMM nebo SO-DIMM, ale s trvalou pamětí, kde má uložené údaje BIOS.
-
SPD na DIMM by spravne melo byt readonly / write protected, takze by tam nic ani nezapsali.
Nastaveni BIOSu je v NVRAM (aka "CMOS"), a to je platform specific kdyz uz resime hw. Jednu historickou dobu to bylo soucasti RTC, pak se pouzivali ruzne i2c/3wire pameti a soucasny trend je bud SPI flash nebo paralelni nor flash.
-
RayeR (neregistrovaný)
Jeste jsem nepotkal pametovy modul se zaprotektenou SPD EEPROM, obcas se i hodi mit moznost to prepsat :)
Jinak jak bylo receno, v tom utoku se zapisovalo do SPI Flash s BIOSem.
Jako reseni me napada pridat do RAM cipu nakou inteligenci, ktera po zapnuti napajeni sama zajisti vynulovani bunek.
Jinak uz jsou dostupne procesory s HW sfirovanim RAM (SMEP) - AMD Ryzen Pro, akorat si je u nas bezne nekoupite v obchode (proc po tak dlouhe dobe od uvedeni?) -
KateStříbrný podporovatel
Asi tím myslel že se čipovkou dešifruje klíč třeba pro AES256 a uloží se do RAM. Což je sice hezké, ale problém cold-bootu to fakt neřeší. :)
-
AR (neregistrovaný)
Cold Boot není přece žádná novinka a dávno existují protiopatření na úrovni hardware, se kterým neudělájí nic. S každým zavřením výka provede nezávisle na operačním systému flush paměti např.: při zavření víka laptoptu ... a zbytek je útočníkovi naprosto k ničemu, protože ze do paměti nedostane. Ostatně demonstace Cold Boot útoku zkoumali např.: https://citp.princeton.edu/research/memory/
Ochrana se jmenuje Hardware-Based Trusted Computing a žádný operační systém nemá šanci ošetřit nadřazenou instanci, protože beží na vyšší úrovni a nezavede systém, ani nepředá klíče, jen rundovní adresy.
-
AR (neregistrovaný)
Nepoužívají, ani jedna z uváděných konfigurací (dal jsem tu práci a prozkoumal dostupné informace) neodpovídá popisované platformě. Není chybou výrobců, nýbrž zákazníků, že nechtějí připlácet za bezpečnější řešení a samozřejmě v některých zemích ani nemohou (Rusko, USA, Francie ... a další země).
Klidně bych do testu věnoval 10 let stary notebook - nestandardní konfigurace E64kového Latitude s certifikacemi NIST a nezbytnou kompletní certifikací FIPS 140-2 Level 4 (jinými slovy, je odolný proti vniknutí a pokud k vniknutí dojde, tak z toho máte akorát těžítko). Kupovaný v ČR, jen nebyl součástí bežných nabídek (nehledě na zatraceně tučný příplatek), sloužil pár let v rukou lékaře s pacienty z řad bezpečnostních složek (PČR + BIS). Obonovení dat? Ani omylem, ten notebook byl vymyšlený jako trezor bránící úniku dat, o obnovení se nikdo nestaral. S jakoukoliv poruchou vše od začátku.
-
j (neregistrovaný)
Vis jestli ono to nebude uplne stejny, jako "pretaceni" tachometru. Teoreticky je zcela primitivne jednoduchy tomu zabranit, prakticky se to da naprosto vpohode u zcela liovolnyho auta udelat.
Apropos, reknemez ze stredni dojezdovej cas P&Ch je 20 minut. Vydrzej tvoje zdi/okna/dvere a strecha aspon 30 minut soustredenyho usili o prolomeni? To prece taky neni vubec zadnej problem.
-
PeterB (neregistrovaný)
Stlačený vzduch bežne používame na čistenie elektroniky. A nespomínam si že ju niekedy schladil na -50.
https://www.dtelektronik.sk/kategoria/dielna-pristroje/chemia/spreje/stlaceny-vzduch/Samozrejme že existuje aj chladiaci sprej a ten asi autor článku myslel.
https://www.conrad.cz/chladici-sprej-crc-kontakt-chemie-84413-ae-400-ml-nehorlavy.k827800 -
Karel (neregistrovaný)
Tak si někdy ten sprej vemte a použijte ho vzhůru nohama.
Uvnitř toho spreje je zkapalněný plyn. Ten je ve spodní části a nad ním je vrstva plynu v plynné formě. Jak ho používáte, tak se postupně ta kapalná forma mění na plyn a tím foukáte. Podstatné je, že v poloze "na stojáka" vychází ventilem plyn. Ten fouká a nádobka se mírně ochlazuje. Pokud to ale obrátíte vzhůru nohama, pak ventilkem půjde ta kapalina a na vzduchu se bude vypařovat a celé to bude velmi bouřlivé. Respektive velmi mrazivé.
-
peter (neregistrovaný)
Slo by tam pridat kondik a tranzistor do obvodu, ktery by pri ubytku napajeni spustil vymaz.
Otazkou je, jak dlouho zchlazeni dokaze udrzet falesny stav, jeste napajeni.Pamet je vlastne presna mrizka s napetim. Pro utocnika by mozna bylo snazsi (kdyby chtel docilit rychlost) vyrobit si laserovou nebo uv ctecku nebo ultrazvuk, neco, co pamet prosviti a odecte stav.
Samozrejme ten sprej je dobra, levna varianta a 2 minuty jsou spousta casu, kdyz clovek necha 30-60 min nb bez dozoru a jde na obed :) -
Samozřejmě, že existuje řada technicky sofistikovaných řešení, jak se dostat k datům, ale reálné kriminální podsvětí stále dává přednost tradičním metodám - tj. získat data přímo od lidí.
Další věc je, že data skrytá v počítači se kolikrát přeceňují, hodně důležitých informací si lidi říkají v jednačkách, které zpravidla nebývá tak velký problém napíchnout špionážní technikou, stačí aby tam uklízečka pohodila propisku s mikrofonem a člověk se k datům konkurence dostane fakt jednoduše.
Oblíbený je takový ten trik, kdy si pozvete nějaké lidi do své jednačky, kterou před tím napíchnete, proberete s nimi danou věc, a pak se nějak vymluvíte a odejdete, a necháte je, aby vás tam přímo o daném tématu zdrbli ve vaší nepřítomnosti :)
Další možností je třeba napíchnutí auta, ideální věc, hodně lidí tam vyřizuje telefonické hovory přes hlasité hands-free, takže když tam někam pod palubovku dáte odposlech, který velmi jednoduše můžete připojit k autozapalovači (tj. bude aktivní jen při jízdě), tak můžete velmi jednoduše odposlouchávat.
Tradiční metody odposlechu, těžení lidí atd. jsou ve výsledku mnohem účinnější metoda, než nějaké tahání dat z počítače a hlavně mnohem snázeji realizovatelné.
Kdybych si měl vybrat, jestli konkurenci napíchnout jednačku nebo ukrást kompa, hádejte co by mělo větší přínos a bylo snadněji realizovatelné.
-
Michal (neregistrovaný)
Takže závěr co jsem z diskuze zjistitl zní: Vyplnit mezeru mezi krytem deskou a paměťma mamutem co tu paměť poškodí či vysune při pokusu o zvednutí krytu + ochránit šroubky kvalitním epoxidem. Asi by se to dalo ještě víc zdokonalit, ale minimálně k výraznému zpomalení útočníka to poslouží dobře. A cena do 100kč.
