Forum » Informacijska varnost » Razlika med encr. key na USB in uporabo TPM
Razlika med encr. key na USB in uporabo TPM
CyberPunk ::
Na "starejšem" laptopu uporabljam USB flashdrive z Bitlocker ključem. Brez njega OS ne more zalaufati oz. vsebina diska ne more biti prebrana. Na novejši Windows tablici je za ta namen v uporabi TPM čip oz. je vse skupaj v eni škatli. Meni se na prvi pogled zdi, da je varnejša prva možnost, ker gre dejansko za ključ, ki je fizično ločen in brez katerega ni vstopa. V čem je pravzaprav "fora" novejše variante (razen tega, da so docela zakomplicirali stvari, če hočeš bootati z drugih diskov ali instalirati kak drug OS)?
Mr.B ::
Kljuc ti lahko ukradem skupaj z prenosnikom... Za TPM ključ te moram pa prej malo mučiti. Pač subjektivna ocena.
France Rejects Genocide Accusations Against Israel in Gaza,
To accuse the Jewish state of genocide is to cross a moral threshold
To accuse the Jewish state of genocide is to cross a moral threshold
Mr.B ::
A, Ko gres skozi postopek zahetvaš TPM+PIN. Torej če ne vejo PIN-a, koraj prii do a. recovery kljuca, b. ti malo prste lomit, c. so NSA
France Rejects Genocide Accusations Against Israel in Gaza,
To accuse the Jewish state of genocide is to cross a moral threshold
To accuse the Jewish state of genocide is to cross a moral threshold
Ribič ::
Pri TPM-ju imaš ključ shranjen že v kartici, zato ti ni treba imeti ločenega USB ključa... kao. TPM je pa posebna pametna kartica, ki naj bi bila "utrjena", se pravi, da ključe lahko nalagaš le nanjo, dol jih pa ne moreš več dobiti. S tem naj bi se preprečila kraja ključev, a kaj, ko ne veš, če so tile TPM čipi sploh varni pred fizičnimi zlorabami. Ena pozitivna stvar je, da zadeva zahteva PIN. Tu je pa razlika, ker imaš v primeru USB ključa neskončno možnosti za vpis gesla. Zato mora biti geslo v primeru, da uporabljaš USB ključ dovolj močno... male, velike črke, številke, znaki in dolžina gesla... Pri TPM-jih pa geslo ni treba biti komplicirano, saj ti čip omejuje število poskusov. Če PIN vpišeš prevečkrat napačno, se bo ključ izbrisal.
Obstajajo pa tudi TPM kartice na USB ključu, tako da...
V Google vpiši ključne besede "Nitrokey Pro" in našel boš tako kartico.
lp
Obstajajo pa tudi TPM kartice na USB ključu, tako da...
V Google vpiši ključne besede "Nitrokey Pro" in našel boš tako kartico.
lp
CyberPunk ::
Če se torej ob prevečkratnem napačnem vnosu PINa ključ izbriše, lahko verjetno uporabiš recovery key, ki ga imaš shranjenega na varnem?
Se da PIN dodati naknadno (verjetno potem na novo naredi enkripcijo drajva)?
Pa še nekaj - če sem prav razbral, je v Windowsih disk/SSD zaklenjen/zašifriran samo takrat, ko je mašina ugasnjena ali v hibernaciji. Če je v standby ali podobnih načinih, pa ne. Ali to drži?
Se da PIN dodati naknadno (verjetno potem na novo naredi enkripcijo drajva)?
Pa še nekaj - če sem prav razbral, je v Windowsih disk/SSD zaklenjen/zašifriran samo takrat, ko je mašina ugasnjena ali v hibernaciji. Če je v standby ali podobnih načinih, pa ne. Ali to drži?
Lonsarg ::
Samo USB, ki je vedno zraven je isto kot brez enkripcije, neuporabno.
Naslednji po varnosti je TPM-only, tu si varen pred "navadnimi" vdori, ne pa pred "Cold boot attack", večina firm se zadovolji z tem, ker ni treba ničesar vpisovati.
Potem imaš TPM + PIN, tu je ednia možnost za vdor kompromiziran TPM čip, kar je highly unlikely še za NSA.
Približno enako po varnosti kot TPM+PIN je samo geslo, ki pa mora biti ultra hudo da je varno pred brute force, če je dovolj hudo je to lahko zelo varna opcija. Če je samo eno povprečno geslo rabi NSA samo za kak dan vklopit svoj računalnik. USB, ki ga vedno nosiš sabo je tudi v bistvu nič drugega kot geslo, ampak to sta oboje "komplicirani" opciji za uporabo.
Potem so pa raznorazne pretiravanja, torej dvojne trojne varnosti. Recimo geslo + USB, ki ga vedno s sabo nosiš. + TPM + ,...
No in sedaj če se vrnemo na "cold boot attack", na njega si ranljiv vedno, ne glede na zaščito, če imaš računalnik v prižganem, sleep ali hibernate stanju. Ker v vseh teh stanjih je ključ v RAMu. Jasno je zakaj je TPM-only opcija ranljiva tudi v primeru, ko je ugasnjena -> zato ker jo lahko prižgeš in viola, že imamo ključ v RAMu.
Naslednji po varnosti je TPM-only, tu si varen pred "navadnimi" vdori, ne pa pred "Cold boot attack", večina firm se zadovolji z tem, ker ni treba ničesar vpisovati.
Potem imaš TPM + PIN, tu je ednia možnost za vdor kompromiziran TPM čip, kar je highly unlikely še za NSA.
Približno enako po varnosti kot TPM+PIN je samo geslo, ki pa mora biti ultra hudo da je varno pred brute force, če je dovolj hudo je to lahko zelo varna opcija. Če je samo eno povprečno geslo rabi NSA samo za kak dan vklopit svoj računalnik. USB, ki ga vedno nosiš sabo je tudi v bistvu nič drugega kot geslo, ampak to sta oboje "komplicirani" opciji za uporabo.
Potem so pa raznorazne pretiravanja, torej dvojne trojne varnosti. Recimo geslo + USB, ki ga vedno s sabo nosiš. + TPM + ,...
No in sedaj če se vrnemo na "cold boot attack", na njega si ranljiv vedno, ne glede na zaščito, če imaš računalnik v prižganem, sleep ali hibernate stanju. Ker v vseh teh stanjih je ključ v RAMu. Jasno je zakaj je TPM-only opcija ranljiva tudi v primeru, ko je ugasnjena -> zato ker jo lahko prižgeš in viola, že imamo ključ v RAMu.
Zgodovina sprememb…
- spremenil: Lonsarg ()
Ribič ::
Potem imaš TPM + PIN, tu je ednia možnost za vdor kompromiziran TPM čip, kar je highly unlikely še za NSA.
Tole ne vem, če bo čisto držalo. Da se disk dešifrira, je potreben glavni ključ oz. "master key". Če je ta shranjen na TPM in ne more ven, potem se mora vse šifriranje izvajati na TPM-ju, kar bi pa močno upočasnilo prenos podatkov na disk in z njega. Mislim, da se ravno zato uporablja bljižnica, kjer se v TPM-ju shranjuje samo ključ za odklep glavnega ključa - ta pa se nahaja na trdem disku v šifrirani obliki. Ko uporabnik vtipha PIN, mu TPM dešifrira glavni ključ in s tem potem računalnik odklene disk. In ravno tule je spet pomankljivost - če ti barabe okužijo boot sector, potem bo trojanec naslednkič, ko vtipkaš pin, zvohljal dešifriran glavni ključ in ga zapisal nekam na disk. Bum, pa si mrtev!
Protistrup za to je uporaba varnega BIOSa, ki omogoča "verified boot" - se pravi, da preveri vse datoteke na boot particiji preden karkoli požene naprej. Če imaš boot particijo okuženo, se računalnik nebo zbootal do točke, kjer bi te vprašal za PIN. Potem je pa zopet naslednji korak... kaj, če ti barabe okužijo BIOS? Kaj, če ti okužijo računalnik med delovanjem in odtujijo glavni ključ za šifriranje diska? itd...
Skratka kar nekaj glavobolov sem že prebolel na to temo. Uporaba USB ključa ti daje malenkost več varnosti, ker moraš imeti oboje prisotno, da lahko dostopiš do svojih podatkov. Uporabno bi bilo npr. na carini v veliki britaniji, kjer te lahko barabe pošljejo v zapor, če jim nočeš razkriti šifrirnega gesla na zahtevo. Tako pa vzameš prenosnik s seboj, ključ pa daš svojemu prijatelju, ki bi prišel v državo naslednji dan, če mu sporočiš, da je vse vredu. V primeru, da te pridržijo, jim spridgaš, da nimaš ne gesla ne ključa. Če bodo hoteli ključ, jim poveš, da ga ima prijatelj, ki ne bo prišel v državo, ker so te pridržali. Pa se naj gredo solit.
Lonsarg ::
Dejmo mal kategorizirat stvari, eno je vdor v zaklenjen računalnik(to kar sem govoril jaz), popolnoma ločena zgodba pa je to kar ti govoriš, ko imaš fizični dostop do računalnika po in pred uporabo oziroma žargonsko "evil maid attack".
Prvo je treba povedat, da proti evil maid napadom ne obstaja nobena delujoča obramba(ker v skrajni sili tipkovnico shekaš). Ima pa TPM z secure boot(point TPM-ja je uporaba z secure boot) obrambo proti hekanju boot sekvence(samo mora biti uporabnik pozoren, ker če ga vpraša po recovery ključu je lahko to posledica vdora, prav tako če se po vpisu PINa se dogaja kaj čudnega). Medtem ko šifriranje z geslom ali USB ključkom nima prav nobene zaščite proti temu. Secure boot ti v primeru UBS ključka ali gesla ne pomaga.
Prvo je treba povedat, da proti evil maid napadom ne obstaja nobena delujoča obramba(ker v skrajni sili tipkovnico shekaš). Ima pa TPM z secure boot(point TPM-ja je uporaba z secure boot) obrambo proti hekanju boot sekvence(samo mora biti uporabnik pozoren, ker če ga vpraša po recovery ključu je lahko to posledica vdora, prav tako če se po vpisu PINa se dogaja kaj čudnega). Medtem ko šifriranje z geslom ali USB ključkom nima prav nobene zaščite proti temu. Secure boot ti v primeru UBS ključka ali gesla ne pomaga.
Zgodovina sprememb…
- spremenil: Lonsarg ()
Ribič ::
Azgard: Eno zlatih pravil računalniške varnosti se glasi: "A security of a system is only as strong as its weakest link". Za to moraš na nek sistem gledati kot celoto in ne le po delih. Če imaš geslo še tako dobro, ti lahko vdrejo v sistem preko kake ranljivosti programov, ko je PC prižgan ali pa preko evil maid napada, kot si že napisal. Tu sledi drugo zlato pravilo: "There is no security without physical security". Čeprav lahko za večino stvari napraviš neko obrambo, pa ta obramba ni v vseh primerih enako učinkovita. V vsak sistem je možno vdreti z dovolj časa in denarja. Tudi super dobro geslo lahko "eventuelno" uganeš, če preskusiš dovolj veliko število kombinaciji ("brute force" napad). Posledično tretje zlato pravilo: "Perfect security doesn't exist". Zato se pri varovanju ponavadi govori o faktorju farnosti oz. ang. "security margin". To je neka meja, ki pove kako varen je določen sistem. Pri postavitvi sistema je cilj to mejo postaviti na takšno vrednost, da mora napadalec vložiti več truda, kot pa je vrednost podatkov do katerih se dokoplje z vdorom.
Za evil maid v BIOSu pa tudi obstaja rešitev npr. na SPI flash čipu priklopiš write-protect pin ter narediš fizično zaščito ohišja računalnika. Pred leti sem videl, ko je Jacob Apfelbaum na C3 predaval kako se laptope zaščiti z navadnim lakom za nohte. Enostavno prepleskaš vijake na dnu z bleščicami in nato vsakič pogledaš, če je lak še prisoten. V primeru, da bi napadalec želel fizično dostopiti do BIOS čipa, bi moral odpreti pokrov. Pri tem pa bi poškodoval nanos bleščic, kar bi bilo razvidno. Tudi če bi na novo nanesel bleščice, mu nikakor ne bo uspelo narediti enakega vzorca bleščic.
Milsim, da je nekaj ta tole temo na youtube, išči video pod ključnimi besedami "To protect and infect" - obstajata 2 dela.
lp
Za evil maid v BIOSu pa tudi obstaja rešitev npr. na SPI flash čipu priklopiš write-protect pin ter narediš fizično zaščito ohišja računalnika. Pred leti sem videl, ko je Jacob Apfelbaum na C3 predaval kako se laptope zaščiti z navadnim lakom za nohte. Enostavno prepleskaš vijake na dnu z bleščicami in nato vsakič pogledaš, če je lak še prisoten. V primeru, da bi napadalec želel fizično dostopiti do BIOS čipa, bi moral odpreti pokrov. Pri tem pa bi poškodoval nanos bleščic, kar bi bilo razvidno. Tudi če bi na novo nanesel bleščice, mu nikakor ne bo uspelo narediti enakega vzorca bleščic.
Milsim, da je nekaj ta tole temo na youtube, išči video pod ključnimi besedami "To protect and infect" - obstajata 2 dela.
lp
Mr.B ::
Dej no, malo preveč pravljice gledaš, ker sem skoraj 100% da nisi/ ne boš uporabil kakšne custom bleščice, ki jih ni težko kupiti povsod.. Pa pustimo da bi te preglede zelo hitro opustil... Glede na to, da je pin načeloma numerični verjetno ni težko ene par tipk zamenjati ter snemat kaj tipkaš.. ... Pa pustimo da se zna glede na to kaj tipkaš lepo posneti, in točno veš kaj si tipkal.......
France Rejects Genocide Accusations Against Israel in Gaza,
To accuse the Jewish state of genocide is to cross a moral threshold
To accuse the Jewish state of genocide is to cross a moral threshold
Mr.B ::
Lepo, vse to se da verjetno kupit povsod ?
Koliko bos vsakodnevno pozoren pri preverjanju, je pa druga zgodba.. Sedaj pa povej, kako imaš zaščiteno tipkovnico ? Jaz zagotovo od zadnjega pihanja PC-ja nisem pogledal kakšno je stanje na zadnji strani... Še huje, da bi preverjal docking ? ali obračal notebook v dockingu...
Te lak zadeve uporabljajo lokalci recimo kao odpreš ni garancije ali nekaj. To je danes postalo skoraj neuporabno, po treh letih dobi enake komponente, ki niso nič boljše kot prej.
Koliko bos vsakodnevno pozoren pri preverjanju, je pa druga zgodba.. Sedaj pa povej, kako imaš zaščiteno tipkovnico ? Jaz zagotovo od zadnjega pihanja PC-ja nisem pogledal kakšno je stanje na zadnji strani... Še huje, da bi preverjal docking ? ali obračal notebook v dockingu...
Te lak zadeve uporabljajo lokalci recimo kao odpreš ni garancije ali nekaj. To je danes postalo skoraj neuporabno, po treh letih dobi enake komponente, ki niso nič boljše kot prej.
France Rejects Genocide Accusations Against Israel in Gaza,
To accuse the Jewish state of genocide is to cross a moral threshold
To accuse the Jewish state of genocide is to cross a moral threshold
Vredno ogleda ...
| Tema | Ogledi | Zadnje sporočilo | |
|---|---|---|---|
| Tema | Ogledi | Zadnje sporočilo | |
| » | BitLocker tpm VS pin/passwordOddelek: Informacijska varnost | 2213 (1760) | jukoz |
| » | Nova anketa: ali šifrirate podatke na svojem disku? (strani: 1 2 )Oddelek: Novice / Ankete | 18106 (12657) | matijadmin |
| » | Raziskovalci uspeli zaobiti BitLocker zaščito tudi ob uporabljenem TPM moduluOddelek: Novice / Varnost | 5312 (4128) | Looooooka |
| » | Evil Maid napad na TrueCryptOddelek: Novice / Varnost | 6464 (4951) | poweroff |