Ochrana proti evil maid útoku



Ahoj popíšu situaci:mám notebook s plně zašifrovaným diskem (bez tpm). Logicky na notebooku se musí nacházet bootloader, který je nešifrovaný a zeptá se na heslo (grub to umí)Jenže pokud se někdo dostane k notebooku, tak může si booloader upravit, že napsané heslo uloží (např ve volném místu mezi grubem a začátku filesystému) a přidá kód pro načtení klíče z daného umístění. Při další návštěvě již tedy má přístup k disku.Je to správná úvaha?A je tedy jediná možnost obrany tak, že budu používat důveryhodný bootloader (např na flashce, který nedám z kapsy)?
Jak moze v tvojej pritomnosti niekto nieco niekam nahrat mi vysvetli.Ak by to skusal v mojej pritomnosti dostal by rovno na drzku.
<p>filevault 2 je zřejmě zabezpečený proti <a href="https://en.wikipedia.org/wiki/dma\_attack">dma attack</a> , pokud obrazovka není odemčena, protože 10.7.2 (takže se ujistěte, že používáte lion). myslím, že při spánku jsou klíče šifrovány heslem, nikoli jen ponechány v paměti.</p><p>předpokládám, že to také znamená, že je chráněno proti <a href="https://en.wikipedia.org/wiki/cold\_boot\_attack">cold boot attack</a> .</p><p>jediné zdroje, které jsem na něm našel, je tento <a href="http://ilostmynotes.blogspot.co.uk/2012/01/firewire-and-dma-attacks-on-os-x.html">blogový příspěvek</a> .</p> <p>záleží. myslete na svou ip adresu jako na stejnou věc jako na skutečnou adresu. pokud zločinec zná adresu banky, co může dělat? <em>zcela záleží</em> na tom, jaké zabezpečení je na místě.</p><p>pokud máte spuštěn firewall (např. windows firewall) nebo jste za routerem nat), jste pravděpodobně v bezpečí. většina vzdálených exploitů.</p><p>moje návrhy:</p><ul> <li>povolte bránu firewall systému windows nebo cokoli, co je k dispozici ve vašem operačním systému.</li> <li>udržujte krok s opravami pro váš operační systém. to jsou kritické!</li> <li>neustále aktualizujte záplaty pro váš prohlížeč a jakékoli doplňky (např. flash)</li> <li>mějte aktuální informace o opravách svých aplikací (např. office, adobe pdf atd.)</li> <li>pokud v počítači provozujete nějaké internetové služby (např. httpd), pravidelně je aktualizujte a odpovídajícím způsobem nakonfigurujte jejich zabezpečení.</li> <li>pokud máte opravdu obavy, nainstalujte základní av balíček. microsoft security essentials (mse) je skvělou volbou pro windows, protože je zdarma, nenápadný a nemá moc výkonu.</li> </ul> Ano, budete muset převést klíče. Mac a Linux fungují stejně, ukládání klíče `~/.gnupg`. Nejbezpečnější způsob, jak přenést soubory je použití `scp`(část SSH):



```
scp -rp ~/.gnupg othermachine:

```

Nicméně, budete muset mít `ssh`práci jako první.


Přenos je, řekněme, USB flash disk není tak skvělý nápad, protože váš soukromý klíč bude zanechal na této jednotce i poté, co jste odstranili soubor. I když je chráněna přístupovým heslem, pokud se někdo dostal do rukou kopie souboru klíčů mohli připojit dlouhotrvající útok hrubou silou na něj na svém lesiure.


Nevím o umístění adresáře systému Windows. Dokumentace gpg řekne, a obsah pak bude téměř jistě být stejné.


Kopírování celé klíčenku je rychlá a snadná, ale někdy chcete být schopen se pohybovat jednotlivé klíče mezi stroji bez přepisování celý klíčenku a ztrátě klíče, které již existují. Kopírování jednotlivých kláves volitelně může být provedeno s `gpg --export-secret-key`a `gpg --import`. Pokud máte SSH přístup k cílovému počítači, můžete to udělat s trubkou a nepotřebují k ukládání průběžném klíč kdekoliv:


Pokud jste na počítači, který již má klíč:



```
gpg --export-secret-key SOMEKEYID | ssh othermachine gpg --import

```

Pokud jste na počítači, který potřebuje klíč:



```
ssh othermachine gpg --export-secret-key SOMEKEYID | gpg --import

```

Pokud `gpg`není v jednom z výchozích míst na vzdáleném počítači (např je v `/opt/local/bin`počítači Mac), budete muset dát svou plnou cestu k ssh, nebo symbolický odkaz do jednoho ze standardních místech, jako jsou `/usr/local/bin`.


Všimněte si, že data, která je přenesena je stále chráněn přístupové heslo a klíč bude mít stejné přístupové heslo do místa určení, jak tomu bylo u zdroje. Chcete-li mít různé hesel v každém místě, budete muset změnit přístupové heslo na místo určení, nebo ji změnit dočasně u zdroje před exportem. Potřeboval jsem sdílet tajný klíč s kolegou, s cílem dát mu možnost aktualizovat si Debian balíček repo oba řídit, ale nechtěl jsem se podělil o své přístupové heslo s ním. Tak jsem změnil přístupové heslo na něco dočasného, ​​poslal mu exportovaný klíč (podle gpg šifrované e-mailu!), Řekl mu dočasné heslo ústně, a požádal ho, aby nastavit nové přístupové heslo ihned po importu klíč. Pak jsem změnil přístupové heslo na mém kopie klíče zpět na to, co to bylo původně. Použij nějaké "Live CD"

[o106.com/...](http://o106.com/odvirovani-pocitace-s-windows-bootovatelna-live-cd-s-antiviry/) <p>za prvé si myslím, že odpověď skeptiků to do značné míry pokrývá: drm obtěžuje lidi. někteří z nás se aktivně vyhýbají nákupu zboží.</p><p>pokud jde o software, je to téměř nemožné. jedním schématem drm může být použití šifrování veřejným klíčem s obsahem šifrovaným symetrickými klíči (výkon symetrických šifrů je výrazně lepší než u většiny pk). šifrovat obsahový klíč soukromým klíčem a software pak může tento klíč veřejným klíčem dešifrovat a obsah dešifrovat.</p><p>což funguje, kromě toho, že se chystám provést program pomocí debuggeru nebo rozebrat váš kód, dokud nenajdu váš klíč, dešifrovat váš obsah a hra není hotová. crypto je pro přenos přes nezabezpečené sítě, nikoli pro bezpečné dešifrování a izolaci na nepřátelských systémech.</p><p>můžete tedy přes internet poslat spoustu různých klíčů pro různé části obsahu. no, vaši platící zákazníci s tím pravděpodobně budou mít problémy, ale mohu jen automatizovat proces ladění nebo připojit vaše přijímané události nebo cokoli jiného. ať tak či onak, mohu chytit ty klíče. není to snadné, ale lze to udělat.</p><p>další fází je tedy zabránit mi používat můj debugger nebo nějakým způsobem zavěsit vaše systémová volání, což je místo, kde začnete psát rootkity. jakmile se to stane, můžu disk odstavit v režimu offline a zkontrolovat/zakázat rootkit, nebo jej upravit tak, aby váš software věřil, že je bezpečný. ve skutečnosti mi to usnadní identifikaci toho, co chráníte.</p><p>existuje další případ, kdy je os komplikovaný a poskytuje nějakou formu zabezpečeného kontejneru. pokud je pro mě možné načíst kód do kruhu 0, stává se toto zabezpečení irelevantní. pokud ne, pokud mohu klonovat vaše jádro mikrok jádra a upravit jej tak, abych mohl načíst kód do kruhu 0, toto zabezpečení se opět stane irelevantní.</p><p>nyní musíte začít používat hardwarové ovládací prvky. jednoduše řečeno, protože mohu změnit operační systém jakýmkoli způsobem, prosím, pravděpodobně budete potřebovat hardwarově implementované drm, které nemám šanci modifikovat nebo číst. budete potřebovat, aby se vaše šifrování stalo na hardwaru tak, že nebude možné číst dešifrovaná data z operačního systému. budete potřebovat veřejný klíč, který jsem zmínil výše, aby zůstal na tomto hardwaru, ne na os.</p><p>v tuto chvíli jste mě osobně porazili, ale jsem si jist, že existují lidé, kteří jsou schopni upravit své kabely hdmi (nebo cokoli jiného) tak, aby rozdělili data na displej a na jiné zařízení, jako je úložiště.</p><p>problémem bude také způsob bezpečného uložení klíčů v zařízení. budete je muset zašifrovat! jinak připojím vaše úložné zařízení k offline systému. a uložte klíče ... počkejte ... podívejte se na vzorec?</p><p>jakmile máte fyzický přístup, hra končí.</p><p>nemyslím si, že drm je technicky možné. ať už použijete jakékoli metody, vždy bude existovat někdo s dostatečnou schopností zrušit tuto funkci, protože na určité úrovni musí být chráněný obsah pro jejich zobrazení dešifrován. to, zda mají motivaci, je jiná věc.</p><p>z pohledu softwarového inženýrství je to správné, aniž by to narušilo vaše uživatele, což jim umožnilo snadno přesunout jejich obsah na autorizovaná zařízení, podporovat nová zařízení ... všechny noční můry. kdo bude kupovat váš obsah, když nemáte podporu windows 8 připravenou ke spuštění? funguje váš obsah v mém systému windows xp)? co tím myslíte, že jej nepodporujete ?! pokud používáte hardware, máte problém s nasazením.</p><p>konečně drm je prostě hluboce nepopulární.</p> <pre><code>sudo apt update sudo apt install ssh sudo ufw allow 22 # if you have ufw running, but it doesn't hurt to run. </code></pre><p>to je velmi minimum. umožňuje neomezený počet neúspěšných pokusů o heslo na známém portu. přímé přihlášení root je zakázáno (po přihlášení se stále můžete <code>su</code> a <code>sudo</code>). pokud je vaše uživatelské jméno a heslo hádatelné a internet vidí server, někdo <em> se nakonec </em> vnikne.</p><p>nemohu to dostatečně zdůraznit: <strong> <em> je třeba zatvrdit výchozí nastavení. </em> </strong> pro pravděpodobnost, že budou napadeni, ale <a href="https://thepcspy.com/read/making-ssh-secure/">prošel jsem několika návrhy na svém blog</a> . alespoň bych navrhl:</p><ul> <li>přihlášení pomocí klíčů. zakázat přihlášení heslem.</li> <li>přesuňte jej z portu 22. použijte něco šíleného v rozsahu 20000-60000.</li> <li>použijte <code>fail2ban</code> zakazovat lidem, kteří to najdou, a pokusit se to přenést.</li> </ul><p>zabere vám to méně než 10 minut a oni vás vezmou z 1/10000 šance, že se dostanou do pravděpodobnosti tak malé, že na světě není dost papíru, aby mohl napsat její zlomek. vše za předpokladu, že jste opatrní s vaším klíčem, má vlastní přístupové fráze a vy nebudete trubat vaše pověření po celé síti.</p><p>pokud jde o přístup k tomuto serveru ssh z internetu, můžete čelit překážkám v místní síti. pokud je počítač za routerem nat (např. většina domácích sítí) bez přímého příchozího přístupu z internetu, možná budete muset podívat na <a href="https://portforward.com/">přesměrování portů</a> . samozřejmě, pokud nepotřebujete přístup mimo síť, přeskočení tohoto kroku zajistí zabezpečení sítě.</p> <p>předejte <code>--allow-unauthenticated</code> možnost <code>apt-get</code> jako v:</p><pre><code>sudo apt-get --allow-unauthenticated upgrade </code></pre><p>z manuálové stránky uživatele <code>apt-get</code>:</p><blockquote> <p>--allow-neautenticated<br> ignorujte, pokud balíčky nemohou být ověřeny a nevyzvěte to. to je užitečné pro nástroje, jako je pbuilder. konfigurační položka: apt :: get :: allowunauthenticated.</p> </blockquote><p>toto nastavení můžete nastavit jako trvalé pomocí vlastního konfiguračního souboru na adrese <code>/etc/apt/apt.conf.d/</code> dir. název souboru může být <code>99myown</code> a může obsahovat tento řádek:</p><pre><code>apt::get::allowunauthenticated "true"; </code></pre><p>tímto způsobem nemusíte tuto možnost používat pokaždé, když chcete nainstalovat software. <strong>poznámka: nedoporučuji ve výchozím nastavení tuto možnost, obchází kontroly podpisů, které by mohly protivníkovi umožnit napadnout počítač.</strong></p> <p>rozhodně žijete ve smyslu falešné bezpečnosti! sociální inženýrství je dnes stále velmi rozšířené a pochybuji, že se to v průběhu desítek let změní, pokud vůbec.</p><p>zde je několik stručných vysvětlení, proč funguje sociální inženýrství. je těžké pokrýt vše, protože sociální inženýrství je opravdu široké pole.</p><p>některé důvody, proč funguje sociální inženýrství (z knihy citované dole):</p><ul> <li>většina lidí si přeje být zdvořilý, zejména k cizincům</li> <li>profesionálové chtějí vypadat dobře informovaní a inteligentní</li> <li>pokud jste chváleni, budete často mluvit více a prozradit více</li> <li>většina lidí by nelhala kvůli lhaní</li> <li>většina lidí laskavě reaguje na lidi, kteří se zdají být znepokojeni</li> </ul><p><strong> být užitečný </strong></p><p>lidé si obvykle chtějí navzájem pomáhat. rád děláme hezké věci!</p><ul> <li> <p>narazil jsem na recepci ve velké firemní kanceláři s papíry namočenými v kávě. mluvím s recepční a vysvětlím, že mám schůzku na pracovní pohovor za 5 minut, ale právě jsem rozlil kávu na všechny své papíry. pak se zeptám, jestli by recepční mohl být tak sladký, a vytisknout je znovu pro mě s touto usb pamětí, kterou mám.</p> <p>mohlo by to vést ke skutečné infekci pc recepční a mohlo by mi to získat oporu v síti.</p> </li> </ul><p><strong> používání strachu </strong></p><p>strach z neúspěchu nebo nedělání podle pokynů:</p><ul> <li> <p>facebooková stránka ředitele společnosti (john smith) (nebo jakýkoli jiný zdroj informací) ukazuje, že právě odjel na plavbu po dobu 3 týdnů. zavolám sekretářce a velícím hlasem říkám: „ahoj, volá chris. právě jsem opustil telefon s johnem smithem, má velmi dobrý čas na své plavbě se svou ženou carlou a dětmi. nicméně jsme v uprostřed integrace velmi důležitého obchodního systému, a řekl mi, abych vám zavolal, abyste nám mohli pomoci. nemohl volat sám sebe, protože jde o safari, ale to je opravdu naléhavé. vše, co musíte udělat, je vzít usb flash disk, který mu je zaslán v poště a zapojen, spusťte počítač a my jsme hotovi. projekt přežije!</p> <p>děkuji mnohokrát! byla jste skvělá pomoc! jsem si jistý, že vás john smith uzná za tento čin vstřícnosti. "</p> </li> </ul><p><strong> <a href="http://en.wikipedia.org/wiki/norm\_of\_reciprocity">hra na reciproci</a> </strong></p><ul> <li> <p>dveře zavazadlového prostoru. zadržuji pro vás vstupní dveře a rychle za tebou chodím. když otevřete další dveře, což je zabezpečené zabezpečení, zamířím stejným směrem a většina lidí se pokusí splácet užitečnou akci tím, že pro vás dveře opět podrží, čímž se dostanete na místo, kde byste neměli být. bojíte se, že vás chytí? ne. jen říkáš, že je ti líto a že jsi šel špatně.</p> <p>cíl by se téměř cítil povinen držet dveře za vás!</p> </li> </ul><p><strong> využití zvědavosti </strong></p><ul> <li> <p>zkuste hodit 10 usb flash disků na různá místa ve vaší organizaci. nemusíte je umisťovat na příliš zjevná místa. usb by mělo mít automaticky spuštěný domácí program telefonu, abyste viděli, kdy někdo připojí usb flash disk a měl by být teoreticky využit.</p> <p>další verzí tohoto je vyhodit usb flash disky s jediným dokumentem pdf, který se nazývá např. „john smith - norway.pdf“. dokument pdf obsahuje exploat adobe acrobat reader (existuje spousta a poté, co uživatel klikne na dokument, který bude vlastnit. samozřejmě jste se ujistili, že je zneužití přizpůsobeno konkrétní verzi adobe cílové organizace. bude pro většinu lidí přirozené otevřít dokument, aby mohli zkuste usb disk vrátit jeho vlastníkovi.</p> <ul> <li>dalším příkladem zvědavosti (možná jiný termín to vysvětluje lépe) jsou všechny tyto spam maily nebo špatné internetové reklamy, že jste něco vyhráli nebo nigerijský princ vám nabízí spoustu peněz, pokud mu můžete pomoci. jsem si jist, že jste s nimi již obeznámeni, ale jedná se také o útoky na sociální inženýrství a důvod, proč se nezastavili, je, že stále fungují!</li> </ul> </li> </ul><p>to je jen několik příkladů. samozřejmě existuje spousta tun!</p><p>můžeme se také podívat na historické události sociálního inženýrství:</p><p><strong> hbgary </strong></p><p>celý příběh si můžete přečíst <a href="http://arstechnica.com/tech-policy/news/2011/02/anonymous-speaks-the-inside-story-of-the-hbgary-hack.ars/">zde</a> (strana 3 obsahuje část sociálního inženýrství)</p><ul> <li> <p>v loňském roce byl hbgary hacknut. tento útok zahrnoval mnoho různých kroků, ale také aspekt sociálního inženýrství. hacker v krátkosti vyprávěl e-mailový účet společnosti vip) ve společnosti a poslal e-mail administrátorovi cílového systému, který řekl něco podobného: „ahoj johne, v současné době jsem v evropě a poskakuji mezi letišti. můžete mi otevřít ssh na vysoce číslovaném portu pocházejícím z jakékoli ip? potřebuji udělat nějakou práci. “když administrátor dostane tento e-mail, cítí, že je přirozené vyhovět tomuto, když e-mail pochází z důvěryhodného zdroje.</p> <p>ale to není ono! útočník měl heslo k účtu, ale přihlášení nefungovalo! takže pošle e-mailem zpět administrátorovi: „hej znovu, zdá se, že to nefunguje. heslo je stále správné? jaké bylo uživatelské jméno znovu?“. nyní také poskytl skutečné heslo pro systém (útočník to měl z dřívějšího kompromisu jiného systému ve stejném hacku), což útočníkovi poskytlo mnohem větší důvěru správce. správce samozřejmě souhlasí a sdělí útočníkovi své uživatelské jméno.</p> </li> </ul><p>seznam nahoře pochází z knihy " <a href="http://rads.stackoverflow.com/amzn/click/0470639539">sociální inženýrství: umění lidského hackování</a> " a mohu ho velmi doporučit!</p> <p>to záleží na tom, zda máte obavy z odsouzení, nebo vyřizování pravděpodobné příčiny (v usa).</p><p>předpokládejme, že jste doma. spustíte vpn a připojíte se k poskytovateli vpn mimo lokalitu. pokud sleduji odchozí provoz (z vašeho domu), vím, že jste se právě připojili k určité ip adrese a že ip adresa je poskytovatel vpn. všechno uvnitř užitečného zatížení paketu je šifrováno.</p><p>poté se rozhodnete, když budete doma, zkontrolovat svůj e-mail. stává se, že sleduji odchozí provoz od poskytovatele vpn (který není šifrovaný). zaznamenávám to vše pomocí odfrknutí a spustím wireshark proti výstupu. vidím spojení s vaší e-mailovou adresou a napsaný e-mail. to může být chráněno ssl, pokud je to webmail. pokud se jedná o běžný e-mail, je to pravděpodobně prostý text. pokud to není prostý text, mohu se pokusit zachytit ho v přijímači. e-mail nemá žádný právní význam (tj. nepoužíváte jej k plánování něčeho nezákonného). všiml jsem si však skutečnosti, že zaměňujete použití jejich, tam a tam jsou. všimnu si také několika idiomů, které chcete použít.</p><p>během sledování odchozího provozu vidím, že váš účet psal několik e-mailů. zaznamenávám vzory překlepů a další postavy řeči. sbírám je po dobu jednoho měsíce nebo dvou.</p><p>potom jsem vložil položky, které si všimnu, do wireshark. přidávám několik věcí, o kterých je vám známo. pokaždé, když dojde k překlepu nebo použití idiomu (který používáte) najdete v obsahu jakéhokoli paketu, který vychází z vpn služby, kterou používáte, vidím to.</p><p>za další měsíc nebo dva mám spoustu datových bodů. některé jsou weby, na které jste šli, jiné ne. první věc, kterou udělám, je odstranění všech datových bodů, které opustily poskytovatele služeb vpn, když jste nebyli online (tj. neviděl jsem vás online z domova, nezapomeňte, že jsem začal sledováním tohoto připojení).</p><p>pak se podívám na zbývající provoz a uvidím, jestli mám nějaké body clusteru. spousta opakujících se témat. stejný předmět přes over. porovnávám to s vaším nešifrovaným provozem a vaším e-mailem.</p><p>neaplikoval jsem dostatek filtrů, abych tě izoloval od hluku (lidé, kteří používají stejné idiomy/pravopisné chyby jako ty), ale měl bych dobrý důvod pro pravděpodobnou příčinu. pokud mám dostatek referenčních bodů, je to jako otisk prstu.</p><p>v podstatě aplikuji bayesovskou analýzu na korpus práce, abych uvedl něco o pravděpodobnosti, že věřím, že příkladem bude člen souboru vytvořeného mým podezřelým. sbírka děl, která bych srovnávala, pochází z jakékoli práce, za kterou podezřelý veřejně uznal, že za ni odpovídá. tato analýza je dobře známa (a existuje i celá statistika stackexchange webu).</p><p>nechám tě odpovědět, s čím bych v tuto chvíli přišel?</p> [**Ochrana balkonových rostlin před napadením škůdci**](/rada/12993697-ochrana-balkonovych-rostlin-pred-napadenim-skudci.html)


Abyste zabránili napadení truhlíků a dalších osázených nádob škůdcům z rodu hmyzu, je dobré nádoby je…