Xóa RAM khi tắt để ngăn Cold Boot Attack

Hệ thống của tôi được mã hóa bằng Mã hóa toàn bộ đĩa, tức là mọi thứ ngoại trừ / boot đều được mã hóa bằng dmcrypt / luks. Tôi lo ngại về Cold Boot Attacks , nơi các nhà nghiên cứu chứng minh , nội dung đó có thể được trích xuất trong khoảng 5 phút .

Bạn có thể vui lòng cung cấp hướng dẫn về:

• Làm thế nào để kích hoạt kexec vào kernel mới ở những bước cuối cùng của quy trình tắt / khởi động lại (để đảm bảo tháo gỡ sạch sẽ, để tránh hỏng hệ thống tệp, để đảm bảo kernel cũ bị ghi đè)
• Làm thế nào để tạo kernel đó, mà xóa tất cả ram

tức là bạn có thể giải thích, làm thế nào để làm điều tương tự trên Ubuntu không?

Làm thế nào để phát hiện tắt máy? Làm thế nào để khởi động RAM Xóa? RAM nên được xóa khi người dùng nhấp vào "tắt máy" hoặc nếu anh ta bắt đầu "kịch bản hoảng loạn".

Cảm ơn những nỗ lực của bạn!

Công việc trước:

• Giới thiệu về bộ nhớ RAM
• Một số thông tin khác về đuôi RAM Thực hiện xóa
• Liberte Linux RAM Wipe giới thiệu
• Thêm chi tiết triển khai về Liberte Linux RAM Thực hiện xóa
• memtest không xóa mọi thứ
• Kiểm tra xem RAM Wipe có hoạt động không
• Đuôi thảo luận danh sách gửi thư
• Một cuộc thảo luận danh sách gửi thư khác
• Báo cáo lỗi kernel

Nếu bạn muốn thấy tính năng này trở thành hiện thực, hãy bỏ phiếu trên Ubuntu Brainstorm!

http://brainstorm.ubfox.com/idea/30076/

Nếu bạn không sử dụng RAM cũ như DDR2, 512 MB hoặc 1024 MB thì bạn không nên lo lắng về CBA.

Hãy xem Nghiên cứu ban đầu ở đây (PDF).

Nếu bạn sẽ đọc nó một cách cẩn thận, bạn sẽ thấy rằng chỉ DDR2 trở lên mới dễ bị tấn công này. DDR3 mất điện áp quá nhanh để cho phép phá hủy và đóng băng trường hợp máy tính. Vì vậy, chỉ cần kéo phích cắm trước khi trả lời cửa.

Ngoài ra, bài viết này xác nhận rằng DDR3 không nhạy cảm với CBA. Nếu trên thực tế bạn muốn bảo mật bản thân vì bạn có RAM DDR2 thì hãy bật trong BIOS:

1. Tự khởi động sau khi mất điện
2. Kiểm tra RAM khi khởi động

và thực hiện tương tự như với DDR3 nhưng sau khi rút phích cắm, hãy cắm lại. Máy tính của bạn sẽ tự khởi động và xóa ram bằng cách kiểm tra nó. Nếu nó không đủ hiệu quả, quá trình khởi động sẽ tải lại hệ thống vào RAM. Sẽ là quá nhanh để cho phép CBA.

Từ liên kết bạn cung cấp trong các ý kiến:

Do đó, kết luận, cuộc tấn công khởi động lạnh không nên được xem là phương pháp chính để có được bộ nhớ của hệ thống máy tính nghi ngờ. Thay vào đó, các kỹ thuật khác bao gồm cả mua lại dựa trên phần mềm và phần cứng (ví dụ FireWire) nên được thử trước khi thực hiện một cuộc tấn công khởi động lạnh chống lại hệ thống nói trên. Tuy nhiên, nếu tình huống xảy ra khi các kỹ thuật nói trên không khả dụng (nghĩa là thiếu kết nối FireWire hoặc bảng điều khiển đăng nhập hệ thống hoặc không thể thu thập bộ nhớ từ xa) hoặc không hiệu quả, thì có thể thực hiện tấn công khởi động lạnh giả định rằng điều tra viên hiểu cả hai Làm thế nào và ở đâu vấn đề có thể phát sinh và đi lung tung.
Như nghiên cứu này đã chỉ ra, cuộc tấn công khởi động lạnh không thể được thiết lập là đặc biệt về mặt pháp lý hoặc đáng tin cậy vì trong hầu hết các thí nghiệm được thực hiện ở đây không thể tìm thấy hoặc trích xuất các khóa mã hóa thường trú trong bộ nhớ. Điều tương tự cũng có thể được nói cho các chuỗi tìm kiếm và từ khóa khác nhau đã tạo ra nhiều chuỗi và từ khóa hơn nhiều so với hầu hết các thử nghiệm. Hơn nữa, như đã được chứng minh, chỉ đơn thuần là hành động của bộ nhớ máy tính đóng băng flash không đảm bảo cho việc mua thành công bộ nhớ nói trên. Các yếu tố và biến số khác đã được kiểm tra đã kiểm tra đầy đủ các vấn đề này và nguyên nhân cơ bản của chúng. Như vậy
Cuối cùng, ngay cả một vụ mua lại thành công mà ít bị suy thoái cũng sẽ không thể đứng trước tòa án như bằng chứng rõ ràng, ít nhất là cho đến khi luật học xảy ra và tính toàn vẹn của bộ nhớ thu được có thể được chứng minh là còn nguyên vẹn bằng âm thanh và phương pháp dễ hiểu. Việc tìm kiếm tiếp tục thiết lập một cách thức phù hợp và đáng tin cậy hơn để có được bộ nhớ của máy tính của nghi phạm ...

Ngoài ra, nếu bạn kiểm tra kết quả thử nghiệm, bạn sẽ nhận ra rằng họ đã trích xuất thành công các phím AES trong hệ thống 2 và 6 và đó là các Tấn công khởi động ấm khi bạn xem thông số kỹ thuật của hệ thống 2 - 1024 MB RAM 533 MHz - đây là cũ đồ đạc. Hệ thống khác - hệ thống 6 với 256 RAM / 128 RAM - Tôi đoán đây là hệ thống tự giải thích.

Đây chính xác là lý do tại sao kết luận của họ là:

Việc tìm kiếm tiếp tục thiết lập một cách thức phù hợp và đáng tin cậy hơn để có được bộ nhớ của máy tính của nghi phạm ...

Trên thực tế tôi tin rằng nếu bạn có dữ liệu rất rất rất quan trọng, bạn không chỉ nên sử dụng Full Drive Encoding mà còn giữ nó trong một tệp được mã hóa riêng biệt. Được mã hóa bằng thuật toán xếp tầng và mật khẩu khác nhau sau đó được sử dụng trong quá trình mã hóa đĩa. Bạn muốn một cách an toàn để tắt PC? Đây là:

1. Giữ dữ liệu an toàn trong tập tin mã hóa thuật toán xếp tầng True Crypt
2. Sử dụng Serpent
3. Tạo một tập lệnh để xử lý tắt máy:

Cho cửa sổ:

truecrypt.exe /wipecache
shutdown -s -f -t 1

Đối với Linux:

truecrypt /wipecache
shutdown -h now

Xóa bộ nhớ cache đảm bảo rằng không còn dữ liệu dễ bị tổn thương trong RAM sau khi tắt máy. Nếu ai đó thực hiện Cold Boot Attack, họ sẽ có quyền truy cập vào Hệ thống của bạn tốt nhất. Họ sẽ không có dữ liệu được lưu trữ trong một tệp được mã hóa riêng biệt.

Peter AH Peterson tại UCLA đã viết một bằng chứng về công nghệ khái niệm và phát triển lý thuyết để vận hành an toàn hệ thống của bạn với RAM được mã hóa, và giải pháp này được thiết kế rõ ràng để ngăn chặn các cuộc tấn công khởi động lạnh. Tên bài báo của anh ấy là Cryptkeeper. Tôi không biết liệu anh ấy có cung cấp phần mềm để tải xuống không hoặc liệu có thể cấp phép cho nó từ UCLA không. Tuy nhiên, về nguyên tắc, rõ ràng là có thể thiết kế một hệ thống mật mã cho RAM an toàn ngay cả khi toàn bộ nội dung của RAM được tiết lộ.

Tác động hiệu suất đo được của giải pháp này là giữa 9% chi phí và chậm lại theo hệ số 9 , tùy thuộc vào mức độ "bệnh lý" của kịch bản. Con số 9% được trích dẫn là áp dụng để duyệt web bằng Firefox, nhưng họ không nói rõ trường hợp sử dụng nào sẽ làm chậm hiệu suất theo hệ số 9.

Giải pháp của Peterson không "xóa sạch" RAM như bạn đề xuất. Thay vào đó, nó sử dụng "cơ chế ẩn khóa an toàn" để ngăn khóa giải mã được tiết lộ chỉ nhờ vào việc có được nội dung của RAM. Tôi không chắc chắn về các chi tiết của việc thực hiện, nhưng tôi cho rằng nó được giải thích trong bài báo.

Bài viết đã được xuất bản vào năm 2010.

Nó có sẵn để mua trên trang web ieeexplore của IEEE. Nó cũng có sẵn để tải xuống trực tiếp dưới dạng PDF mà không tính phí từ trang web của ai đó; nó nằm trên kết quả tìm kiếm của google cho "RAM mật mã" ... nhưng tôi không chắc kết quả đó sẽ ở lại đó bao lâu.

Tôi đã cố gắng đưa ra nhận xét này thay vì trả lời, bởi vì giải pháp này không "xóa sạch" RAM như bạn yêu cầu. Tuy nhiên, tôi tin rằng nếu nghiên cứu của Peterson là đúng về mặt kỹ thuật, điều này sẽ có tác dụng thực tế tương tự - hoặc thậm chí có thể là hiệu ứng "tốt hơn" - hơn là xóa sạch RAM. Lý do là một kẻ tấn công vật lý lành nghề có thể có thể làm gián đoạn nỗ lực xóa sạch RAM của chương trình hệ thống của bạn nếu họ mong muốn một hoạt động như vậy xảy ra - ví dụ, rút ​​pin ra khỏi thiết bị hoặc giữ nút nguồn trước khi hoạt động có thể hoàn thành. Giải pháp của Peterson an toàn hơn vì nó không dựa trên cửa sổ thời gian cần thiết mà theo đó máy tính được phép tiếp tục thực hiện các hướng dẫn để hoàn thành việc xóa sạch. Thay vào đó, bộ nhớ liên tục được bảo vệ, ngay cả khi CPU bị giết ngay lập tức bởi một số kỳ tích đáng kinh ngạc của công nghệ trước khi bạn có cơ hội phản ứng với kẻ tấn công.

Và bởi "kỳ tích đáng kinh ngạc của công nghệ", ý tôi là Stuxnet.

Tôi sẽ tưởng tượng memtest86 sẽ khá tốt trong việc xóa RAM. Tôi đã luôn muốn thử dưới đây nhưng không. Nếu tôi làm thử, tôi sẽ cập nhật nó.

Đọc kexectrang người đàn ông . Và đừng cố gắng kexec.iso, nhưng bạn cần giải nén iso và ngắt đoạn nhị phân có thể khởi động. Trên trang memtest86 ở trên, bạn chỉ cần tải xuống tệp nhị phân.

Bạn phải sử dụng một kexeclệnh để tải những gì bạn khởi động vào trước.

Vì vậy, tôi nghĩ rằng những gì bạn có thể làm là:

kexec -l {path-to-memtest86-bootable-binary} --append=console=ttyS0,115200n8

và khi bạn đã sẵn sàng để bóp cò:

kexec -e

Tôi đang nghĩ (nhưng có thể sai) rằng --append=console=ttyS0,115200n8memtest86 hoạt động trên cổng nối tiếp. Vì vậy, nếu bạn có một cái, bạn có thể xác minh nó đang hoạt động ngay cả khi nó không hiển thị trên đầu ra video, đó là một khả năng vì memtest86 không thực hiện khởi tạo video. Giết bất kỳ phiên bản đang chạy nào của X có lẽ là một ý tưởng tốt.

kexec-toolsGói Debian (cũng có sẵn trên Ubuntu) nối phần này vào các tập lệnh tắt máy, vì vậy nếu bạn chỉnh sửa, /etc/default/kexecbạn có thể yêu cầu quá trình tắt máy gọi kexeclà điều cuối cùng thay vì khởi động lại. Đó là, nếu bạn quan tâm đến việc tắt máy sạch sẽ.

Trong trường hợp khẩn cấp, một sync; kexec -esẽ làm việc.

Tuy nhiên, có thể một số chipset, một khi chúng được khởi tạo, sẽ khiến việc khóa máy xảy ra nếu một số vùng nhớ nhất định được xử lý. Tôi không biết làm thế nào điều này sẽ làm việc trong thực tế.

Một thỏa hiệp tốt nếu kexeckhông hoạt động là cài đặt memtest86 vào bộ tải khởi động của bạn, đặt nó làm mục khởi động mặc định và có độ trễ 1 giây cho đến khi tự động chọn (hoặc không trì hoãn và dựa vào phím nhấn để hiển thị memu). Điều này có thể đưa bạn vào memtest86 từ điều kiện "khởi động mới" khá nhanh, nhưng không phải ngay lập tức.

Lưu ý rằng điều này không chiếm RAM video. Một giải pháp cho điều đó là thiết lập RAM video của bạn dưới dạng một thiết bị khối và xuất ra /dev/randomthiết bị khối trong một vài lần lặp.

Đây là một câu hỏi cũ nhưng tôi nghĩ rằng tôi có thể đóng góp. Như đã nói trước đây, việc xóa bộ nhớ dựa trên phần mềm không phải là giải pháp tốt nhất, đơn giản là vì nguồn điện có thể bị cắt đột ngột, do đó phần mềm xóa sẽ không được thực thi.

Tôi có thể tưởng tượng kịch bản tốt nhất để minh họa vấn đề: Bạn điều hành kinh doanh bất hợp pháp trên máy tính trong nhà của bạn. Một ngày nọ, năng lượng điện đột nhiên biến mất, và sau đó một đội FBI xông vào cửa nhà bạn, bắt giữ bạn và sau đó một kỹ thuật viên mọt sách nhanh chóng mở vỏ máy tính của bạn và sử dụng một loại khí lạnh để đóng băng trạng thái bộ nhớ để mua một số thời gian để thực hiện một cuộc tấn công khởi động lạnh.

Vì vậy, cách tốt nhất để giải quyết vấn đề này là làm cho vỏ máy tính an toàn hơn, bằng cách làm cho nó khó mở (giống như một cái hầm), hoặc thậm chí phá hủy bộ nhớ bằng cách làm nóng bảng bằng cách sử dụng điện trở chạy bằng pin, được kích hoạt bởi một kẻ giả mạo chuyển đổi trong trường hợp. Vài giây ở nhiệt độ cao có thể phá hủy dữ liệu hoặc thậm chí phá hủy chip, phù thủy không phải là vấn đề lớn trong tình huống này.

Vấn đề là nếu máy tính của bạn đang chạy và màn hình bị khóa. Tại thời điểm này, khóa AES được lưu trữ trong RAM và người dùng ở xa máy tính. Kẻ xâm nhập có thể mở vỏ máy tính và loại bỏ các mô-đun RAM, trong khi giữ cho chúng được cấp nguồn và đặt chúng vào một thiết bị riêng biệt đọc nội dung của chúng. Không cần phải tắt hệ thống hoặc đóng băng các mô-đun trước khi giải nén. RAM không đáng tin cậy để giữ phím AES, nhưng bộ đệm của bộ xử lý, giống như giải pháp có tên TRESOR. Thật không may, điều đó đòi hỏi một nhân Linux cũ và kiến ​​thức nâng cao về vá và biên dịch kernel.

Xin lỗi, nhưng bạn đang bị hoang tưởng. Đầu tiên, như những người dùng khác đã chỉ ra, rõ ràng Cold Boot Attack chỉ hoạt động trên phần cứng cũ.

Nếu bạn vẫn nghĩ rằng đó là một mối đe dọa, lau không phải là giải pháp.

Cuộc tấn công khởi động lạnh bao gồm:

• khởi động máy lạnh
• Khởi động một hệ điều hành nhẹ để quét các khóa mã hóa khỏi bộ nhớ

Nếu ai đó quản lý để thực hiện khởi động lạnh thì rõ ràng cần gạt nước của bạn sẽ không có cơ hội để chạy. Vì vậy, nó không có ý nghĩa để cài đặt một.

Đây là trường hợp chính của cuộc tấn công. Bây giờ chúng ta giả sử rằng kẻ tấn công không muốn tự khởi động lạnh máy chủ đang chạy (ví dụ: vì điều đó sẽ kích hoạt cảnh báo giám sát), thay vào đó, cô chờ đợi để thực hiện cuộc tấn công trong vòng 5 'sau khi tắt máy. Trong trường hợp này:

• Một gạt nước RAM chung sẽ không làm bạn tốt chút nào. Vì kẻ tấn công được cho là có mặt vật lý để bật nguồn máy và quét sạch chìa khóa, cô cũng có thể khởi động máy lạnh ngay trước khi cần gạt nước bắt đầu chạy. (Dự kiến ​​cảnh báo tại thời điểm này.)
• Một chương trình chuyên dụng trước tiên xóa vị trí chính xác của các khóa mã hóa FS trước khi xóa phần còn lại của RAM (ví dụ như truecrypt /wipecacheđược đề cập bởi mnmnc) có thể khiến công việc của kẻ tấn công trở nên khó khăn hơn. Vẫn:
  • Kẻ tấn công vẫn có thể quét sạch một số nội dung RAM bằng cách không để cần gạt nước chạy qua toàn bộ RAM. Nhưng ít nhất phần lớn dữ liệu trên FS sẽ an toàn.
  • Giải pháp sẽ không thể đánh lừa được 100% - nó chỉ khiến kẻ tấn công gặp khó khăn hơn trong thời gian khởi động lạnh.

Vì vậy, nếu bạn thực sự lo lắng về cuộc tấn công này, tôi khuyên bạn nên học kung-fu và bảo vệ trong 5 'bên cạnh máy mỗi khi bạn tắt máy. Hoặc có thể sử dụng mật khẩu khởi động trong BIOS của bạn? Cả hai biện pháp được đề xuất đều không cần hiệu quả 100%: kẻ tấn công vẫn có thể đánh bại bạn và đọc mật khẩu BIOS từ MB của bạn bằng các phương tiện kỹ thuật. Bạn chỉ cần trì hoãn chúng trong 5 'để cửa sổ thời gian tấn công hết hạn.

Cuối cùng, nếu bạn lo lắng về việc ai đó thực hiện toàn bộ kỳ tích từ xa, bạn đã rất khó khăn.