16.11 // Инфицирование загрузчика для обхода шифрованных файловых систем
Месяц назад, 16 октября, Joanna Rutkowska опубликовала практическую демонстрацию атаки на системы с полнодисковым шифрованием, которая была известна и ранее, но не была публично продемонстрирована. В качестве демонстрации был использован компьютер, диск которого зашифрован с помощью Truecrypt (несложно создать версии и против других программ шифрования).
Атака "злонамеренной уборщицы" практически выглядит так: в отсутствие свидетелей злоумышленник загружает компьютер жертвы с USB-флэшки, которая в течении максимум пары минут производит все необходимые операции по инфицированию загрузчика. Инфицированный загрузчик перехватывает пароль, введённый пользователем на расшифровку операционной системы и может сохранить его в другой части диска или переслать по сети.
После похищения пароля загрузчик можно вернуть в исходное состояние, чтобы замести следы вторжения (если потратить немного больше времени, то можно скопировать и всё содержимое винчестера в зашифрованном виде, так что если его владелец и сменит пароль позднее — это будет уже неактуально, так как пароль к старой версии содержимого уже будет получен).
Атака похожа на ранее продемонстрированную Stoned boot attack, отличаясь лишь тем, на каком этапе работы системы внедряется троян.
Также есть сходство с атаками с холодной перезагрузкой или использованием аппаратных перехватчиков паролей.
По комментариям PGP corp полной защиты от атак такого рода не существует.
Использование технологии "Trusted computing" опирается на проприетарные решения и доверие к закрытым аппаратным решениям от корпораций. Кроме того, как считает Joanna Rutkowska, в экстремальном случае высокооснащённый противник (АНБ) может подменить процессор и платы памяти.
Если отбросить вмешательство в аппаратную часть, то относительно простым решением может быть использование двухфакторной аутентификации — использование собственного загрузчика с USB-флэшки или компакт-диска, которые противник не может подменить. Эти загрузчики могут проверять хэш незашифрованной части диска или полностью загружать операционную систему.
Однако, следует помнить об общем принципе — невозможно быть уверенным в надёжности защиты при дальнейшей работе пользователя с зашифрованной информацией на компьютере после того как противник имел к нему физический доступ.
Как отмечает в комментариях в своём блоге Брюс Шнайер — многие пользователи вероятно ошибочно оценивают уровень защиты, предоставляемый средствами шифрования, фактически он сводится к защите информации при конфискации или похищения компьютера или носителей данных, но не защищает против активных атак.
Источник: Joanna Rutkowska Invisible Things Blog
комментариев: 11558 документов: 1036 редакций: 4118
комментариев: 11558 документов: 1036 редакций: 4118
Да, загрузчик и ядро ведь остаются на диске. Другое дело, если Вы их вынесли на внешний носитель, но это устранит только первую угрозу из списка.
комментариев: 105 документов: 20 редакций: 3