Я испортил свою систему раньше, меня встретили с черным экраном при загрузке в Ubuntu. Когда я запустил свой ноутбук, я выбрал опцию восстановления в меню grub и выбрал откат в корневом терминале. Я увидел, что могу использовать команду добавления пользователя, с ее помощью я, вероятно, смогу создать привилегированного пользователя на моей машине.
Разве это не проблема безопасности?
Можно было бы украсть мой ноутбук и при запуске выбрать восстановление и добавить другого пользователя, тогда я обманываю. Включая мои данные.
Если подумать, даже если вы как-то удалите эту запись, можно было бы загрузиться с live-CD, запустить chrootи запустить, а затем добавить другого пользователя с необходимыми привилегиями, позволяющими ему видеть все мои данные.
Если я установлю BIOS для загрузки только на моем HD, без USB, CD / DVD, запуска по сети и установлю пароль BIOS, это все равно не будет иметь значения, потому что у вас все еще будет эта запись запуска восстановления grub.
Я совершенно уверен, что кто-то из Китая, России, не сможет взломать мой Ubuntu Trusty Tahr из сети, потому что это безопасно. Но если у кого-то есть физический доступ к моей - вашей - машине, тогда, вот почему я задаю этот вопрос. Как я могу защитить свою машину, чтобы взлом через физический доступ был невозможен?
Сообщение об ошибке:
источник
fred:x:0:0:fred,,,:/home/fred:/bin/bashи теперь, если я войду в систему как Фред и бегуwhoami, я получуrootadduserи т. Д., Обычно не позволяют вам этого делать, а просто редактирование/etc/passwdработает. Быть хакером означает игнорировать то, что вы должны делать;)Ответы:
Я предполагаю, что только полное шифрование диска с использованием надежного алгоритма и, самое главное, надежного пароля - единственное, что может защитить ваши локально сохраненные данные. Это дает вам, вероятно, 99,99% безопасности. Пожалуйста, обратитесь к одному из многочисленных руководств о том, как это сделать.
Кроме того, невозможно защитить вашу машину от опытного хакера с физическим доступом.
Пароли пользователей / учетных записей:
легко создать нового пользователя-администратора, если вы загрузитесь в режиме восстановления, как вы сами описали, потому что вы получаете корневую оболочку без запроса паролей таким образом.
Это может выглядеть как случайная проблема безопасности, но предназначено для (кто бы мог подумать?) Случаев восстановления, когда вы, например, потеряли пароль администратора или испортили
sudoкоманду или другие важные вещи.пароль root:
Ubuntu по умолчанию не устанавливает пароль пользователя root. Тем не менее, вы можете установить один и будет предложено для него, если вы загружаетесь в режиме восстановления. Это кажется довольно безопасным, но все еще не является в конечном счете безопасным решением. Вы все еще можете добавить параметр ядра
single init=/bin/bashчерез GRUB перед загрузкой Ubuntu, которая запускает его в однопользовательском режиме - который на самом деле является корневой оболочкой без пароля.Защита меню GRUB с помощью пароля.
Вы можете защитить свои пункты меню GRUB, чтобы они были доступны только после аутентификации, т.е. вы можете запретить загрузку режима восстановления без пароля. Это также предотвращает манипулирование параметрами ядра. Для получения дополнительной информации см. Сайт Grub2 / Passwords на help.ubuntu.com . Это можно обойти, только если вы загрузитесь с внешнего носителя или подключите жесткий диск к другому компьютеру напрямую.
Отключить загрузку с внешнего носителя в BIOS:
вы можете установить порядок загрузки и, как правило, исключать устройства из загрузки во многих текущих версиях BIOS / UEFI. Эти настройки не защищены, так как каждый может войти в меню настроек. Вы должны установить пароль и здесь, но ...
Пароли BIOS:
Обычно вы также можете обойти пароли BIOS. Есть несколько методов:
Спасибо Rinzwind за эту информацию и ссылку!
Заблокируйте корпус компьютера / запретите физический доступ к материнской плате и жесткому диску.
Даже если все остальное не поможет, похититель данных все равно сможет открыть ваш ноутбук / компьютер, вынуть жесткий диск и подключить его к своему компьютеру. Смонтировать его и получить доступ ко всем незашифрованным файлам - очень просто. Вы должны положить его в надежно закрытый ящик, где вы можете быть уверены, что никто не сможет открыть компьютер. Это, однако, невозможно для ноутбуков и трудно для настольных компьютеров. Может быть, вы можете подумать о собственном боевике, подобном самоуничтожающемуся устройству, которое взрывает внутри себя взрывчатку, если кто-то пытается ее открыть? ;-) Но убедитесь, что вам никогда не придется открывать его для обслуживания!
Полное шифрование диска:
я знаю, что рекомендовал этот метод как безопасный, но он также не на 100% безопасен, если вы потеряете свой ноутбук, когда он включен. Существует так называемая «холодная загрузка», которая позволяет злоумышленнику считывать ключи шифрования из вашей оперативной памяти после перезагрузки работающей машины. Это выгружает систему, но не сбрасывает содержимое оперативной памяти, пока питание не достаточно короткое.
Спасибо Косу за его комментарий об этой атаке!
Я также собираюсь процитировать его второй комментарий здесь:
Связанный, но все еще оставшийся без ответа вопрос о том, как предотвратить «холодные» атаки: как включить Ubuntu (с использованием полного шифрования диска) для вызова LUKSsupend перед сном / приостановкой работы в ОЗУ?
В заключение: в настоящее время ничто на самом деле не защищает ваш ноутбук от использования кем-то с физическим доступом и злонамеренными намерениями. Вы можете полностью зашифровать все свои данные, только если у вас достаточно параноика, чтобы рискнуть потерять все, забыв пароль или сбой. Таким образом, шифрование делает резервные копии еще более важными, чем они есть. Тем не менее, они также должны быть зашифрованы и расположены в очень безопасном месте.
Или просто не отдавайте свой ноутбук и надейтесь, что вы его никогда не потеряете. ;-)
Если вы заботитесь не столько о своих данных, сколько о своем оборудовании, вы можете купить и установить отправитель GPS в ваше дело, но это только для настоящих параноиков или федеральных агентов.
источник
Самый безопасный ноутбук - тот, на котором нет никаких данных. Вы можете настроить свою собственную среду частного облака, а затем не хранить ничего важного локально.
Или достаньте жесткий диск и растопите его термитом. Хотя это технически отвечает на вопрос, это может быть не самым практичным, так как вы больше не сможете использовать свой ноутбук. Но не будут и эти вечно туманные хакеры.
Запретив эти параметры, дважды зашифруйте жесткий диск и для его расшифровки необходимо подключить USB-накопитель. USB-накопитель содержит один набор ключей дешифрования, а BIOS содержит другой набор - конечно, защищенный паролем. Добавьте к этому процедуру автоматического самоуничтожения данных, если флэш-накопитель USB не подключен во время загрузки / возобновления из режима ожидания. Всегда носите с собой USB-накопитель. Эта комбинация также имеет дело с XKCD # 538 .
источник
Зашифруйте свой диск. Таким образом, ваша система и ваши данные будут в безопасности в случае кражи вашего ноутбука. В противном случае:
Я бы порекомендовал вам иметь раздел LUKS, в котором вы можете настроить LVM. Вы можете оставить загрузочный раздел незашифрованным, так что вам нужно будет ввести пароль только один раз. Это означает, что ваша система может быть более легко взломана, если будет подделана (украдена и возвращена вам без вашего ведома), но это очень редкий случай, и, если вы не думаете, что за вами следят АНБ, правительство или какой-то мафия, тебе не стоит об этом беспокоиться.
Ваш установщик Ubuntu должен дать вам возможность установки с LUKS + LVM очень простым и автоматизированным способом. Я не публикую здесь подробности, так как в Интернете уже есть много документации. :-)
источник
/home/yourName- как следует! - затем поместите эту папку в стек с помощью драйвера шифрования на уровне файлов (такого, который я упоминал на OP и больше не буду спамить), что является очень жизнеспособной альтернативой. Я не волнуюсь о людях, видящих все скучные вещи/usr, и т. Д./home(включая личные и профессиональные данные в других разделах), поэтому мне проще зашифровать все, но я предполагаю, что у каждого пользователя есть свои потребности :-). Однако использованиеecryptfsне является лучшим решением с точки зрения производительности. Вы можете найти некоторые тесты здесь . Обязательно прочитайте страницы2-5в статье для получения реальных результатов (страница1является лишь вступлением)./var/log,/var/www(источник), и/tmp, поэтому , возможно , полное шифрование диска начинает казаться более разумным!/etcдругих каталогах верхнего уровня ... В конце концов, полное шифрование диска - это простое и быстрое решение, которое позволит вам спать как ребенок каждую ночь. ^^Есть пара аппаратных решений, на которые стоит обратить внимание.
Во-первых, некоторые ноутбуки, такие как бизнес-ноутбуки Lenovo, поставляются с переключателем обнаружения несанкционированного доступа, который определяет, когда дело открывается. В Lenovo эта функция должна быть активирована в BIOS, а также должен быть установлен пароль администратора. Если обнаружен несанкционированный доступ, ноутбук (я полагаю) немедленно отключится, при запуске он отобразит предупреждение и потребует пароль администратора и соответствующий адаптер переменного тока для продолжения. Некоторые детекторы вскрытия также активируют звуковой сигнал и могут быть настроены на отправку электронной почты.
Обнаружение несанкционированного доступа на самом деле не предотвращает несанкционированное вмешательство (но может усложнить кражу данных из ОЗУ - и обнаружение несанкционированного доступа может «замуровать» устройство, если оно обнаружит что-то действительно изворотливое, например, попытку извлечь батарею CMOS). Основным преимуществом является то, что кто-то не может скрытно вмешиваться в аппаратное обеспечение без вашего ведома - если вы настроили надежную защиту программного обеспечения, такую как полное шифрование диска, то скрытое вмешательство в аппаратное обеспечение, безусловно, является одним из оставшихся векторов атаки.
Другая физическая защита заключается в том, что некоторые ноутбуки могут быть заблокированы в док-станции. Если док-станция надежно закреплена на столе (с помощью винтов, которые будут находиться под ноутбуком), а ноутбук остается заблокированным на док-станции, когда он не используется, он обеспечивает дополнительный уровень физической защиты. Конечно, это не остановит решительного вора, но определенно затруднит кражу ноутбука у вас дома или на работе, и, будучи заблокированным, он по-прежнему идеально подходит (и вы можете подключить периферийные устройства, Ethernet и т. Д. К док-станции).
Конечно, эти физические функции бесполезны для защиты ноутбука, у которого их нет. Но если вы заботитесь о безопасности, стоит подумать о них при покупке ноутбука.
источник
В дополнение к шифрованию вашего диска (вы не сможете обойти это): - SELinux и TRESOR. Оба защищают ядро Linux и пытаются затруднить злоумышленникам чтение вещей из памяти.
Пока вы в этом: Мы теперь входим на территорию не только страха злых случайных парней, желающих получить информацию о вашей дебетовой карте (они этого не делают), но и достаточно часто спецслужб. В этом случае вы хотите сделать больше:
Есть много других вещей, которые вы можете сделать, но они должны дать разумное количество вещей, с которыми им нужно справиться.
И не забудьте про: xkcd ;-)
источник
Поскольку вы немного изменили вопрос, вот мой ответ на измененную часть:
Ответ: вы не можете
Существует множество современных аппаратных и программных систем, таких как обнаружение несанкционированного доступа , шифрование и т. Д., Но все это сводится к следующему:
Вы можете защитить свои данные, но вы не можете защитить свое оборудование, когда кто-то получил к нему доступ. И если вы продолжаете использовать какое-либо оборудование после того, как кто-то другой получил доступ, вы подвергаете опасности свои данные!
Используйте защищенную записную книжку с обнаружением несанкционированного доступа, которая очищает ОЗУ, когда кто-то пытается ее открыть, используйте полное шифрование диска, храните резервные копии ваших данных в зашифрованном виде в разных местах. Затем сделайте все возможное, чтобы получить физический доступ к вашему оборудованию. Но если вы считаете, что кто-то имел доступ к вашему оборудованию, вытрите его и выбросьте.
Следующий вопрос, который вы должны задать : как я могу приобрести новое оборудование, которое не было взломано.
источник
Используйте пароль ATA для вашего HDD / SSD
Это предотвратит использование диска без пароля . Это означает, что вы не можете загрузиться без пароля, потому что вы не можете получить доступ к MBR или ESP без пароля. И если диск используется внутри другого канала, пароль все равно требуется.
Таким образом, вы можете использовать так называемый пользовательский пароль ATA для вашего HDD / SSD. Обычно это устанавливается в BIOS (но это не пароль BIOS).
Для дополнительной безопасности вы также можете установить мастер-пароль ATA на диске. Чтобы отключить использование пароля производителя.
Вы можете сделать это с Кли
hdparmтоже.Особая осторожность следует принимать , потому что вы можете потерять все свои данные , если вы потеряете пароль.
http://www.admin-magazine.com/Archive/2014/19/Using-the-ATA-security-features-of-modern-hard-disks-and-SSDs
Примечание. Здесь также есть недостатки, поскольку существуют программы, которые утверждают, что восстанавливают пароль ATA или даже утверждают, что его удаляют. Так что это не на 100% безопасно.
Примечание: пароль ATA не обязательно идет с FED (полное шифрование диска)
источник