Come mai mi è permesso riavviare un computer che non possiedo, mettere in una USB, avviare Ubuntu da esso e quindi accedere a tutti i file memorizzati nelle unità disponibili (anche i file critici come i file di sistema sull'unità C in Windows)?
Non c'è un modo per impedire alle persone di farlo, senza inserire una password nel BIOS?
Le autorizzazioni per file e cartelle / directory su un sistema operativo sono gestite e applicate da ... hai indovinato, quel sistema operativo (SO). Quando il sistema operativo viene rimosso dall'immagine (avviando un sistema operativo diverso), quelle autorizzazioni diventano prive di significato.
Un modo per pensarci: assumi una grande guardia del corpo (OS) per proteggere la tua casa. Gli dai una lista (permessi) degli ospiti ammessi (utenti) e quali aree (file e cartelle) possono visitare. Quanto sono utili queste liste quando il bodyguard è addormentato (non si avvia da quel SO)?
Generalmente, si presume che una volta che un utente malintenzionato abbia accesso fisico al proprio sistema, è proprietario del proprio sistema. Anche una password BIOS non ti aiuterà in questo caso. Un modo per risolvere questo problema è utilizzare la crittografia del disco completo utilizzando software come TrueCrypt , Bitlocker e altri.
Il problema, nel tuo caso, è che dovrai impostare una password (o chiave) da inserire ogni volta che riavvii il sistema. Pesare le opzioni e decidere.
Perché Windows mostra solo ciò che pensano che dovresti vedere, e gli altri sistemi operativi non sono necessariamente interessati e ti mostrano semplicemente cosa c'è sul disco. Questo è il succo di ciò.
Non è una cospirazione Microsoft; Microsoft protegge i file di sistema di Windows da danneggiamenti in questo modo. Puoi accedervi se conosci trucchi abbastanza sofisticati e riesci a eseguire explorer con permessi di "SYSTEM" (questi vanno sopra l'amministratore), o semplicemente avvia un altro sistema operativo che non implementa queste restrizioni.
Sidenote: i virus amano questi luoghi. Quasi tutti i virus che ho visto si sono annidati in System Volume Information, una cartella nella radice di ogni unità Windows in cui normalmente non è possibile accedere senza autorizzazioni di sistema. Anche l'amministratore, che di solito può accedere a tutti i file anche se si nega a tutti i permessi tutti , non può entrare in quella cartella. Fortunatamente i prodotti anti-virus vanno anche lì e rilevano tutto ciò che non dovrebbe essere lì, ma è un avvertimento da tenere a mente. Ad esempio, ho eseguito la scansione del mio computer da una macchina remota con autorizzazioni di sola lettura, ma non è sufficiente perché in remoto (utilizzando SMB ) di solito non puoi accedere a queste cartelle protette dal sistema.
Se vuoi proteggere le persone semplicemente dalla lettura di ciò che è sul tuo hard disk, hai bisogno della crittografia del disco (che ti chiederà una password all'avvio, proprio come farebbe una password del BIOS). Altrimenti sarà sempre banale avviare un altro SO e leggere i contenuti del disco rigido. Anche se hai una password del BIOS, è ancora abbastanza banale prendere l'hard disk. Con la maggior parte dei computer portatili e dei desktop, a condizione che non ci sia nessuno in giro, puoi ottenere un hard disk, copiare alcuni gigabyte e rimetterlo tutto in 5 minuti.
Isn't there a way to prevent people from doing this, without putting up a password on the BIOS?
C'è un modo per impedire alle persone di farlo e si chiama Codifica completa del disco
Ecco il vettore di attacco Mac: link
The only sure way to prevent unwanted root access to your system is by simply enabling File Vault’s full disk encryption (not home folder encryption!).
TrueCrypt - recentemente c'è stata una campagna di raccolta fondi - link - per controllare il codice sorgente - link
Sistemi operativi supportati per System Encryption - link - solo Windows
Informazioni su BitLocker:
Why am I allowed to access protected Windows files when I boot Ubuntu from USB?
C'è una macchina (hardware). Ma ti capita di scambiare tutta l'elettronica (sistema operativo). Ora hai accesso al motore, al volante, agli indicatori, alle luci e all'elettronica stessa, permettendoti di spazzare via altri sistemi operativi già esistenti.
Funziona solo se non hai abilitato Full Drive encryption . Questo può essere ottenuto utilizzando vari metodi o software come TrueCrypt o Windows Bitlocker .
Se guidi dire, crittografato usando la protezione Windows Bitlocker, l'utente che sta tentando di accedere al file system del disco rigido utilizzando il live cd non sarà in grado nemmeno di sfogliare il disco rigido.
Puoi leggere di più sulla Protezione Bitlock di Windows qui - link
Inoltre, cos'altro puoi fare è mettere una password del disco fisso. Ci sono molti software disponibili su Internet e immagino che Seagate fornisca anche questi strumenti per la crittografia e la protezione di Drive.
Se è possibile avviare un sistema operativo arbitrario su una macchina, si ha accesso root. Questa è l'essenza del attacco cameriera malvagio .
AFAIK nulla può impedirlo, forse solo Secure Boot, ma in ogni caso la sua specifica richiede che l'utente debba essere in grado di disabilitarlo su macchine non ARM.
La password del BIOS può essere ripristinata rimuovendo la batteria nella scheda madre o con programmi freeware di facile utilizzo disponibili su Internet.
La crittografia del disco non protegge gli attaccanti dalla sostituzione della prima cosa che viene avviata, che si tratti del Master Boot Record, del kernel / initrd o di qualsiasi altra cosa, con una che memorizza la password da qualche parte affinché l'autore dell'attacco possa leggerla in un secondo momento. Mentre protegge i tuoi dati dai ladri (a condizione che tu non inserisca la password dopo che il ladro ha compromesso il sistema). Questo perché qualcosa nel processo di avvio deve essere necessariamente non crittografato per poter essere in grado di chiederti una password (a meno che la chiave di crittografia non sia nell'hardware, come per Secure Boot).
La sicurezza delle informazioni dipende dalla semplice sicurezza fisica precedente. Se non vuoi che la gente manometta il tuo computer, non lasciare che ci metta loro le mani sopra.
Il modo più semplice per evitare ciò senza compromettere in modo significativo le prestazioni del tuo computer (Bitlocker o TrueCrypt sono non in termini di prestazioni) sta acquistando un SSD moderno e abilitando la password del BIOS.
Tutti i moderni SSD crittografano tutti i dati tutto il tempo (solitamente usando AES-256 poiché è una buona parola di marketing). Il motivo è, tuttavia, non la sicurezza, ma la randomizzazione dei dati al fine di bilanciare meglio le celle di memoria contro l'usura.
Questo ha due vantaggi pratici che vengono gratuitamente:
Le unità moderne di solito dispongono di una chiave di ripristino che un utente malintenzionato può utilizzare per rimuovere la chiave esistente. Sfortunatamente questo significa che anche se un ladro non può leggere i dati sul disco, l'unità in quanto tale è ancora valida, dal momento che può essere utilizzata per l'archiviazione (mi piacerebbe che un disco rubato fosse completamente inutile).
Pertanto, se la tua password non può essere indovinata (o catturata da un keylogger hardware inserito tra la tastiera e la porta USB), il migliore che un utente malintenzionato può fare è distruggere tutti i dati, come distruggere il computer con un martello pesante.
Questo dipende davvero dal caso.
Se hai un hardware / sistema operativo militare, puoi bloccare tutto, ma ha un costo. La manutenzione di FDE, disabilitando le porte (o rimuovendole), renderle a prova di manomissione è piuttosto onerosa dal punto di vista della gestione e dell'usabilità. Il sistema operativo che l'uso militare è severamente bloccato e indurito, ma considererebbe comunque una scatola di proprietà se fosse stata rubata.
Se si sta parlando di aziendale e anche personale, se si è preoccupati per i dati, la sicurezza dei dati dovrebbe sempre essere effettuata a livello di dati e non a infrastruttura / sistema operativo. Cifra anche i tuoi dati al di sopra di FDE se sei preoccupato a riguardo. Probabilmente non fermerà la NSA, ma potrebbe darti qualche giorno per respirare mentre sta tagliando via.
Se sei preoccupato che il tuo dispositivo venga modificato in modo tale che non lo sai, FDE e AV ++, IPS / IDS sono ciò che vuoi
Leggi altre domande sui tag windows linux access-control privacy