Proteggi la scheda SD fisica di Raspberry Pi da scambiare

È necessario utilizzare Full Disk Encryption sulla sdcard utilizzata per avviare il Pi. Usandolo, se l'attaccante scarica la scheda SD, non sarà in grado di leggerne il contenuto. Questo proteggerà le credenziali 802.1x memorizzate nella carta.

In secondo luogo, utilizzare l'autenticazione 802.1x sulla rete. 802.1x richiede login e password per il client per ottenere un indirizzo IP. Senza un login e una password validi, il Pi non sarà in grado di collegarsi alla rete anche se l'attaccante inserisce il cavo di rete su di esso.

Con questo, dovrai collegare una tastiera e un monitor al Pi, per inserire la password del disco e le credenziali 802.1x. Se questo Pi è per eseguire un ambiente sicuro, mantieni una buona immagine del disco da qualche altra parte e rispecchia la carta ogni volta che Pi viene spento. Ciò impedirà all'aggressore di entrare, chiudendo il Pi e facendo backdoor del bootloader (l'attacco di Malvagità del Male). Questo è obbligatorio , a meno che tu non voglia che l'utente malintenzionato ottenga le credenziali 802.1x e la chiave di crittografia del disco completo contemporaneamente.

Punto bonus: nessuno senza credenziali valide sarà in grado di raggiungere una stanza senza sorveglianza e collegare un laptop.

Dimentica l'autenticazione dell'indirizzo MAC, è banale cambiare il MAC.

Penso che mettere il Pis in una credenza o in un rack del server che ha una porta che può essere chiusa dovrebbe fare il trucco con il minor numero di problemi.

La risposta di ThoriumBRs è davvero buona, ma orribilmente complicata da configurare. Riflettere la scheda SD ogni volta che il Pi viene spento è certamente un'opzione, ma a meno che non si lavori per un datore di lavoro molto attento alla sicurezza (il che è improbabile considerando che la piattaforma hardware è il Raspberry Pi) è improbabile che sia effettivamente implementabile in pratica.

Il Pi non ha alcun tipo di meccanismo per garantire che venga avviata solo un'immagine software nota. Né ha alcun meccanismo per consentire l'avvio di un'immagine senza che l'autore dell'attacco sia in grado di scoprire cosa c'è nell'immagine.

Quindi le tue opzioni sono fondamentalmente.

1. Proteggi fisicamente il pi.
2. Tieni i segreti di autenticazione necessari per accedere alla tua rete solo nella ram. Lo svantaggio di questo approccio è che ogni volta che si verifica un'interruzione di corrente è necessario reinserire questi segreti.
3. Blocca la porta di rete in modo che anche se l'attaccante compromette il Pi il danno che può fare al resto dei tuoi sistemi è limitato.

P.S. si noti che le restrizioni sull'indirizzo MAC non sono molto sicure, è semplice per un utente malintenzionato inserire uno sniffer, afferrare l'indirizzo MAC di un dispositivo legittimo e quindi riconfigurare il suo dispositivo con quell'indirizzo MAC.