Come utilizzare un TPM per proteggere il BIOS / EFI dagli attacchi "remoti"

Question

Come utilizzare un TPM per proteggere il BIOS / EFI dagli attacchi "remoti"

#1 da (9 voti)
#2 da (4 voti)
#3 da (0 voti)

5

Ho un computer da lavoro / da gioco. Il lato di lavoro è un SSD con linux e il lato del gioco è un SSD con Win7 (tutta la sicurezza disattivata, che prevede di ottenere virus e cancellare ogni LAN). Solo una delle unità è fisicamente collegata alla volta. Finché le due unità non sono mai entrambe collegate, l'unico modo che vedo per ottenere un virus da Win7 a Linux è se infetta il BIOS e poi ottiene l'altra quando cambio em. (Se questo è discutibile, si prega di commentare, e possiamo parlare di un'altra domanda.)

Ho sentito parlare di questa cosa "TPM", ma solo nella misura in cui consentirà ai produttori di impedirmi di installare un sistema operativo diverso, che non è quello che sto cercando di proteggere da me.

Quindi lo scenario è questo: supponendo che l'avvio di Win7 sia compromesso al massimo, come posso proteggere il mio BIOS (o almeno sapere se è stato manomesso). Ho visto questa domanda, e lascia un po 'di ambiguità se TPM è sufficientemente basso per validare effettivamente un BIOS compromesso. Come verificare l'integrità del mio BIOS?

Sono disposto ad acquistare una scheda madre speciale per questo scopo.

bios trusted-computing uefi

posta Mikey 22.06.2012 - 20:35

fonte

3 risposte

Leggi altre domande sui tag bios trusted-computing uefi

Dovresti etichettare le apparecchiature di rete? questo è un rischio per la sicurezza? Come puoi sapere cosa è distribuito con il tuo Linux

score 9 · Answer 1

Qui si confondono due tecnologie.

In primo luogo, c'è UEFI e la sua funzione Secure Boot. Secure Boot può essere usato per assicurare che il tuo boot loader e il tuo kernel del sistema operativo non vengano manomessi. Per fare ciò, il tuo boot loader e il kernel devono essere firmati digitalmente e la tua configurazione UEFI deve contenere i certificati / le firme necessarie per verificare le firme. Windows 8 su piattaforme ARM utilizza UEFI per impedire efficacemente l'installazione di altri sistemi operativi. UEFI, tuttavia, non offre alcuna protezione reale contro gli attacchi a livello di firmware.

Ora per il TPM: il TPM è un chip hardware passivo che è (tra le altre cose) utilizzato per memorizzare misure (valori hash) di ad es. software in modo resistente alla manomissione e rendere disponibili tali misurazioni per la segnalazione. Le schede madre fornite con un TPM hanno requisiti speciali per il loro firmware. Innanzitutto, hanno un piccolo pezzo di firmware speciale chiamato Core Root of Trust for Measurement (CRTM). Il CRTM viene eseguito per primo durante l'avvio e memorizza le misurazioni di se stesso e del prossimo pezzo di firmware (BIOS o UEFI) prima di passare il controllo ad esso. Il prossimo pezzo di firmware misurerebbe in genere il boot loader che a sua volta misurerebbe il kernel del sistema operativo e così via fino al livello di applicazione (in dettaglio il processo di misurazione è più complicato, ovviamente). La maggior parte dei boot loader e dei sistemi operativi, tuttavia, non utilizza il TPM in questo modo. Ad ogni modo, se hai un TPM sulla tua scheda madre, puoi essere certo che misuri il firmware.

Che cosa puoi fare con queste misurazioni? BitLocker, ad es. utilizza Sealing per associare le chiavi necessarie per decrittografare il tuo HD a quelle misure. Ciò significa che i tuoi codici HD non possono essere utilizzati se il malware danneggia il tuo firmware. Quindi, su Windows è possibile utilizzare BitLocker per proteggere dalla manomissione del firmware. Non sono a conoscenza di qualcosa di simile per Linux (anche se potrebbe esistere qualcosa). Tuttavia, è possibile utilizzare un server Radius abilitato TNC (Trusted Network Connect) e un wpasupplicant abilitato per TNC per verificare le misurazioni da remoto.

score 4 · Answer 2

Il TPM può essere usato per controllare durante l'avvio se il kernel non è modificato (firmato) e può eseguire la crittografia del disco completo di Bitlocker. Non impedisce praticamente alcun attacco remoto alla tua macchina, tranne per l'installazione remota di rootkit di kernel o vt. La chiave root hardware che puoi usare per firmare le tue richieste, come entrare in un'altra LAN sicura o ottenere risorse sicure su HTTPS. E sì, protegge anche il BIOS semplicemente controllando se sta caricando il kernel corretto.

score 0 · Answer 3

TPM ha la capacità di controllare il BIOS, è la catena di fiducia che favorisce. Controlla sia la root di trust statica che quella dinamica per i protocolli e vedi quali suite ti piacciono di più. E di nuovo, assicurati perché vuoi proteggere il BIOS e cosa vuoi veramente proteggere.