Quanto vale la crittografia del disco? Minaccia di Bios, SMM, optionrom, TPM ecc.?

La tua domanda si riduce essenzialmente alla gestione del rischio. Il modo più semplice per analizzare un particolare rischio è vedere dove cade in termini delle seguenti tre categorie:

• Probabilità - Qual è la possibilità che questo rischio si trasformi in un problema?
• Impatto - Se si verifica un problema a causa di questo rischio, qual è il problema?
• Costo: quanto costerà ridurre tale probabilità o impatto a un livello accettabile?

Tieni presente che costo non è solo monetario, ma include tempo, impegno, convenienza, ecc.

La maggior parte dei rischi non può mai essere completamente mitigata. L'obiettivo è trovare un equilibrio accettabile tra probabilità, impatto e costo. Ora esaminiamo in particolare il problema:

Probability
In realtà, la probabilità che un pirata informatico di installare BIOS falso e chip TPM sia minima. Aneddoticamente, non posso citare un singolo caso nella storia di Infosec in cui un vero aggressore ha fatto questo. Per quanto ne so, è stato sempre dimostrato solo in condizioni di laboratorio. Il tuo vero rischio è avere un dispositivo hardware keylogger installato tra la tastiera e la porta USB o PS / 2. Quanto è probabile che un utente malintenzionato abbia accesso fisico? Anche l'attaccante ha un modello di rischio: rischiano probabilmente di essere catturati per il bene di ciò che stai proteggendo? Sii realistico qui: stai proteggendo un servizio di condivisione di foto web utilizzato da 20 persone o una banca con decine di migliaia di clienti? Direi che la probabilità di attacchi BIOS / TPM è minuscola, ma la probabilità di keylogger hardware è da bassa a media, a seconda delle circostanze di archiviazione e accesso.

Impatto
Cosa hai da perdere? Qual è la perdita fiscale massima assoluta , comprese le perdite di vendita previste dovute alla perdita di fiducia? Quanto è probabile che tu debba pagare negli straordinari quando il personale sta pulendo dopo una violazione? Potresti essere citato in giudizio o multato per violazione delle leggi sulla protezione dei dati, come DPA 1998? Dal modello di perdita previsto, quanto è costato ad altre società in circostanze simili? Ricorda che il tuo rischio di perdita dovrebbe essere relativo per le operazioni aziendali nel loro complesso. Pensa in termini di risorse: che cosa tu consideri importante? È il tuo codice sorgente? Sono i tuoi dati finanziari? I tuoi documenti di progettazione del prodotto? Quali sono le informazioni a rischio più preoccupate di perdere? Immagino che tu stia guardando ad alto impatto qui, dal momento che i keylogger consentirebbero a un utente malintenzionato di ottenere un accesso quasi illimitato alla tua rete.

Costo
Quanto ti costerà portare il rischio o l'impatto a un livello accettabile? Si noti che i metodi di mitigazione potrebbero non dover essere implementati su ogni macchina. Si possono usare controlli di accesso e auditing corretti? La tua sicurezza fisica è abbastanza strong?

Alcuni potenziali modi per ridurre il rischio di manomissioni:

• Non consentire al personale di accedere ad aree che non è necessario che siano! Se si utilizzano i key fob RFID per l'immissione keyless, non consentire all'AD del CEO di utilizzarli per entrare nella stanza del server.
• Blocca le custodie del computer, per evitare manomissioni interne.
• Posiziona le torri del computer all'interno dei cabinet bloccati, per rendere difficile interferire con i cavi della tastiera.
• Rimuovi o disattiva gli slot USB su server e computer che non ne hanno bisogno.
• Portatili custoditi in un armadietto chiuso a chiave quando non sono in uso.
• Utilizza chiusure Kensington su laptop e altri dispositivi sensibili.
• Utilizza il nastro di sicurezza per sigillare server e altri sistemi ad alto rischio.
• Utilizzare serrature di alta qualità. Questo mi spaventa più di ogni altra cosa - recentemente ho imparato a prenderli e quelli meno costosi sono troppo facili da rompere. Una serratura decente di Yale manterrà occupato un intruso esperto per 3-4 minuti. Quelli economici non di marca possono richiedere meno di 15 secondi. Maglocks da soli non sono sufficienti e possono essere sconfitti con un elettromagnete fatto in casa, un piccolo circuito e una batteria per laptop .
• Fai testare frequentemente i tuoi allarmi e sistemi TVCC e attribuisci la priorità ai sensori di sicurezza (ad es. PIRs , fotocamere, magnetico sensori di ingresso, ecc.) in aree ad alto rischio.

Tutto sommato, potresti probabilmente portare questo rischio a un livello accettabile implementando 4 o 5 di queste idee.

Verrò fuori e dirò che hai ragione sul fatto che il tuo BIOS potrebbe essere compromesso, infatti l'intero computer potrebbe essere progettato con lo scopo espresso di sorseggiare ogni singolo pezzo di informazioni su di esso. Inoltre, non c'è assolutamente modo di poter essere sicuri altrimenti. Non esiste un set di strumenti o un metodo che ti possa mai dare tranquillità qui.

Il fatto è che è estremamente improbabile che, anche se il tuo hardware fosse in grado di essere preso in carico, qualcuno con quella capacità vorrebbe farlo con te. Sottoporre un bios e farlo funzionare con minacce basate su software è difficile, molto difficile in realtà e non necessario in quanto il puro malware basato su software che utilizza vulnerabilità prive di patch nel sistema operativo o nel software caricato andrà altrettanto bene ed è molto più semplice.

È probabile che la tua più grande minaccia sia la perdita di dati dovuta a furto o smarrimento del tuo dispositivo, e questo è ciò che la crittografia è lì per proteggerti. Non proteggerà i tuoi dati dall'essere sottratti dal malware mentre la macchina è accesa e i dati non crittografati, ma lo farà se lascerai il tuo portatile in un taxi.