Arruiné mi sistema antes, me saludaron con una pantalla negra cuando arranqué en Ubuntu. Cuando encendí mi computadora portátil, seleccioné la opción de recuperación del menú de grub y elegí el respaldo en la terminal raíz . Vi que podía usar el comando agregar usuario, con el que probablemente podría usar para crear un usuario privilegiado en mi máquina.
¿No es eso un problema de seguridad?
Uno podría haber robado mi computadora portátil y en el inicio elegí la recuperación y agregué otro usuario, entonces estoy confundido. Incluyendo mis datos.
Ahora que lo pienso, incluso si de alguna manera elimina esa entrada, uno podría arrancar desde un CD en vivo, poner chrooten marcha y luego agregar otro usuario, con los privilegios correctos que le permiten ver todos mis datos.
Si configuro el BIOS para que se inicie solo en mi HD, sin USB, CD / DVD, inicio de red, y establezco una contraseña de BIOS, todavía no importaría, porque todavía tendría esa entrada de inicio de recuperación de grub.
Estoy bastante seguro de que alguien de China, Rusia, no puede hackear mi Ubuntu Trusty Tahr, desde la red, porque es seguro así. Pero, si uno tiene acceso físico a mi - su - máquina, entonces, bueno, es por eso que hago esta pregunta. ¿Cómo puedo asegurar mi máquina para que no sea posible hackear el acceso físico?
Informe de error:
fuente
fred:x:0:0:fred,,,:/home/fred:/bin/bashy ahora si inicio sesión como fred y corrowhoami, obtengorootadduseretc., por lo general, no le permitirán hacerlo, pero solo la edición/etc/passwdfunciona. Ser un hacker significa ignorar lo que debes hacer;)Respuestas:
Supongo que solo el cifrado de disco completo utilizando un algoritmo fuerte y, lo más importante, una buena contraseña es lo único que puede proteger sus datos almacenados localmente. Esto le brinda probablemente un 99.99% de seguridad. Consulte una de las muchas guías sobre cómo hacer esto.
Además de eso, NO es posible asegurar su máquina de un hacker experimentado con acceso físico.
Contraseñas de usuario / cuenta:
es fácil crear un nuevo usuario administrador si inicia en modo de recuperación, como lo describió usted mismo, porque obtiene un shell raíz sin que se le pidan contraseñas de esta manera.
Puede parecer un problema de seguridad accidental, pero está destinado a casos de recuperación (¿quién lo hubiera pensado?), En los que, por ejemplo, perdió su contraseña de administrador o desordenó el
sudocomando u otras cosas vitales.contraseña de root:
Ubuntu no ha configurado ninguna contraseña de usuario root de forma predeterminada. Sin embargo, puede configurar uno y se le pedirá si arranca en modo de recuperación. Esto parece bastante seguro, pero en última instancia todavía no es una solución segura. Todavía puede agregar el parámetro del kernel a
single init=/bin/bashtravés de GRUB antes de iniciar Ubuntu que lo inicia en modo de usuario único, que de hecho es un shell raíz sin contraseña también.Asegurar el menú de GRUB con una contraseña:
puede asegurar que las entradas de su menú de GRUB solo sean accesibles después de la autenticación, es decir, puede negar el inicio del modo de recuperación sin contraseña. Esto también evita manipular los parámetros del núcleo. Para obtener más información, consulte el sitio Grub2 / Contraseñas en help.ubuntu.com . Esto solo se puede omitir si arranca desde un medio externo o conecta el HDD a otra máquina directamente.
Deshabilite el arranque desde un medio externo en el BIOS:
puede configurar el orden de arranque y, por lo general, excluir dispositivos del arranque en muchas versiones actuales de BIOS / UEFI. Sin embargo, esas configuraciones no están aseguradas, ya que todos pueden ingresar al menú de configuración. Aquí también debe establecer una contraseña, pero ...
Contraseñas de BIOS: por
lo general, también puede omitir las contraseñas de BIOS. Hay varios métodos:
¡Gracias a Rinzwind por esta información y enlace!
Bloquee la caja de la computadora / niegue el acceso físico a la placa base y al disco duro:
incluso si todo lo demás falla, un ladrón de datos aún puede abrir su computadora portátil / computadora, saque el HDD y conéctelo a su propia computadora. Montarlo y acceder a todos los archivos no encriptados es pan comido desde allí. Debe colocarlo en un estuche seguro donde pueda asegurarse de que nadie pueda abrir la computadora. Sin embargo, esto es imposible para las computadoras portátiles y difícil para las computadoras de escritorio. ¿Tal vez se te ocurra ser dueño de una película de acción como un dispositivo autodestructivo que explota algunos explosivos en el interior si alguien intenta abrirlo? ;-) ¡Pero asegúrese de que nunca tendrá que abrirlo usted mismo para realizar tareas de mantenimiento!
Cifrado de disco completo:
sé que aconsejé que este método sea seguro, pero tampoco es 100% seguro si pierde su computadora portátil mientras está encendida. Hay un llamado "ataque de arranque en frío" que permite al atacante leer las claves de cifrado de su RAM después de reiniciar la máquina en funcionamiento. Esto descarga el sistema, pero no descarga el contenido de RAM del tiempo sin energía es lo suficientemente corto.
¡Gracias a kos por su comentario sobre este ataque!
También voy a citar su segundo comentario aquí:
Pregunta relacionada, pero aún sin respuesta, sobre cómo prevenir los ataques de arranque en frío: ¿Cómo habilito Ubuntu (usando el cifrado de disco completo) para llamar a LUKSsupend antes de dormir / suspender a RAM?
Para concluir: actualmente nada realmente protege su computadora portátil de ser utilizada por alguien con acceso físico e intención maliciosa. Solo puede cifrar completamente todos sus datos si es lo suficientemente paranoico como para arriesgarse a perder todo al olvidar su contraseña o un bloqueo. Por lo tanto, el cifrado hace que las copias de seguridad sean aún más importantes de lo que ya son. Sin embargo, también deben cifrarse y ubicarse en un lugar muy seguro.
O simplemente no regale su computadora portátil y espere que nunca la pierda. ;-)
Sin embargo, si le importan menos sus datos pero más su hardware, es posible que desee comprar e instalar un remitente GPS en su estuche, pero eso es solo para las personas paranoicas reales o los agentes federales.
fuente
La computadora portátil más segura es la que no tiene datos. Puede configurar su propio entorno de nube privada y luego no almacenar nada de importancia local.
O saca el disco duro y derrítelo con termita. Si bien esto técnicamente responde la pregunta, puede que no sea la más práctica, ya que ya no podrá usar su computadora portátil. Pero tampoco lo harán esos hackers siempre nebulosos.
Salvo esas opciones, encripte doblemente el disco duro y requiera que se conecte una memoria USB para desencriptarlo. La memoria USB contiene un conjunto de claves de descifrado y el BIOS contiene el otro conjunto, protegido por contraseña, por supuesto. Combine eso con una rutina automática de autodestrucción de datos si la unidad USB no está conectada durante el inicio / reanudación de la suspensión. Lleve la memoria USB en su persona en todo momento. Esta combinación también pasa a tratar con XKCD # 538 .
fuente
Cifra tu disco. De esta manera, su sistema y sus datos estarán seguros en caso de robo de su computadora portátil. De otra manera:
Te recomendaría que tengas una partición LUKS en la que puedas configurar un LVM. Puede dejar su partición de arranque sin cifrar para que solo necesite ingresar su contraseña una vez. Esto significa que su sistema podría verse comprometido más fácilmente si es manipulado (robado y devuelto sin que usted lo note), pero este es un caso muy raro y, a menos que piense que está siendo seguido por la NSA, un gobierno o algún tipo de mafia, no deberías preocuparte por esto.
Su instalador de Ubuntu debería darle la opción de instalar con LUKS + LVM de una manera muy fácil y automatizada. No estoy volviendo a publicar los detalles aquí, ya que hay mucha documentación en Internet. :-)
fuente
/home/yourName, ¡como debería! - luego apile esta carpeta con un controlador de cifrado a nivel de archivo (como uno que mencioné en el OP y no volverá a enviar spam), una alternativa muy viable. No me preocupa que la gente vea todas las cosas aburridas/usr, etc./home(incluidos datos personales y profesionales en otras particiones), por lo que es más fácil para mí cifrar todo, pero creo que cada usuario tiene sus propias necesidades :-). Sin embargo, el usoecryptfsno es la mejor decisión en cuanto al rendimiento. Puedes encontrar algunos puntos de referencia aquí . Asegúrese de leer las páginas2-5del artículo para obtener resultados reales (la página1es solo una introducción)./var/log,/var/www(fuente), y/tmp, ¡entonces tal vez el cifrado de disco completo comenzará a parecer más sensato!/etcotros directorios de nivel superior ... Al final, el cifrado de disco completo es una solución simple y rápida que te permitirá dormir como un bebé todas las noches. ^^Hay un par de soluciones de hardware que vale la pena destacar.
En primer lugar, algunas computadoras portátiles, como algunas computadoras portátiles empresariales de Lenovo, vienen con un interruptor de detección de manipulación que detecta cuándo se abre el estuche. En Lenovo, esta función debe activarse en el BIOS y debe establecerse una contraseña de administrador. Si se detecta una manipulación, la computadora portátil (creo) se apagará de inmediato, al inicio mostrará una advertencia y requerirá la contraseña de administrador y el adaptador de CA adecuado para continuar. Algunos detectores de manipulación también activarán una alarma sonora y se pueden configurar para enviar un correo electrónico.
La detección de manipulación realmente no evita la manipulación (pero puede dificultar el robo de datos de la RAM, y la detección de manipulación puede "bloquear" el dispositivo si detecta algo realmente dudoso como tratar de quitar la batería CMOS). La principal ventaja es que alguien no puede manipular encubiertamente el hardware sin que usted lo sepa: si ha configurado una seguridad de software sólida, como el cifrado de disco completo, la manipulación encubierta del hardware es definitivamente uno de los vectores de ataque restantes.
Otra seguridad física es que algunas computadoras portátiles se pueden bloquear en un muelle. Si la base está montada de forma segura en una mesa (a través de los tornillos que estarán debajo de la computadora portátil) y la computadora portátil se mantiene bloqueada en la base cuando no está en uso, entonces proporciona una capa adicional de protección física. Por supuesto, esto no detendrá a un ladrón determinado, pero definitivamente hace que sea más difícil robar la computadora portátil de su hogar o negocio, y mientras está bloqueada todavía es perfectamente utilizable (y puede conectar periféricos, ethernet, etc.).
Por supuesto, estas características físicas no son útiles para asegurar una computadora portátil que no las tiene. Pero si usted es consciente de la seguridad, puede valer la pena considerarlos al comprar una computadora portátil.
fuente
Además de cifrar su disco (no lo evitará): - SELinux y TRESOR. Ambos fortalecen el kernel de Linux e intentan dificultar que los atacantes lean cosas de la memoria.
Mientras lo hace: ahora entramos en el territorio no solo del miedo a los malvados tipos al azar que desean la información de su tarjeta de débito (no lo hacen) sino a menudo lo suficiente de las agencias de inteligencia. En ese caso, quieres hacer más:
Hay muchas otras cosas que puede hacer, pero deberían dar una cantidad razonable de cosas con las que deben hacer cosquillas.
Y no te olvides de: xkcd ;-)
fuente
Debido a que cambió un poco la pregunta, aquí está mi respuesta a la parte modificada:
Respuesta: no puedes
Hay muchos sistemas avanzados de hardware y software como detección de manipulaciones , cifrado, etc., pero todo se trata de esto:
Puede proteger sus datos, pero no puede proteger su hardware una vez que alguien tuvo acceso a ellos. Y si continúa usando cualquier hardware después de que alguien más tuvo acceso, ¡está poniendo en peligro sus datos!
Use una computadora portátil segura con detección de manipulación que borre la RAM cuando alguien intente abrirla, use el cifrado de disco completo, almacene copias de seguridad de sus datos cifrados en diferentes ubicaciones. Luego, haga que sea lo más difícil posible obtener acceso físico a su hardware. Pero si cree que alguien tuvo acceso a su hardware, límpielo y deséchelo.
La siguiente pregunta que debe hacer es: ¿Cómo puedo adquirir nuevo hardware que no haya sido manipulado?
fuente
Use una contraseña ATA para su HDD / SSD
Esto evitará el uso del disco sin la contraseña . Esto significa que no puede arrancar sin la contraseña porque no puede acceder al MBR o ESP sin la contraseña. Y si el disco se usa dentro de otra máquina, aún se requiere la contraseña.
Por lo tanto, puede utilizar una llamada contraseña de usuario ATA para su HDD / SSD. Esto generalmente se configura dentro del BIOS (pero esta no es una contraseña de BIOS).
Para mayor seguridad, también puede establecer una contraseña maestra ATA en el disco. Para deshabilitar el uso de la contraseña del fabricante.
También puedes hacer esto en el cli
hdparm.Se debe tener especial cuidado porque puede perder todos sus datos si pierde la contraseña.
http://www.admin-magazine.com/Archive/2014/19/Using-the-ATA-security-features-of-modern-hard-disks-and-SSDs
Nota: Aquí también hay puntos débiles, ya que existen softwares que afirman recuperar la contraseña de ATA, o incluso afirman que la eliminan. Por lo tanto, tampoco es 100% seguro.
Nota: la contraseña ATA no necesariamente viene con FED (Full Disk Encryption)
fuente