BitLocker磁盤(pán)加密

注:本文不涉及專業(yè)技術(shù)細(xì)節(jié),放心食用

Why

為什么要加密磁盤(pán)?

  • 電腦丟失/硬盤(pán)丟失的情況下,
    bitlocker可以保護(hù)數(shù)據(jù),不被人輕易訪問(wèn)到.
    保護(hù)硬盤(pán)中的操作系統(tǒng)免受篡改.

  • 沒(méi)有開(kāi)啟bitlocker的情況下,Windows的開(kāi)機(jī)密碼可被輕易繞過(guò),
    但如果開(kāi)了bitlocker,一般的黑闊選手也就沒(méi)轍了,可以攔住絕大部分人登錄你的操作系統(tǒng).

  • 硬盤(pán)或存儲(chǔ)器中,常常保存著我們其他賬號(hào)的信息,
    磁盤(pán)和系統(tǒng)這一層面的淪陷,可能導(dǎo)致個(gè)人所有賬號(hào)密碼都被泄露.
    比如我們習(xí)慣在使用Chrome時(shí),選擇記住賬號(hào)密碼,這些內(nèi)容基本上等于明文可見(jiàn)的狀態(tài).
    這意味著,要保障我們各種Web門(mén)戶賬號(hào)的安全,繞不開(kāi)硬盤(pán)加密和操作系統(tǒng)的安全問(wèn)題.


How

  • 從Windows Vista時(shí)代,
    微軟開(kāi)始提供BitLocker功能,
    支持用戶對(duì)磁盤(pán)進(jìn)行加密.


What

啟用BitLocker

  • 管理好個(gè)人的解鎖密碼,是正確安全的使用BitLocker的關(guān)鍵所在.
    為了適用各種場(chǎng)景和用戶習(xí)慣,微軟給用戶提供了多種方式或組合,來(lái)進(jìn)行BitLocker的驗(yàn)證解鎖
    如 純口令 | USB密鑰 | TPM | (TPM + PIN) | (TPM + PIN + USB密鑰)等等

  • 每種驗(yàn)證方式的BitLocker開(kāi)啟步驟略有不同,
    這里筆者介紹了其中兩種方式開(kāi)啟BitLocker.

    U盤(pán)+BitLocker方式
    http://www.reibang.com/p/e06f8683009b

    Yubikey+BitLocker方式
    (Yubikey是一種看起來(lái)像U盾一樣的USB設(shè)備,但功能豐富)
    http://www.reibang.com/p/5b091212e84d

    還有個(gè)TPM+BitLocker的方式,
    由于很多電腦沒(méi)有配TPM模塊,
    不同TPM的設(shè)置方式也各異,
    因此筆者只對(duì)TPM的性質(zhì)進(jìn)行了簡(jiǎn)單說(shuō)明:
    http://www.reibang.com/p/088c8ac885ea


BitLocker周邊的安全威脅

  • BitLocker加密本身是安全的/經(jīng)過(guò)驗(yàn)證的,
    對(duì)于普通用于來(lái)說(shuō)做好口令/密鑰的保存工作,通常不會(huì)有太大問(wèn)題.
    但這并非萬(wàn)無(wú)一失,在整個(gè)啟動(dòng)或解密的過(guò)程中,
    仍可能存在其他的安全問(wèn)題,導(dǎo)致繞過(guò)BitLocker的驗(yàn)證.

  • 密鑰管理環(huán)節(jié)出問(wèn)題
    如口令泄露,
    USBKey設(shè)備丟失/被復(fù)制,
    TPM存在漏洞/后門(mén)導(dǎo)致被攻破.
    (可以做的:管理好密鑰,或選擇不信任TPM)


    Snipaste_2020-10-04_23-40-15.png


  • 邪惡女傭攻擊(Evil maid attack)


    Snipaste_2020-10-04_21-29-17.png

在BIOS UEFI沒(méi)有保護(hù)的情況下,
惡意軟件有能力篡改BIOS UEFI,修改啟動(dòng)流程,
接著模仿Bitlocker驗(yàn)證彈出密碼界面,
誘導(dǎo)用戶輸入,截獲密碼后發(fā)送到黑客的郵箱.
然后才進(jìn)入真正的Bitlocker驗(yàn)證界面.

總結(jié)來(lái)說(shuō),
Bitlocker本身是安全的,
但是在Bitlocker之前的位置,
UEFI/BIOS環(huán)節(jié)出了問(wèn)題.
(需要提升UEFI安全)

  • 冷啟動(dòng)攻擊(Cold boot attack)


    Snipaste_2020-10-04_21-20-50.png

PC斷電后,
內(nèi)存中的數(shù)據(jù)不會(huì)立刻消失,
并且內(nèi)存在低溫狀態(tài)下,數(shù)據(jù)殘留的時(shí)間會(huì)被延長(zhǎng).

利用這個(gè)特性,
有物理權(quán)限的黑闊,冷啟動(dòng)計(jì)算機(jī),
啟動(dòng)其他磁盤(pán)上另一個(gè)輕量級(jí)的操作系統(tǒng),
將此時(shí)內(nèi)存狀態(tài)轉(zhuǎn)儲(chǔ)到文件中,
接著展開(kāi)內(nèi)容分析,從中挖掘出密鑰或敏感信息.

總結(jié)來(lái)說(shuō),
冷啟動(dòng)攻擊的目標(biāo)是內(nèi)存,
硬盤(pán)中一些加密的數(shù)據(jù),
讀取到內(nèi)存時(shí),總有解密的時(shí)候,
黑闊可以抓住這個(gè)時(shí)機(jī),展開(kāi)冷啟動(dòng)攻擊,
因?yàn)閱?wèn)題出在內(nèi)存,
全盤(pán)加密/TPM等安全方案,
對(duì)這種攻擊是無(wú)效的.
(一些應(yīng)對(duì)措施 開(kāi)箱監(jiān)控 物理安全 全內(nèi)存加密 IntelSGX安全區(qū))

  • DMA攻擊

在提起DMA攻擊之前,
首先得說(shuō)清啥是DMA設(shè)備(Direct memory access)
在PC上,出于性能等一些原因,有這么一類硬件,
可以不經(jīng)過(guò)CPU直接的訪問(wèn)內(nèi)存.

基于這個(gè)特性,
黑闊從這些接口進(jìn)行突破,
繞開(kāi)操作系統(tǒng)的各種安全機(jī)制,
直接訪問(wèn)內(nèi)存,完成竊取其中的數(shù)據(jù)密鑰等.(1394 M2 PCIE 雷電等...)

  • DMA之火線攻擊


    Snipaste_2020-10-04_22-15-28.png

年代比較久遠(yuǎn)的DMA攻擊,
通過(guò)1394接口完成.

  • DMA之Thunderspy


    Snipaste_2020-10-05_00-24-14.png

近一年兩出現(xiàn)的DMA攻擊,
基于雷電接口的漏洞,
炒的沸沸揚(yáng)揚(yáng).

  • DMA之PCILeech

此外還有些通過(guò)PCIE M2等接口進(jìn)行的.
(甚至還有人嘗試從內(nèi)存和主板連接處飛線,展開(kāi)DMA攻擊)

  • 硬盤(pán)自身漏洞之Self-Encrypting Deception


自加密特性:
有的硬盤(pán)自帶加解密功能,
不需要經(jīng)過(guò)CPU內(nèi)存操作系統(tǒng),
可獨(dú)立完成加解密.

廉價(jià)的信任:
讓硬盤(pán)獨(dú)自完成加解密工作,
節(jié)約一大筆CPU內(nèi)存資源.
當(dāng)bitlocker發(fā)現(xiàn)硬盤(pán)有自加密的能力,
就讓硬盤(pán)自己做加密了,沒(méi)去用軟件方式.

問(wèn)題所在:
一些硬盤(pán)廠商的加密方案做的稀爛,
被研究員和黑客找到漏洞,
還原了加密數(shù)據(jù).
(解決方案:在Win10注冊(cè)表中,禁用"為固定數(shù)據(jù)驅(qū)動(dòng)器配置基于硬件的加密使用”)


參考

How It Works: Bitlocker

https://www.youtube.com/watch?v=n_B_FCKLyH0

Bitlocker、TPM和系統(tǒng)安全

https://zhuanlan.zhihu.com/p/29840740

The Evil Maid Attack

https://www.youtube.com/watch?v=0uRxRIJc8zU

Cold Boot Attacks on Encryption Keys

https://www.youtube.com/watch?v=Ej-Nr79bVjg

FireWire Memory Attack

https://www.youtube.com/watch?v=Ek-uwQ7qiso
https://www.youtube.com/watch?v=tle4vis_Aes

Thunderspy

https://www.youtube.com/watch?v=7uvSZA1F9os
https://www.zhihu.com/question/394207624/answer/1216679902

基于PCILeech的UEFI DMA攻擊

https://www.anquanke.com/post/id/86840

PCILeech - ufrisk

https://github.com/ufrisk/pcileech

Ulf Frisk - Memory Forensics and DMA Attacks with MemProcFS and PCILeech

https://www.youtube.com/watch?v=5DbQr3Zo-XY

Taking DMA Attacks to the Next Level

https://www.youtube.com/watch?v=QeIPcA8zsHk

Self-Encrypting Deception: Weaknesses in the Encryption of Solid State Drives

https://www.youtube.com/watch?v=uE_Q2em9cFM
https://www.howtogeek.com/fyi/you-cant-trust-bitlocker-to-encrypt-your-ssd-on-windows-10/
https://www.computerworld.com/article/3319736/bitlocker-on-self-encrypted-ssds-blown-microsoft-advises-you-switch-to-software-protection.html

最后編輯于 ：
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
禁止轉(zhuǎn)載预愤，如需轉(zhuǎn)載請(qǐng)通過(guò)簡(jiǎn)信或評(píng)論聯(lián)系作者柜某。
  • 人面猴
    序言：七十年代末缺谴，一起剝皮案震驚了整個(gè)濱河市操软，隨后出現(xiàn)的幾起案子肮砾，更是在濱河造成了極大的恐慌姑荷，老刑警劉巖糜俗，帶你破解...
    沈念sama閱讀 210,978評(píng)論 6贊 490
  • 死咒
    序言：濱河連續(xù)發(fā)生了三起死亡事件，死亡現(xiàn)場(chǎng)離奇詭異弟跑，居然都是意外死亡灾前，警方通過(guò)查閱死者的電腦和手機(jī)，發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 89,954評(píng)論 2贊 384
  • 救了他兩次的神仙讓他今天三更去死
    文/潘曉璐 我一進(jìn)店門(mén)孟辑，熙熙樓的掌柜王于貴愁眉苦臉地迎上來(lái)哎甲，“玉大人蔫敲，你說(shuō)我怎么就攤上這事√棵担” “怎么了奈嘿？”我有些...
    開(kāi)封第一講書(shū)人閱讀 156,623評(píng)論 0贊 345
  • 道士緝兇錄：失蹤的賣姜人
    文/不壞的土叔 我叫張陵，是天一觀的道長(zhǎng)吞加。 經(jīng)常有香客問(wèn)我裙犹，道長(zhǎng)，這世上最難降的妖魔是什么榴鼎？ 我笑而不...
    開(kāi)封第一講書(shū)人閱讀 56,324評(píng)論 1贊 282
  • ?港島之戀（遺憾婚禮）
    正文 為了忘掉前任伯诬，我火速辦了婚禮，結(jié)果婚禮上巫财，老公的妹妹穿的比我還像新娘盗似。我一直安慰自己，他們只是感情好平项，可當(dāng)我...
    茶點(diǎn)故事閱讀 65,390評(píng)論 5贊 384
  • 惡毒庶女頂嫁案：這布局不是一般人想出來(lái)的
    文/花漫 我一把揭開(kāi)白布赫舒。 她就那樣靜靜地躺著，像睡著了一般闽瓢。 火紅的嫁衣襯著肌膚如雪接癌。 梳的紋絲不亂的頭發(fā)上，一...
    開(kāi)封第一講書(shū)人閱讀 49,741評(píng)論 1贊 289
  • 城市分裂傳說(shuō)
    那天扣讼，我揣著相機(jī)與錄音缺猛，去河邊找鬼。 笑死椭符，一個(gè)胖子當(dāng)著我的面吹牛荔燎，可吹牛的內(nèi)容都是我干的。 我是一名探鬼主播销钝，決...
    沈念sama閱讀 38,892評(píng)論 3贊 405
  • 雙鴛鴦連環(huán)套：你想象不到人心有多黑
    文/蒼蘭香墨 我猛地睜開(kāi)眼有咨，長(zhǎng)吁一口氣：“原來(lái)是場(chǎng)噩夢(mèng)啊……” “哼！你這毒婦竟也來(lái)了蒸健？” 一聲冷哼從身側(cè)響起座享，我...
    開(kāi)封第一講書(shū)人閱讀 37,655評(píng)論 0贊 266
  • 萬(wàn)榮殺人案實(shí)錄
    序言：老撾萬(wàn)榮一對(duì)情侶失蹤，失蹤者是張志新（化名）和其女友劉穎似忧，沒(méi)想到半個(gè)月后渣叛，有當(dāng)?shù)厝嗽跇?shù)林里發(fā)現(xiàn)了一具尸體，經(jīng)...
    沈念sama閱讀 44,104評(píng)論 1贊 303
  • ?護(hù)林員之死
    正文 獨(dú)居荒郊野嶺守林人離奇死亡橡娄，尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 36,451評(píng)論 2贊 325
  • ?白月光啟示錄
    正文 我和宋清朗相戀三年诗箍，在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了。 大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片挽唉。...
    茶點(diǎn)故事閱讀 38,569評(píng)論 1贊 340
  • 活死人
    序言：一個(gè)原本活蹦亂跳的男人離奇死亡滤祖，死狀恐怖，靈堂內(nèi)的尸體忽然破棺而出瓶籽，到底是詐尸還是另有隱情匠童，我是刑警寧澤，帶...
    沈念sama閱讀 34,254評(píng)論 4贊 328
  • ?日本核電站爆炸內(nèi)幕
    正文 年R本政府宣布塑顺，位于F島的核電站汤求，受9級(jí)特大地震影響，放射性物質(zhì)發(fā)生泄漏严拒。R本人自食惡果不足惜扬绪，卻給世界環(huán)境...
    茶點(diǎn)故事閱讀 39,834評(píng)論 3贊 312
  • 男人毒藥：我在死后第九天來(lái)索命
    文/蒙蒙 一、第九天 我趴在偏房一處隱蔽的房頂上張望裤唠。 院中可真熱鬧挤牛，春花似錦、人聲如沸种蘸。這莊子的主人今日做“春日...
    開(kāi)封第一講書(shū)人閱讀 30,725評(píng)論 0贊 21
  • 一樁弒父案，背后竟有這般陰謀
    文/蒼蘭香墨 我抬頭看了看天上的太陽(yáng)航瞭。三九已至诫硕，卻和暖如春，著一層夾襖步出監(jiān)牢的瞬間刊侯，已是汗流浹背章办。 一陣腳步聲響...
    開(kāi)封第一講書(shū)人閱讀 31,950評(píng)論 1贊 264
  • 情欲美人皮
    我被黑心中介騙來(lái)泰國(guó)打工， 沒(méi)想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留滨彻，地道東北人藕届。 一個(gè)月前我還...
    沈念sama閱讀 46,260評(píng)論 2贊 360
  • 代替公主和親
    正文 我出身青樓，卻偏偏與公主長(zhǎng)得像疮绷，于是被迫代替她去往敵國(guó)和親翰舌。 傳聞我的和親對(duì)象是個(gè)殘疾皇子，可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 43,446評(píng)論 2贊 348