Je me suis trompé mon système plus tôt, j'ai été accueilli avec un écran noir, lors du démarrage à Ubuntu. Lorsque j'ai démarré mon ordinateur portable, j'ai sélectionné l'option de récupération dans le menu contextuel, puis l'option de repli au terminal racine . J'ai vu que je pouvais utiliser la commande add user, avec laquelle je pourrais probablement utiliser pour créer un utilisateur privilégié sur ma machine.
N'est-ce pas un problème de sécurité?
On aurait pu voler mon ordinateur portable et au démarrage choisir la récupération et ajouter un autre utilisateur, je suis falsifié alors. Y compris mes données.
À bien y penser, même si vous supprimez cette entrée d’une manière ou d’une autre, vous pouvez démarrer à partir d’un live-CD, l’utiliser chroot
et en ajouter un autre, avec les privilèges adéquats lui permettant de voir toutes mes données.
Si je configure le BIOS de manière à ce qu'il ne démarre que sur mon disque dur, sans USB, CD / DVD, démarrage réseau, ni mot de passe BIOS, cela n'a pas d'importance, car vous disposeriez toujours de cette entrée de démarrage pour la récupération grub.
Je suis à peu près sûr que quelqu'un de Chine ou de Russie ne peut pas pirater mon réseau Ubuntu Trusty Tahr, car il est sécurisé comme ça. Mais si quelqu'un a un accès physique à ma - votre - machine, alors, eh bien, c'est pourquoi je pose cette question. Comment puis-je sécuriser ma machine afin que le piratage par accès physique ne soit pas possible?
Rapport d'erreur:
la source
fred:x:0:0:fred,,,:/home/fred:/bin/bash
et maintenant, si je me connecte en tant que fred et quewhoami
je cours , je reçoisroot
adduser
etc. ne vous permettent généralement pas de le faire, vous pouvez simplement éditer/etc/passwd
. Être un hacker, c'est ignorer ce qu'il faut faire;)Réponses:
Je suppose que seul le chiffrement intégral du disque utilisant un algorithme puissant et, ce qui est le plus important, un bon mot de passe est la seule chose qui peut sécuriser vos données stockées localement. Cela vous donne probablement 99,99% de sécurité. Veuillez vous référer à l’un des nombreux guides pour savoir comment procéder.
De plus, il n'est PAS possible de sécuriser votre ordinateur contre un pirate informatique expérimenté disposant d'un accès physique.
Mots de passe utilisateur / compte:
il est facile de créer un nouvel utilisateur administrateur si vous démarrez en mode de récupération, comme vous l'avez décrit vous-même, car vous obtenez un shell root sans que les mots de passe ne soient demandés.
Cela pourrait ressembler à un problème de sécurité accidentel, mais est destiné aux ((qui l'auraient pensé)?) Les cas de récupération, où vous avez par exemple perdu votre mot de passe administrateur ou foiré la
sudo
commande ou d'autres choses vitales.mot de passe root:
Ubuntu n'a pas défini de mot de passe d'utilisateur root par défaut. Cependant, vous pouvez en définir un et il vous sera demandé si vous démarrez en mode de récupération. Cela semble assez sécurisé, mais n’est toujours pas une solution finalement sécurisée. Vous pouvez toujours ajouter le paramètre de noyau
single init=/bin/bash
via GRUB avant de démarrer Ubuntu qui le démarre en mode mono-utilisateur - qui est en fait un shell root sans mot de passe également.Sécurisation du menu GRUB avec un mot de passe:
Vous pouvez sécuriser les entrées de votre menu GRUB pour qu’elles ne soient accessibles qu’après l’authentification, c’est-à-dire que vous pouvez refuser d’amorcer le mode de récupération sans mot de passe. Cela empêche également de manipuler les paramètres du noyau. Pour plus d'informations, consultez le site Grub2 / Passwords sur help.ubuntu.com . Cela ne peut être contourné que si vous démarrez depuis un support externe ou si vous connectez directement le disque dur à une autre machine.
Désactiver le démarrage à partir d'un support externe dans le BIOS:
vous pouvez définir l'ordre de démarrage et généralement exclure des périphériques du démarrage dans de nombreuses versions actuelles du BIOS / UEFI. Ces paramètres ne sont toutefois pas sécurisés, car tout le monde peut accéder au menu de configuration. Vous devez également définir un mot de passe ici, mais ...
Mots de passe du BIOS:
Vous pouvez généralement contourner également les mots de passe du BIOS. Il y a plusieurs méthodes:
Merci à Rinzwind pour cette information et ce lien!
Verrouillez le boîtier de l'ordinateur / refusez l'accès physique à la carte mère et au disque dur:
même si tout le reste échoue, un voleur de données peut toujours ouvrir votre ordinateur portable, extraire le disque dur et le connecter à son propre ordinateur. Le monter et accéder à tous les fichiers non cryptés est un jeu d'enfant. Vous devez le placer dans un boîtier bien verrouillé où vous pouvez être sûr que personne ne pourra ouvrir l'ordinateur. Ceci est cependant impossible pour les ordinateurs portables et difficile pour les ordinateurs de bureau. Peut-être pouvez-vous penser à posséder un film d'action comme un dispositif autodestructeur qui fait exploser des explosifs à l'intérieur si quelqu'un tente de l'ouvrir? ;-) Mais assurez-vous que vous n'aurez jamais à l'ouvrir vous-même pour la maintenance!
Cryptage intégral du disque:
Je sais que cette méthode est sécurisée, mais elle n’est pas sûre à 100% si vous perdez votre ordinateur portable pendant qu’il est allumé. Il existe une soi-disant "attaque de démarrage à froid" qui permet à l'attaquant de lire les clés de cryptage à partir de votre RAM après avoir réinitialisé la machine en cours d'exécution. Cela décharge le système, mais ne vide pas le contenu de la RAM du temps sans alimentation est assez courte.
Merci à kos pour son commentaire à propos de cette attaque!
Je vais aussi citer son deuxième commentaire ici:
Question connexe, mais toujours sans réponse, sur la manière de prévenir les attaques de démarrage à froid: Comment puis-je activer Ubuntu (en utilisant le chiffrement intégral du disque) pour appeler LUKSsupend avant de mettre en veille / de suspendre dans la RAM?
Pour conclure: à l'heure actuelle, rien ne protège réellement votre ordinateur portable de son utilisation par une personne ayant un accès physique et une intention malveillante. Vous ne pouvez entièrement chiffrer toutes vos données que si vous êtes suffisamment paranoïaque pour risquer de tout perdre en oubliant votre mot de passe ou en bloquant votre compte. Le cryptage rend donc les sauvegardes encore plus importantes qu'elles ne le sont déjà. Cependant, ils devraient également être cryptés et situés dans un endroit très sûr.
Ou alors, ne donnez pas votre ordinateur portable en espérant que vous ne le perdrez jamais. ;-)
Si vous vous souciez moins de vos données que de votre matériel, vous voudrez peut-être acheter et installer un émetteur GPS dans votre cas, mais cela ne concerne que les vrais paranoïaques ou les agents fédéraux.
la source
L'ordinateur portable le plus sécurisé est celui qui ne contient aucune donnée. Vous pouvez configurer votre propre environnement de cloud privé et ne rien stocker d’important localement.
Ou sortez le disque dur et faites-le fondre avec de la thermite. Bien que cela réponde techniquement à la question, il se peut que ce ne soit pas la solution la plus pratique car vous ne pourrez plus utiliser votre ordinateur portable. Mais ces pirates toujours aussi nébuleux ne le seront pas non plus.
Si ces options ne sont pas disponibles, double-chiffrez le disque dur et utilisez une clé USB pour le déchiffrer. La clé USB contient un jeu de clés de déchiffrement et le BIOS contient l'autre jeu - protégé par mot de passe, bien sûr. Combinez cela avec une routine d'autodestruction automatique des données si la clé USB n'est pas connectée pendant le démarrage / la reprise après une suspension. Portez la clé USB sur vous en tout temps. Cette combinaison concerne également XKCD # 538 .
la source
Cryptez votre disque. De cette façon, votre système et vos données seront en sécurité en cas de vol de votre ordinateur portable. Autrement:
Je vous recommanderais d'avoir une partition LUKS dans laquelle vous pourriez configurer un LVM. Vous pouvez laisser votre partition de démarrage non chiffrée afin de ne devoir entrer votre mot de passe qu'une fois. Cela signifie que votre système pourrait être plus facilement compromis s'il était altéré (volé et rendu sans que vous le remarquiez), mais il s'agit d'un cas très rare et, à moins que vous ne pensiez être suivi par la NSA, un gouvernement ou une sorte de mafia, vous ne devriez pas vous inquiéter à ce sujet.
Votre installateur Ubuntu devrait vous permettre d’installer LUKS + LVM de manière très simple et automatisée. Je ne ré-affiche pas les détails ici, car il y a déjà beaucoup de documentation sur Internet. :-)
la source
/home/yourName
- comme vous devriez! - puis empilez ce dossier avec un pilote de chiffrement au niveau du fichier (tel que celui que j'ai mentionné à l'OP et qui ne spamme plus), une alternative très viable. Je ne m'inquiète pas pour les gens qui voient toutes ces choses ennuyeuses/usr
, etc./home
(y compris des données personnelles et professionnelles dans d'autres partitions), il est donc plus facile pour moi de tout chiffrer, mais je suppose que chaque utilisateur a ses propres besoins :-). Cependant, l'utilisationecryptfs
n'est pas la meilleure décision en termes de performances. Vous pouvez trouver quelques repères ici . Assurez-vous de lire les pages2-5
de l'article pour obtenir les résultats réels (la page1
n'est qu'une introduction)./var/log
,/var/www
(source), &/tmp
, alors peut-être que le chiffrement intégral du disque commencera à sembler plus judicieux!/etc
autres répertoires de premier niveau ... À la fin, le cryptage intégral du disque est une solution simple et rapide qui vous permettra de dormir comme un bébé chaque nuit. ^^Il convient de noter quelques solutions matérielles.
Tout d’abord, certains ordinateurs portables, tels que certains ordinateurs portables professionnels Lenovo, sont livrés avec un commutateur de détection d’altération qui détecte l’ouverture du boîtier. Sur Lenovo, cette fonctionnalité doit être activée dans le BIOS et un mot de passe administrateur doit être défini. Si une altération est détectée, l'ordinateur portable (je crois) s'éteindra immédiatement. Au démarrage, il affichera un avertissement et demandera le mot de passe de l'administrateur et l'adaptateur secteur approprié pour continuer. Certains détecteurs de violation déclenchent également une alarme sonore et peuvent être configurés pour envoyer un courrier électronique.
La détection de sabotage n'empêche pas vraiment le sabotage (mais cela peut rendre plus difficile le vol de données dans la RAM - et la détection de sabotage peut "masquer" le périphérique s'il détecte quelque chose de vraiment louche, comme essayer de retirer la batterie CMOS). Le principal avantage est que personne ne peut modifier secrètement le matériel sans que vous le sachiez - si vous avez configuré une sécurité logicielle renforcée telle que le cryptage intégral du disque, la falsification secrète du matériel est définitivement l'un des vecteurs d'attaque restants.
Une autre sécurité physique est que certains ordinateurs portables peuvent être verrouillés à un quai. Si le dock est solidement monté sur une table (via des vis qui seront sous l'ordinateur) et que l'ordinateur reste verrouillé sur le dock lorsqu'il n'est pas utilisé, il fournit alors une couche supplémentaire de protection physique. Bien sûr, cela n'arrêtera pas un voleur déterminé, mais cela rendra plus difficile le vol de l'ordinateur portable de votre domicile ou de votre entreprise, et bien verrouillé, il reste parfaitement utilisable (et vous pouvez brancher des périphériques, Ethernet, etc. sur le dock).
Bien entendu, ces fonctionnalités physiques ne sont pas utiles pour sécuriser un ordinateur portable qui ne les possède pas. Mais si vous êtes soucieux de la sécurité, il peut être intéressant de les prendre en compte lors de l'achat d'un ordinateur portable.
la source
En plus de chiffrer votre disque (vous ne vous en tirerez pas): - SELinux et TRESOR. Les deux durcissent le noyau Linux et tentent d’empêcher les attaquants de lire des choses en mémoire.
Pendant que vous y êtes: nous entrons maintenant sur le territoire de la peur des mauvais types malhonnêtes qui veulent des informations sur votre carte de débit (ils ne le font pas), mais souvent des agences de renseignement. Dans ce cas, vous voulez faire plus:
Il y a beaucoup d'autres choses que vous pouvez faire mais celles-ci devraient donner une quantité raisonnable de choses dont elles ont besoin pour chatouiller.
Et n'oubliez pas: xkcd ;-)
la source
Parce que vous avez un peu changé la question, voici ma réponse à la partie modifiée:
Réponse: tu ne peux pas
Il existe de nombreux systèmes matériels et logiciels avancés tels que la détection de sabotage , le cryptage, etc., mais tout se résume à ceci:
Vous pouvez protéger vos données, mais vous ne pouvez pas protéger votre matériel une fois que quelqu'un y a eu accès. Et si vous continuez à utiliser du matériel après que quelqu'un d'autre y ait eu accès, vous mettez vos données en danger!
Utilisez un bloc-notes sécurisé avec détection de sabotage qui efface la RAM lorsque quelqu'un tente de l'ouvrir, utilisez le chiffrement intégral du disque, stockez des sauvegardes de vos données chiffrées à différents endroits. Ensuite, rendez le plus difficile possible l’accès physique à votre matériel. Mais si vous pensez que quelqu'un a eu accès à votre matériel, nettoyez-le et jetez-le.
La question suivante que vous devriez vous poser est la suivante: comment puis-je acquérir un nouveau matériel qui n’a pas été falsifié?
la source
Utilisez un mot de passe ATA pour votre disque dur / SSD
Cela empêchera l'utilisation du disque sans le mot de passe . Cela signifie que vous ne pouvez pas démarrer sans mot de passe car vous ne pouvez pas accéder au MBR ou à l' ESP sans le mot de passe. Et si le disque est utilisé à l'intérieur d'une autre machine, le mot de passe est toujours requis.
Vous pouvez donc utiliser un mot de passe utilisateur ATA pour votre disque dur / SSD. Ceci est généralement défini dans le BIOS (mais ce n'est pas un mot de passe du BIOS).
Pour plus de sécurité, vous pouvez également définir un mot de passe ATA principal sur le disque. Pour désactiver l'utilisation du mot de passe du fabricant.
Vous pouvez le faire sur la CLI avec
hdparm
aussi.Des précautions supplémentaires doivent être prises, car vous pouvez perdre toutes vos données si vous perdez le mot de passe.
http://www.admin-magazine.com/Archive/2014/19/Using-the-ATA-security-features-of-modern-hard-disks-and-SSDs
Remarque: il existe également des faiblesses dans la mesure où certains logiciels prétendent récupérer le mot de passe ATA, voire prétendent le supprimer. Donc, ce n'est pas sûr à 100% non plus.
Remarque: le mot de passe ATA ne vient pas nécessairement avec FED (Full Disk Encryption).
la source