Комментарии 23
Однако корпус QFN требует пайки к IC, поскольку данный корпус паяется на шарики.
Действительно, к QFN надо подпаиваться, но этот корпус не на шариках, на шариках BGA, а вот туда подцепить я намноооого сложнее
TPM поддерживает шифрование с использованием сессий. Странно, что bitlocker не использует эту возможность.
Можно ещё декодировать протокол более высокого уровня ("TPM Library" в четырёх частях) и забирать ответ на нужную команду, вместо поиска по всему массиву данных.
Подскажите, влияет ли как-нибудь на защиту включенная гибернация с учетом того, что включен PIN при загрузке. Где-то читал, что гибернация позволяет проводить какие-то другие типы атак на BitLocker.
Особенно забавно, как в свое время Майкрософт аргументировала невозможность апгрейда оперативной памяти в их планшетных компьютерах, тем что тогда память можно вытащить и охладить жидким азотом, чтобы достать данные из памяти, в том числе и ключи от битлокера.
А для этого, оказывается, даже и азот не нужен.
Использовать BitLocker, это все равно в гостинице ожидать, что ключ от вашей комнате есть только у вас.
И зачем тогда тпм виндовсу 11?
Я думаю, что только для того чтобы выкинуть все старые компы на помойку, и чтобы работали только новые с ней.
Далеко не все пользуются битлокером и сканерами отпечатков, а если его ещё и легко взломать то это просто пустая трата кремния, ещё и в такие трудные времена. Можно и без тпм все хорошо зашифровать.
если его ещё и легко взломать«Легко» зависит от квалификации атакующего и от длительности его физического доступа. Меры безопасности, которые применяет, скажем, условный владелец крупнейшей даркнет-биржи, будут излишними для Васи Пупкина, за которым охотятся не ведущие спецслужбы мира, а товарищ майор, обнаруживший голую задницу Васи на фоне храма в васином инстаграме.
Нашем гипотетическому Васе не нужно бежать быстрее медведя, ему нужно бежать лишь быстрее самых медленных.
Можно и без тпм все хорошо зашифровать.
Окей, расскажите, пожалуйста, как зашифровать накопитель при условии, что компьютером с Windows пользуются несколько человек, каждый со своей учёткой, и нежелательно, чтобы все они знали пароль от зашифрованного накопителя? Поскольку утекший от одного пользователя пароль сразу даёт атакующему возможность загрузиться с внешнего накопителя, расшифровать диск и получить доступ к данным всех пользователей. А пользователи бывают всякие, одного чуть возьми на понт — он всё и выложит, подставив всех остальных.
С TPM (причём, не важно, будет ли использоваться BitLocker или какое-то иное средство, умеющие работать с TPM, например VeraCrypt) задача решается очень просто и красиво: ключ шифрования хранится в TPM, накопитель прозрачно расшифровывается им при запуске, а Windows отвечает за авторизацию пользователей в системе. Таким образом, пользователь «сдаст» лишь себя самого, а вот вытащить ключ из TPM будет посложнее, чем расколоть ламера.
Кроме того, если компьютером пользуется лишь один человек, никто не мешает использовать связку TPM+пароль для расшифровки накопителя. Опишу свой сетап: для расшифровки накопителя требуется связка TPM+пользовательский пароль, при этом, задействованы регистры TPM:
— исполняемый код базового системного ПО (непосредственно код прошивки)
— данные базового системного ПО (настройки прошивки)
— расширенный или подключённый исполняемый код (прошивка подключённых устройств)
— диспетчер загрузки
если хоть что-то из перечисленного меняется (кто-то подменил прошивку, изменил её настройки, пытается загрузиться, подключив некое новое устройство, пытается загрузиться с внешнего накопителя, а не с системного), то я имею возможность сразу об этом узнать, так как не смогу расшифровать накопитель своим паролем. Это сигнал «тут что-то не так, как обычно».
Добиться такого лишь с обычным паролем… ну, удачи, вы даже не сможете быть уверены, что зловред, получивший права суперпользователя, не перезаписал вам прошивку.
Такой вопрос, а в таком случае насколько велик шанс полностью потерять доступ к разделу просто из-за бага прошивки или софта системы? Сейчас уже встречаются "умные" дрова, которые сами лезут обновлять биос, или меняют настройки биоса.
Кроме того, никто не отменял резервное копирование. Накопитель может выйти_из_строя/быть_украден/что-то_ещё вообще без всякого шифрования.
На худой конец, если у вас такое умное устройство, что само обновляет биос, то просто не привязывайтесь к регистру, отвечающему за содержимое прошивки.
Окей, расскажите, пожалуйста, как зашифровать накопитель при условии, что компьютером с Windows пользуются несколько человек, каждый со своей учёткой, и нежелательно, чтобы все они знали пароль от зашифрованного накопителя? Поскольку утекший от одного пользователя пароль сразу даёт атакующему возможность загрузиться с внешнего накопителя, расшифровать диск и получить доступ к данным всех пользователей.
Не совсем понятна проблема - почему не выделить каждому пользователю по отдельному разделу ФС, который шифруется паролем этого пользователя? Тут единственная проблема не в шифровании самом по себе, а в атаках брутфорсом - если пароль недостаточно длинный/случайный, то N часов/дней может быть достаточно для его взлома; TPM тут может помочь как "замедлитель" атаки брутфорсом. Однако принципиально в шифровании данных per-user никакой проблемы нет и в отсутствии TPM.
Мда, теперь понятно, что salted sessions - это не просто наворот "для галочки" (как я по наивности предполагал - ну, вернее, защита от сферических коней в вакууме), а реальная защита от вполне реальных атак...
Очередное подтверждение старого правила о том, что секреты не должны покидать секретного хранилища. Если бы все данные дешифровывались исключительно в TPM, то и уязвимости бы не было. Проблема только в скорости шифрования/дешифровки отдельным сопроцессором на медленной шине. Скорее всего, в будущем, сопроцессор TPM перенесется в CPU, как это когда-то было с математическим сопроцессором.
А в целом шифровальный сопроцессор со встроенным secure enclave — это реальность. На компах Apple он был в виде сопроцессора T2, а теперь встроен в процессор М1.
Не обязательно - достаточно использовать шифрование при передаче данных. Все протоколы и средства для этого есть, Microsoft лишь не применила их...
,> Однако корпус QFN требует пайки к IC, поскольку данный корпус паяется на шарики
с BGA не путаете? QFN это контактные площадки по периметру, и они открыты к подключению
Чувствуете запах? Пахнет утечкой ваших данных