Odczytanie klucza Windows Bitlocker przy użyciu Raspberry Pi Zero

Autor prezentuje sposób odczytania klucza Bitlockera z platformy wyposażonej w TPM. Bez lutowania, bez zostawiania trwałych śladów w systemie/sprzęcie. W opisie filmu znajdziecie metodę na zwiększenie bezpieczeństwa Waszych systemów.

[krzysiek_14]

Nie raspberry Pi zero tylko Pico.

[skarpetyodyna]

@krzysiek_14: +, racja. Nie mogę już poprawić, ale dla całej sprawy to jeszcze gorzej xD

[S....._]

@krzysiek_14: co na to wszystko Scrum Masterzy? Bo jest presja u mnie na Sprincie.

[Rosly]

@altabix: nie by design tylko Windows nie obsługuje zestawienia bezpiecznego kanału który TPM ma w standardzie

[glass3]

@altabix: też błędna konfiguracja, bo moduł TPM można zabezpieczyć pinem.

[dziencioutaki]

Da się złamać, jednak to musi być zewnętrzny moduł TPM. Większość nowych procesorów ma tzw fTPM wbudowany.

[skarpetyodyna]

@dziencioutaki: niestety thinkpady czy elitebooki z poprzednich generacji to na tyle solidne i uznawane w branży za tanie/pancerne laptopy, że problem dotyczy naprawdę dużej grupy.

Oczywiście podatność wymagająca fizycznego dostępu jest zdecydowanie bezpieczniejsza niż te zdalne exploity, jednakże warto szerzyć nowinę, że zlamanie bitlockera to zdecydowanie większy problem dla zdeterminowanych niż domniemany wbudowany backdoor dla służb.

[bartcegielski]

@skarpetyodyna

Przecież bitlocker to zabezpieczenie właśnie w sytuacji fizycznego dostępu do dysku.

[olewales]

Przyczepiliście się do tego BitLockera a problem nie jest w dostawcy rozwiązania tylko w koncepcji. Jeśli uruchamiacie zaszyfrowanego laptopa/telefon/cokolwiek który do włączenia nie wymaga od was hasła (klucza szyfrującego) to znaczy, że ten klucz jest zapisany wewnątrz urządzenia. Jeśli on tam jest to mniejszym lub większym nakładem środków można go wyciągnąć.
Dlatego smartfony po włączeniu wymagają hasła a dopiero do kolejnego odblokowania umożliwiają użycie biometrii - bo muszą najpierw odszyfrować dane kluczem

[keeper772]

@olewales ludzie mają tendencję do używania słabych haseł, które napewno są słabsze od losowych kluczy szyfrujących przechowywanych w tpm. Tu rozwiązaniem jest dodanie wymuszenia pinu przy starcie. Klucz szyfrujący jest w postaci keka, czyli klucz do odszyfrowania dysku jest na samym dysku, ale zaszyfrowany kluczem z tpm. Jeżeli użytkownik poda właściwy pin, tpm zdeszyfruje kek przy pomocy swojego klucza i zwróci go cpu do dalszej pracy z dyskiem. Tpmy są tak

[houk]

@olewales: Dokładnie, TPM zabezpieczony pinem i guzik pan wyciągnie nie znając pinu a bruteforce się nie uda bo kilka prób i poprosi o pełny kluicz recovery i nie zapyta już o pin. Kto używa bitlockera bez pinu na tpm sam jest sobie winien, to nie jest konfiguracja zgodna z prawem np Rodo dla urządzeń mobilnych. Musi być pin lub hasło.

[Nie_fair]

@paliwoda a ty co myslisz o bezpieczenstwie naszych systemuf ?

[BykNieDajeMleka]

przecież to stare jest poza tym pico a nie jakieś pi, obczajcie jak gość na YT zrobił sobie z nich chamskiego brute force do serwerowni Gemini w Krakowie z 10 min. może to trwało (╭☞σ ͜ʖσ)╭☞

[cysiekw]

YT zrobił sobie z nich chamskiego brute force do serwerowni Gemini w Krakowie

@BykNieDajeMleka: link?

[yajdeeks]

@BykNieDajeMleka kolega prosi o link

[deLux]

Szkoda, że pominął ten fragment przygody kiedy czyta/ zdobywa dokumentację i kodzi na raspi. Zostało tylko udowadnianie, że 30s dostępu fizycznego wystarczy (jak nie będzie kręcił tym wkrętakiem ręcznym tylko weźmie coś szybszego).

[Roztropny]

Powiem szczerze że jestem zaskoczony że BitLocker jest domyślnie bez pinu, ja mam nawet ustawione hasło ze znakami specjalnymi. W takim wypadku nie zadziała ten atak

[Kryspin013]

@Roztropny: zadziała, wystarczy, że raz masz dostęp fizycznie do laptopa, właściciel musi tylko jednorazowo nieświadomie wpisać pin do rozszyfrowania klucza bitlockera.

[SmerfMaruda-777]

@Kryspin013: a to nie jest tak, że atak jest możliwy tylko przy ładowaniu systemu, a potem już klucz leży sobie w pamięci?

[DarekMarek]

W opisie filmu znajdziecie metodę na zwiększenie bezpieczeństwa Waszych systemów.

???

[SmerfMaruda-777]

Atak w sumie jest oczywisty. Jak nie trzeba podawać nawet pinu lub mieć jakiegoś ubikeya to ten klucz musi gdzieś być dostępny cleartextem lub spoofingiem. Tzn. da się to zrobić inaczej (np. klucz przesyłany szyfrogramem z kluczem asymetrycznym wygenerowanym przez procesor), jednak w końcu ten klucz wyląduje gdzieś w pamięci - nie może być przechowywany w szyfrogramie, bo wydajnościowo by to nie wyrobiło. Zresztą wykradnięty szyfrogram też można by było użyć, tylko

[SmerfMaruda-777]

@SmerfMaruda-777: przepraszam za nadmiarowe przecinki, już nie mogę edytować (╥﹏╥)