Renforcer la machine de bureau Linux contre les gens de ma maison
Je cherche à faire une installation propre d'un système Debian sur mon bureau à domicile. Pour clarifier, je change de Windows et souhaite l'utiliser comme mon système d'exploitation domestique quotidien - je ne vais pas utiliser de serveurs ou quelque chose comme ça.
J'ai également des raisons de croire que certains membres de mon ménage (qui ont un accès physique à ma machine) essaieraient d'y accéder et regarderaient mes données ou même installeraient un enregistreur de frappe.
Aux fins de cette question, veuillez ignorer les aspects sociaux, à l'exception du fait que je ne peux pas agir ouvertement conflictuel, par ex. verrouiller ma chambre pour empêcher quiconque d'accéder à mon PC n'est pas une option.
Les personnes contre lesquelles je veux me protéger ont des connaissances technologiques; ils connaissent leur chemin dans linux même s'ils peuvent manquer d'expérience, et si quelque chose peut être trouvé avec quelques recherches sur google et prend peut-être une heure ou deux de déconner, alors il est fort probable que cela soit tenté. Cela dit, je suis presque certain que l'acquisition d'équipement spécialisé n'est pas quelque chose qui les dérangerait, ce qui signifie que je n'ai pas à me soucier de la plupart des attaques matérielles, par exemple un keylogger clavier ou un bug sur mon mobo/RAM sniffer/que ce soit.
Une autre chose est que j'ai un système Windows 7 auquel ils ont un accès administrateur (il peut donc être considéré comme compromis). C'est l'une des raisons pour lesquelles je passe à Linux; cependant, j'aimerais garder un système à double démarrage plutôt que de supprimer complètement Windows. Je suis conscient que cela permettrait à un attaquant de neutraliser carrément ma partition Linux, et c'est un risque que je suis prêt à prendre.
Je ne me soucie pas de sécuriser mon système Windows. Je suis conscient qu'il est compromis et je me fiche de ce qui lui arrive. Comme je l'ai mentionné, d'autres personnes ont des comptes sur mon système Windows et l'utilisent occasionnellement ( pour des raisons légitimes!). Je cherche certainement à sécuriser mon installation Linux, mais empêcher l'accès à Windows n'a aucun intérêt à moins que cela contribue à la sécurité de la partie Linux de ma machine. En fait, je préfère éviter de limiter l'accès à Windows si possible parce que je ne veux pas paraître paranoïaque ou créer des conflits dans le ménage.
Le chiffrement intégral du disque empêchera quiconque d'accéder réellement à mes données depuis l'extérieur de mon installation Linux elle-même, ce qui devrait alors prendre en charge le système Windows et même rendre le démarrage à partir d'une clé USB presque inutile (je suis certain que les personnes en question le font pas les ressources ou la motivation pour déchiffrer un lecteur bien chiffré). Je devrai également protéger le mot de passe du mode mono-utilisateur, bien sûr.
Quelles autres choses aurais-je besoin de faire pour sécuriser mon système? Je suis à portée de main avec la ligne de commande et prêt à me salir les mains, mais j'ai une expérience Linux limitée et une connaissance fragmentaire de la sécurité informatique. Le choix de Debian est largement arbitraire et je n'aurais aucun problème à essayer une distribution différente si ce serait mieux dans mon cas. S'il y a quelque chose que j'ai manqué ou si vous avez des conseils sur les choses que j'ai mentionnées (par exemple, les meilleures pratiques pour le chiffrement de disque?), Alors je serais heureux de les entendre.
Je ne pense pas que cette question soit un doublon car toutes les autres questions que j'ai trouvées sur la sécurisation de Linux sur ce site concernent les attaquants distants et la protection contre les virus et les exploits. Ils ont certainement de bonnes réponses, mais ce n'est pas le genre d'informations que je recherche ici.
Une autre question a été portée à mon attention lorsque mon message a été signalé comme doublon. Cependant, celui-ci demande en général si leur machine est sécurisée lorsque d'autres y ont physiquement accès; les réponses se résument généralement à "Accès physique = game over" et fournissent quelques conseils pour atténuer diverses attaques (y compris des choses telles que des rétroviseurs sur votre moniteur). Beaucoup de ces conseils ne sont pas applicables ici, car je suis conscient qu'un accès physique illimité signifie que la machine n'est plus la mienne en théorie, et par conséquent, je fournis certaines limitations aux attaquants dans mon modèle de menace qui correspondent à mon scénario personnel.
Utilisez un mot de passe fort et difficile pour l'utilisateur root. Deuxièmement, connectez-vous toujours et travaillez à partir d'un autre utilisateur sans droits administratifs (et également avec un mot de passe fort).
Activez l'option de mot de passe du BIOS. Chaque fois que vous allumez votre ordinateur, le BIOS lui-même vous demandera un mot de passe avant même de démarrer. Cela empêchera également tout le monde d'appliquer des modifications à la configuration du BIOS.
Cryptez chaque partition de votre disque dur (vérifiez cryptsetup pour Debian - si elle ne peut pas crypter votre partition Windows aussi, utilisez TrueCrypt (de Windows pour votre Windows))
Méfiez-vous des périphériques matériels externes connectés sur votre PC (comme des clés USB ou des concentrateurs) que vous n'avez pas utilisés auparavant. Quelqu'un a peut-être branché un enregistreur de frappe ou quelque chose.
Verrouillez ou éteignez toujours la machine lorsque vous êtes absent.
Renforcement du logiciel:
Installez gufw (interface graphique pour le pare-feu iptables pré-installé) et bloquez le trafic entrant. Installez également rkhunter et vérifiez votre système pour les rootkits connus et autres menaces de temps en temps.
C'est tout ce à quoi je peux penser en ce moment. Si vous avez des questions, n'hésitez pas à commenter ci-dessous.
Je déteste être ce mec, mais
Loi :
Si un méchant a un accès physique illimité à votre ordinateur, ce n'est plus votre ordinateur.
Vous demandez comment verrouiller au mieux une porte en contreplaqué. Les gens vous donnent de très bonnes suggestions pour les verrous, mais aucun d'eux n'a d'importance car votre système est physiquement vulnérable et vos attaquants sont compétents. Ils utiliseront simplement une hache (ou dans votre cas, un tournevis).
Selon les performances dont vous avez besoin et l'argent que vous êtes prêt à dépenser, un "Live USB" amovible ou un système normal complètement amorçable sur un "disque dur" USB (un petit ssd fonctionnerait très bien) pourrait être une solution idéale compte tenu de votre "unique" contraintes d'avoir besoin d'une haute sécurité contre les attaquants locaux. Cela vous permettrait de laisser en place le système Windows compromis et de créer un système Linux sur un périphérique amovible que vous pouvez conserver avec votre personne. Pour le coût le plus bas, vous pouvez utiliser une clé USB très bon marché. Dépensez un peu plus sur une clé USB rapide ou un SSD USB plus robuste et vous pouvez obtenir des performances raisonnables pour la plupart des applications. Le chiffrer est une bonne idée au cas où vous en seriez séparé, mais étant donné qu'il est toujours avec vous et qu'il constitue l'intégralité du système d'exploitation, il est à l'abri des attaques locales.
Il y a certaines choses à considérer qui diffèrent de toutes les réponses précédemment données: ce que vous recherchez est confidentialité, pas sécurité.
Bien qu'ils semblent très similaires, les objectifs de chacun sont différents et les moyens de les mettre en œuvre sont différents. Si vous cherchez à implémenter la sécurité , vous supprimeriez l'accès administrateur des autres utilisateurs, verrouilleriez le compte de chaque utilisateur et mettriez en place des protections pour éviter les abus . Ceci, bien sûr, se fait au détriment de l'utilisabilité.
Maintenant, pour la solution de confidentialité . Puisque vous ne cherchez qu'à protéger vos informations tout en laissant intactes les autres, il y a 3 vecteurs d'attaque majeurs à adresser (en supposant que vous passez à Linux comme vous l'avez prévu):
- Données au repos (sur le disque dur)
- Données en mouvement (sur le réseau)
- Protection lorsque l'appareil est allumé (pare-feu)
Pour les données au repos: Vous voudrez utiliser une sorte de cryptage. Cela empêchera quiconque ne disposant pas de la clé/du mot de passe de consulter les données que vous enregistrez. Il existe de nombreuses autres réponses qui couvrent ce sujet, veuillez donc vous y référer pour des détails d'implémentation spécifiques.
Pour les données en mouvement: Je recommanderais d'acheter un service VPN (ou d'en configurer un en externe si vous avez les ressources). Cela cryptera et protégera tout le trafic entrant et sortant de la boîte. Non seulement il protège le trafic, mais il protège également l'inférence de trafic basée sur les informations de connexion. Par exemple, SSL crypte tout le trafic entre vous et le site que vous visitez; cependant, si quelqu'un flaire votre trafic et voit facebook.com dans la demande initiale, alors qu'il ne sait pas ce que vous envoyez à Facebook, il sait que vous faites quelque chose sur Facebook. Un VPN acheminerait tout le trafic via son serveur avant de l'envoyer sur Internet, supprimant ainsi efficacement cette fuite.
Pour la protection lorsque l'appareil est allumé: En supposant que toutes les attaques matérielles sont hors de l'image (comme les enregistreurs de frappe ou les caméras), la seule zone où la machine est exposée est Ethernet. Si un service activé présente une vulnérabilité, il serait possible d'attaquer ce service à partir du réseau et de prendre le contrôle de votre machine (dans les quelques heures de recherche sur Google que vous supposiez). Pour vous protéger contre cela, vous devrez configurer un pare-fe. Sur Debian, iptables devrait très bien fonctionner. Sur tout trafic entrant, vous souhaiterez bloquer tout ce qui n'est pas LIÉ ou ÉTABLI . Pour encore plus de restrictions, vous pouvez bloquer tout le trafic qui ne vient pas de ou vers votre VPN. De cette façon, il supprime presque complètement toute surface d'attaque et prendra un attaquant beaucoup plus dévoué que vos colocataires à casser.
Voici un exemple des options à utiliser avec iptables pour configurer les limitations:
# iptables -P INPUT DROP
# iptables -P FORWARD DROP
# iptables -P OUTPUT DROP
# iptables -A INPUT -s [VPN IP] -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# iptables -A OUTPUT -d [VPN IP] -j ACCEPT
Et ce que chacun fait:
- Déposez tous les paquets entrant dans la machine
- Supprimer tous les paquets acheminés via la machine
- Supprimer tous les paquets envoyés depuis la machine
- Autoriser le traitement des paquets de l'IP VPN créés à partir de connexions existantes (celles que vous avez établies avec le VPN)
- Autoriser l'envoi de tout paquet au VPN depuis votre machine
Vous pouvez également autoriser uniquement les ports spécifiques que le VPN utilise pour limiter encore plus le vecteur d'attaque. Il est important de noter que vous ne pourrez pas accéder à Internet sauf via votre VPN, alors assurez-vous qu'il est configuré et fonctionne avant d'appliquer ces modifications.
Une fois que tous ces éléments sont appliqués, la boîte devrait être presque impossible à pénétrer soit pendant que vous l'utilisez, soit pendant votre absence, par les personnes qui essaient de consulter vos données.
Disclaimer: Cela suppose des attaques sur votre infrastructure. L'ingénierie sociale et les attaques similaires sont beaucoup plus difficiles à prévenir.
Voici une solution tout compris puisque vous avez déclaré que vous n'étiez pas préoccupé par les attaques matérielles/USB/physiques. Installez Virtualbox/VMWare/Other sur votre bureau. Créez votre invité et placez-le sur une clé USB amovible. Lorsque vous avez terminé votre travail, mettez la machine virtuelle hors tension, retirez la clé, et c'est un bouclage.
Il existe de nombreuses autres méthodes pour y remédier, notamment la création d'un conteneur caché TrueCrypt, puis l'installation de votre invité à l'intérieur de ce conteneur. Cela soulève un drapeau rouge si quelqu'un espionne: "Oh donc il cache quelque chose maintenant ... Doit trouver!" Contre prendre votre système d'exploitation avec vous. Vous pouvez le faire sur une clé USB, un lecteur amovible ou vous pouvez démarrer dans un système jetable (Kali, Linux amorçable), enregistrer des données dans le cloud (Dropbox, etc.) et vous soucier peu du système d'exploitation car il démarrera hors d'un DVD, et soyez une nouvelle installation à chaque fois.
Quant aux services. L'exécution de 1000 services ne signifie rien si tous les services sont exempts de vulnérabilités. Qu'est-ce qui est accessible et comment? Des mots de passe forts sont toujours essentiels, mais imaginez le pire des cas ici. Enregistreur de frappe sur Windows ... Il mettra en danger la sécurité de vos invités puisque vous tapez via l'hôte. La meilleure option serait de démarrer dans une distribution amorçable, en tirant parti du cloud pour enregistrer/stocker des données ou un disque amovible.
J'aime les réponses qui vous suggèrent d'exécuter Linux à partir d'un support amovible. Cela cache le fait que vous prenez des précautions de vos camarades de maison pas si gentils. Il y a cependant quelques problèmes d'un point de vue pratique. Vous sacrifiez la vitesse et l'espace disque, mais ce qui est plus important, c'est que transporter tout votre système d'exploitation avec vous est encombrant. Vous oublierez le trajet à l'école/au travail lorsque vous en aurez besoin à la maison. Vous risquez de perdre toutes vos données si vous égarez votre disque amovible du système d'exploitation ou si vous le laissez tomber une fois de trop.
Si cela ne vous dérange pas de faire basculer vos camarades de maison avec la présence d'une partition cryptée sur votre ordinateur, il existe un moyen plus simple qui vous offre le même niveau de sécurité, sans les problèmes.
Si vous installez Linux sur votre disque dur interne, vous devez évidemment crypter toutes vos partitions Linux. Cependant, vous ne pouvez pas crypter la partition de démarrage qui contient le noyau, je vous suggère donc de copier la partition de démarrage sur un lecteur USB amovible (et, idéalement, protégé en écriture) et de toujours démarrer votre système à partir du lecteur USB. Donc, même si quelqu'un joue avec le noyau (non chiffré), le lecteur RAM initial ou même le chargeur de démarrage pour obtenir un enregistreur de frappe logiciel dans votre système, cela n'aura pas d'importance parce que vous contournez le processus de démarrage foiré en démarrant à partir de votre (espérons-le) nettoyer la clé USB.
Vous voudrez peut-être prendre un hachage des deux partitions de démarrage (celle du disque dur et celle de votre clé USB) et vérifier de temps en temps si les partitions ont changé, juste pour savoir si quelqu'un est dans fait essayer de jouer avec vous. En fait, vous pouvez automatiser cela, en ayant un script d'initialisation sur votre partition racine chiffrée, vérifiez les partitions de démarrage et vous avertit si l'une d'entre elles a changé. De cette façon, vous pouvez être raisonnablement sûr que vos partitions de démarrage sont correctes même si vous ne gardez pas toujours votre clé USB de démarrage sous surveillance étroite.
Le simple fait de conserver le chargeur de démarrage, le noyau et le disque RAM initial sur la clé USB rend cette solution un peu plus pratique. De plus, il n'est pas immédiatement évident que votre clé USB contient un noyau amorçable si vous remplissez le lecteur avec des dossiers inoffensifs, bien que cela ne passe bien sûr que l'inspection la plus rudimentaire.
Tout cela suppose que vos adversaires ne seront pas en mesure d'infecter le BIOS de votre ordinateur avec un enregistreur de frappe, auquel cas tous les paris sont désactivés, mais s'ils savaient comment faire et sont allés si loin, vous avez quand même perdu.
Cela dit, êtes-vous sûr qu'il ne serait pas plus simple, plus efficace et surtout meilleur pour votre bien-être de résoudre les problèmes sociaux qui existent clairement dans votre ménage?
Quelques conseils sur la façon de mettre en œuvre cela (en réponse au commentaire de Boris):
Je n'ai pas fait une telle configuration moi-même, donc je ne peux pas vous donner d'instructions étape par étape. Cependant, voici quelques conseils:
- Commencez par installer une distribution Linux normale sur votre disque dur avec une partition racine chiffrée. Si vous avez besoin de plusieurs partitions, utilisez un LVM chiffré sous-jacent pour ne saisir votre mot de passe qu'une seule fois, pas une fois pour chaque partition. Vous devrez fournir une petite partition de démarrage non chiffrée (disons 200 Mo) qui contiendra le chargeur de démarrage, le noyau et le lecteur RAM initial. Les programmes d'installation standard d'Ubuntu et de Debian vous permettent de faire tout cela assez facilement.
- Assurez-vous que le système démarre, puis cryptez votre partition de swap si le programme d'installation ne vous le permet pas déjà (n'avez pas essayé de programme d'installation récent). Il existe différentes instructions étape par étape disponibles sur Internet, il suffit de google pour l'échange crypté.
Maintenant, pour obtenir votre partition de démarrage sur une clé USB. La partie difficile consiste à amorcer le noyau à partir du lecteur flash USB (qui, je pense, ne démarre pas comme un lecteur USB externe ordinaire). La façon la plus simple serait probablement d'utiliser à nouveau l'installateur standard pour placer une autre installation complète de la même distribution sur la clé USB. J'ai fait quelque chose de proche auparavant et cela a bien fonctionné (même si je me souviens avoir dû sauter à travers quelques cerceaux - j'ai utilisé une distribution Ubuntu et je ne sais pas si j'ai utilisé l'installateur Ubuntu standard ou un système live Ubuntu personnalisé) , et bien sûr, utiliser le système de lecteur flash est une mauvaise idée, car cela
écrivez constamment sur votre disque USB (principalement/var/log/messages) et ruiner le bâton en quelques semaines - est arrivé à deux des miens). Assurez-vous que vous pouvez démarrer ce deuxième système purement sur un lecteur flash à partir du lecteur flash USB.Maintenant que vous avez un noyau fonctionnel et amorçable sur le lecteur flash, tout ce que vous avez à faire est de changer la partition racine du système de lecteur flash. Il pointe vers la partition racine sur le lecteur flash, mais vous voulez que le noyau du lecteur flash utilise la partition racine sur votre disque dur interne. Pour changer cela, vous devez décompresser le lecteur RAM initial sur le lecteur flash USB, qui devrait être assis sur la partition de démarrage sur le lecteur flash et être appelé quelque chose comme initrd. img-xxxxx, copiez sur
/etc/fstabde la partition racine de votre disque dur interne vers lainitrdextraite, et reconditionnez leinitrd. Encore une fois, la modification des images de lecteur initiales RAM est couverte par divers tutoriels sur le net. Notez qu'un moyen plus simple pourrait consister à simplement remplacer leinitrd.imgfichier sur votre clé USB avec celui qui se trouve sur la partition de démarrage de votre disque dur. Mais je n'ai jamais essayé ça, donc je ne sais pas si ça marcherait.Une fois que vous avez fait cela, vous devriez vous retrouver avec un lecteur flash qui démarre à partir du lecteur flash mais utilise la partition racine de votre disque dur interne. Vous pouvez ensuite nettoyer votre lecteur flash; la seule chose dont vous avez besoin est le chargeur de démarrage, le noyau et le lecteur RAM initial (en gros, tout sous/boot).
- Alternativement, vous pouvez installer une "distribution en direct" sur le lecteur flash USB et bricoler avec lui jusqu'à ce que vous l'utilisiez pour utiliser la partition racine de votre disque dur interne. Cependant, cela est probablement beaucoup plus difficile, car les distributions en direct sont configurées de sorte qu'elles utilisent des systèmes de fichiers en superposition qui écrivent dans RAM au lieu du lecteur flash, pour prolonger la durée de vie du lecteur flash. vous devez également vous assurer que vous utilisez une distribution en direct avec une version de noyau compatible avec le système sur la partition racine de votre disque dur interne.
En ce qui concerne la construction de sommes de contrôle de hachage pour vos partitions de démarrage, en supposant que vous connaissez le nom du périphérique de votre partition de démarrage et que c'est
/dev/sda1pour la partition de démarrage interne et/dev/sdb1pour la partition du lecteur flash, la création d'un hachage peut être aussi simple que$ sha256sum -b /dev/sda1 > hd-boot-fingerprint.sha256 $ sha256sum -b /dev/sdb1 > usb-boot-fingerprint.sha256Cela créera une empreinte digitale de toute la partition et devrait donc détecter les modifications apportées à votre chargeur de démarrage. Je ne suis pas sûr du protocole utilisé pour démarrer les lecteurs flash USB; sur les disques durs internes, vous devez également créer une empreinte digitale du premier mégaoctet du disque car c'est là que l'enregistrement de démarrage principal et la première étape du chargeur de démarrage grub sont souvent conservés:
$ dd if=/dev/sda of=first-meg.dd bs=1M count=1 $ sha256sum -b first-meg.dd > first-meg-fingerprint.sha256Une fois que vous avez ces empreintes digitales, vous pouvez les recalculer périodiquement et comparer les nouvelles empreintes digitales calculées aux originaux.
Vous ne pouvez pas sécuriser le système dans les conditions de votre question.
Quoi qu'il en soit, avec un accès physique à votre machine, il n'y a aucune sécurité. À l'exception du mot de passe bios, toutes les contre-mesures de cette page peuvent être contournées en démarrant en mode de secours (sous une forme ou une autre).
Le mot de passe du BIOS est facile à réinitialiser. Il s'agit généralement d'un cavalier ou du retrait de la batterie.
Les réponses les plus probables concernent les supports amovibles. Si vous exécutez Linux sur un disque dur USB et que vous le gardez toujours avec vous, il n'y a pas grand-chose pour eux. Mais encore une fois avec un accès physique, ils pourraient ajuster votre ordre de démarrage et votre dos à la case départ.
Votre seul véritable recours est de résoudre le problème sous-jacent de la confiance et du contrôle d'accès.
p.s. Le chiffrement du disque aidera, mais ce ne sera pas une solution à 100%, car ils y ont accès.
Achetez simplement un cahier et emportez-le avec vous.
Si vous ne voulez pas que d'autres personnes vérifient vos données, ne laissez pas vos données à proximité.
Si tout une partie de votre machine est compromise, tout sur votre machine est compromis. Le piratage de matériel n'est pas nécessairement coûteux et vous ne savez pas jusqu'où cette personne irait pour accéder à vos données. La meilleure façon d'éviter les fuites sur cette machine est de arrêter complètement de l'utiliser.
Comme beaucoup de gens vous l'ont dit, l'accès physique est synonyme de jeu sur le monde de la sécurité. Ne stockez pas de données sensibles ou privatives sur une machine que vous partagez avec des personnes auxquelles vous ne souhaitez pas accéder.
Je ne sais pas pourquoi personne ne l'a encore mentionné (peut-être que je ne comprends pas bien le site).
Mettez une caméra dans votre chambre (une SANS capacités wifi). Installez votre système linux, mentionnez-le avec désinvolture à vos colocataires en passant la conversation. Enregistrez-les pénétrant dans votre ordinateur personnel et lisant vos informations. Faites-les arrêter et condamner à une amende, utilisez l'argent d'indemnisation (le cas échéant) pour vous aider à déménager. Ou faites expulser le colocataire pour A), une infraction grave à la loi, et B), sans respecter votre vie privée. Faire irruption dans l'ordinateur personnel de quelqu'un équivaut à voler.
C'est la solution la plus simple pour moi. Tendre un piège. La meilleure défense est une bonne attaque.
J'obtiendrais deux clés USB. Le premier aurait la capacité d'être défini en lecture seule au niveau matériel avec protection par mot de passe, et le second serait soit un bâton normal ou un bâton activé par PIN (mais ceux-ci ont tendance à s'autodétruire en cas d'erreur PIN est entré plusieurs fois, donc attention ...).
Installez votre système d'exploitation sur la première clé et configurez la deuxième clé pour utiliser le chiffrement complet du disque. Configurez vos partitions de telle sorte que tout ce qui nécessite un accès en écriture puisse être stocké sur le deuxième stick, comme/home. Une fois entièrement configuré et verrouillé avec des mots de passe sécurisés, définissez la clé USB en lecture seule.
Cela vous protégera de tout sauf des enregistreurs de frappe physiques ou de laisser votre système allumé/déverrouillé pendant que vous vous éloignez. Le système d'exploitation en lecture seule signifie que le mode mono-utilisateur serait inutile comme forme d'attaque, car vous ne pouvez rien écrire sur la clé du système d'exploitation lorsqu'elle est verrouillée, et la deuxième clé ne peut pas être lue sans le mot de passe de déchiffrement, protégeant toutes les données sensibles.
J'ai rencontré les âges suivants d'une personne excessivement paranoïaque:
Le chiffrement complet du disque où/boot se trouvait sur un support amovible et le mot de passe principal devait être entré à partir d'une grille d'affichage afin que les frappes qui correspondaient aux lettres du mot de passe principal changent à chaque démarrage de l'ordinateur.
Ma recommandation personnelle ici implique que le support de démarrage soit un CD-R marqué à la main avec un tranchant afin que vous puissiez savoir si quelqu'un essaie de l'échanger. (Vous pouvez le stocker très bien dans son boîtier juste à côté de l'ordinateur de cette façon.)
La recommandation d'origine impliquait/boot étant une disquette que vous aviez prise avec vous (c'est aussi vieux).
Ce serait mon plan d'action:
- Verrouillez le BIOS en ajoutant un mot de passe BIOS à la configuration. Je n'ajouterais pas de mot de passe de démarrage pour permettre aux utilisateurs d'utiliser l'ordinateur sans ma supervision. Désactivez le démarrage automatique depuis USB, CD et réseau.
- Forcer le démarrage à partir de l'USB/CD et installer Linux avec un dossier d'accueil chiffré et un échange chiffré sur le disque dur. Si possible, j'essaierais de conserver la partition système sur un disque USB très rapide, mais si vous avez encore besoin de performances, ce n'est pas possible. Si vous choisissez cette option, pensez à configurer Linux pour charger le système entier dans RAM au démarrage).
- Terminé!
Chaque fois que je voulais utiliser mon ordinateur, je le fermais et vérifiais les enregistreurs de frappe matériels. Ensuite, je connectais mon disque USB (en supposant que le système était installé sur un disque USB) et je forcais le démarrage à partir de l'USB pour démarrer le système. Cela réduit considérablement le vecteur d'attaque:
- Personne ne peut voir mes fichiers personnels (ils sont cryptés).
- Personne ne peut modifier le système d'exploitation Linux pour inclure un enregistreur de frappe (le système d'exploitation est sur mon disque USB ou le BIOS est verrouillé pour rendre l'accès à la partition Linux plus difficile)
N'oubliez pas de toujours éteindre l'ordinateur lorsque vous vous en éloignez pour éviter les attaques de démarrage à froid.
Il est également très difficile de remarquer que vous cachez quelque chose avec cette configuration. La partition domestique est difficile à voir et à accéder à partir de Windows. Dans le cas où ils ont accès à la partition domestique, ils voient un tas de fichiers à la recherche aléatoire avec des noms de fichiers aléatoires contenant des informations aléatoires. En supposant que Linux est installé sur le disque USB, ils ne voient même pas un autre système d'exploitation!
L'installation de Linux avec une partition homem et systemm séparée est très simple mais je ne le couvrirai pas pour l'instant. Ajoutez un commentaire si vous avez besoin de ces informations.
Aussi, j'ai oublié de mentionner. Si vous souhaitez définir un mot de passe BIOS, et en fonction des tracas que vous souhaitez subir, vous pouvez investir dans un boîtier doté d'un verrou pour le côté. Bien que cela n'empêcherait pas entièrement l'intrusion, cela empêcherait les gens de l'altérer s'ils ne voulaient pas être détectés. De cette façon, ils ne peuvent pas simplement supprimer le CMOS ou accéder à la carte mère/cavalier afin de réinitialiser le mot de passe du BIOS.
Vous pouvez également Kensington verrouiller cette chose sur le bureau si vous ne voulez pas que cela disparaisse de votre chambre lorsque vous n'êtes pas là. Je ne sais pas à quelle longueur ces gens iront pour accéder à vos données.
J'ai fait quelques travaux administratifs dans le passé dans une entreprise où les anciens administrateurs ne laissaient pas beaucoup de notes. Mais il y avait du matériel qui était vital, connecté aux réseaux et non fiable. De cette expérience, je peux vous dire que le vieil adage a raison: si vous avez un accès physique et que vous êtes déterminé, la partie terminée n'est qu'une question d'investissement en temps. Vous pouvez rendre plus difficile la compromission de vos données sans que vous vous en rendiez compte, mais c'est juste plus de temps à consacrer à l'attaquant.
Un vecteur d'attaque auquel vous n'avez peut-être pas encore pensé: au lieu d'un enregistreur de frappe matériel, un attaquant déterminé pourrait installer une minuscule caméra vidéo pour obtenir vos mots de passe. Ou, selon le clavier, un microphone à bas prix enregistrant vos touches peut suffire. Un appel innocent sur votre téléphone portable pendant que vous tapez le mot de passe super secret ...
Donc, la seule vraie solution est de limiter l'accès physique, et je ne vois que très peu de façons d'y parvenir dans votre scénario:
- Comme mentionné dans d'autres réponses, emportez le système avec vous, par exemple. sur une clé USB. Chiffrez-le et portez-le sur votre cou ou verrouillez-le lorsque vous dormez.
- Chiffrez vos partitions Linux mais utilisez un script pour changer le mot de passe à chaque fois. Utilisez un appareil distinct (votre téléphone?) Pour recréer ce mot de passe. Il peut être synchronisé ou capturer une image générée par votre ordinateur et l'utiliser pour synchroniser et recréer le mot de passe. C'est ainsi que certaines banques protègent leurs services bancaires en ligne. Protégez ce deuxième appareil avec la même rigueur que vous le feriez avec un système USB.
- Stockez vos données sur des serveurs distants où vous pouvez voir quand les fichiers ont été accédés et à partir de quels emplacements. Suivez de près les accès (à partir d'un emplacement indépendant et sécurisé). Cela ne vous donnera pas de protection, mais cela vous donnera des preuves. Accédez aux données à partir d'un DVD Live uniquement. Encore une fois: protégez ce DVD Live comme s'il était inscriptible.
- Utilisez un PC différent dans un emplacement différent.
- Ne travaillez sur du papier et ne le brûlez qu'après l'avoir utilisé. Assurez-vous qu'il brûle complètement et ne laisse pas d'indentations sur les feuilles ci-dessous comme dans les films.
- Devenez un génie et exécutez Linux dans votre tête. Mais ne prenez pas de drogues, ne vous laissez pas kidnapper et assurez-vous que personne ne glisse quelque chose dans vos boissons.
- Utilisez simplement le PC, mais installez-le dans un nouveau foyer.
N'oubliez pas non plus de protéger vos sauvegardes, vos clés USB et tout ce que vous branchez sur votre PC. Surtout lors du choix de l'option 6.
D'autres ont eu de bonnes idées. Je n'ai pas lu pour déterminer si cela avait déjà été mentionné ou non, alors je m'excuse si c'est le cas. Je sais que vous avez mentionné que vous ne pouvez pas verrouiller physiquement la porte de votre chambre, mais que diriez-vous de travailler uniquement à partir d'un disque dur externe, de le chiffrer et de le verrouiller ailleurs, dans un coffre-fort ou un coffre-fort ou quelque chose comme ça? Ensuite, cachez la clé ou assurez-vous qu'elle est sur vous en tout temps.
Vous pourriez même aller jusqu'à mettre un petit coffre contenant le disque dur externe crypté dans la boîte à gants de votre voiture. Ensuite, verrouillez votre voiture. Ensuite, c'est jusqu'à 4 obstacles (décryptage des données, clé pour le coffre, clé pour la boîte à gants, clé pour la voiture) que ces pirates devraient passer pour accéder à vos données (selon que vous avez la même clé pour le compartiment que pour la porte à votre voiture).
Comme d'autres l'ont mentionné, travailler entièrement à partir d'un CD live est une excellente idée.
Je vois beaucoup de gens mentionner que l'accès physique est terminé. Bien que cela soit vrai étant donné un attaquant bien doté, il existe une défense contre les moins bien dotés: Qubes OS et antievilmaid.
Qubes est essentiellement Xen exécutant des machines virtuelles Fedora (vous pouvez avoir d'autres machines virtuelles, y compris Debian et Windows).
antievilmaid est un programme qui utilise le TPM (module de sécurité matériel) pour crypter un secret, puis, au démarrage, le décrypter et vous le présenter. La clé de ce chiffrement est dérivée des hachages de la ROM, du chargeur de démarrage, etc. Si quelque chose dans cette liste est modifié, le hachage change et votre secret ne peut pas être déchiffré. Votre ordinateur s'identifie donc à votre démarrage, vous disant "Je n'ai pas été changé depuis que vous avez chiffré votre secret".
Qubes a la capacité de mapper tous les contrôleurs USB sur une machine virtuelle distincte, de sorte que quelqu'un qui branche un enregistreur de frappe USB finira par enregistrer un enregistreur de frappe inactif VM pendant que vous vous connectez avec plaisir sur dom0, qui transmet à la machine virtuelle active. L'USB VM ne sera jamais actif, car son rôle est de rester assis là et de contrôler les contrôleurs USB. Si vous avez besoin d'un port USB, vous pouvez le transférer temporairement vers un autre VM.
Étant donné que la partition Qubes sera cryptée, vous n'avez pas à vous soucier des utilisateurs de Windows qui vident la partition. Les tentatives de modification du chargeur de démarrage pour consigner la phrase secrète du disque empêcheront antievilmaid de vous présenter votre secret, car le chargeur de démarrage hachera une clé différente.
Une autre idée:
Vous pouvez acheter un ordinateur monocarte bon marché (pensez au Raspberry Pi). Le Pi 3 est assez rapide pour remplacer un ordinateur de bureau si vous naviguez uniquement sur Internet et regardez des films, etc. et coûte environ 40 $.
Il est alimenté par un câble de chargeur de téléphone USB (ou le port USB d'un autre ordinateur) et prend en charge la sortie HDMI. Il est assez petit pour que vous puissiez le cacher dans une chaussette :-) ou le transporter dans la poche de votre veste. Il est probablement même à l'abri des enregistreurs de frappe matériels, car vous pouvez immédiatement voir toute manipulation, car il ne s'agit que d'une seule carte. Il démarre à partir d'une carte micro SD, qui est si petite que vous pouvez la cacher pratiquement partout (ou la mettre dans un vieux smartphone ou appareil photo). Vous pouvez facilement modifier le disque RAM initial sur la carte SD afin que le système utilise une autre partition racine - par exemple une sur un lecteur USB externe (c'est quelque chose que vous devriez sérieusement considérer car les cartes SD ne sont pas conçues pour exécuter des systèmes d'exploitation à forte intensité d'écriture sur elles). De plus, si vous ne voulez pas ou ne pouvez pas cacher le Pi, vous pouvez facilement expliquer sa présence - et le fait que vous utilisez soudainement Linux - en disant que vous voulez bricoler avec le Pi - achetez un connecteur bon marché supplémentaire câbles, une planche à pain et des Leds pour une douzaine de dollars environ et regardez quelques projets faciles et cool que vous pouvez faire avec le Pi qui font clignoter les Leds. Vous pouvez ensuite utiliser deux cartes SD pour démarrer; celle secrète que vous utilisez quand vous voulez de l'intimité, et celle publique que vous utilisez comme leurre qui ne contient qu'une image raspbian standard et quelques projets à led clignotantes.
Cette solution ne touche même pas à votre système de bureau, vous donne un bien meilleur contrôle sur le matériel (le seul danger matériel restant est votre clavier) et est à peu près à l'abri de tout logiciel malveillant facilement disponible (car c'est une plate-forme matérielle rare). De plus, il est facilement explicable car beaucoup de gens aiment bricoler avec un Pi, donc si vous êtes même à distance le type qui serait intéressé par quelque chose comme ça, voici votre explication parfaite de la raison pour laquelle vous êtes soudainement intéressé à posséder une seconde ordinateur fonctionnant uniquement sous Linux.
Outre ce que d'autres ont dit (Live CD, chiffrement complet du disque, etc.), voici quelques précautions.
(1) Téléchargez votre distribution Linux sur un ordinateur de confiance. Ne faites pas cela sur votre système Windows car l'image ISO peut être remplacée/infectée/modifiée secrètement. Ne vous fiez pas seulement aux sommes de contrôle (les utilitaires de somme de contrôle peuvent aussi être faux).
(2) Connectez-vous à votre Live CD/DVD/clé USB. Je veux dire, mettez une signature physique dessus afin que vous puissiez vérifier si vous avez votre périphérique de stockage de données. Il n'est pas difficile de préparer un Live CD/DVD avec un faux système d'exploitation. L'utilisation d'un CD/DVD à écriture unique est la meilleure option.
(3) Ne tapez pas sur les claviers physiques. Si vous connaissez une programmation, vous pouvez écrire votre propre clavier à l'écran. N'utilisez pas la disposition qwerty. Au lieu de cela, créez une mise en page personnalisée que vous seul connaissez. Ne peignez pas les caractères sur les touches. Tant qu'il n'y a pas de caractères affichés sur le clavier, il est inutile pour les membres de votre ménage d'enregistrer ce que vous tapez avec une caméra vidéo cachée. N'oubliez pas d'utiliser ce clavier personnalisé uniquement lorsque vous saisissez des champs de mot de passe (dans lesquels les caractères sont remplacés par d'autres symboles tels que des points) afin de ne pas révéler votre mise en page.
(4) Utilisez un obfuscateur à clé. Un obfuscateur de clé distribue des événements clés aléatoires en arrière-plan. Si des enregistreurs de frappe sont présents, ils recevront toutes les frappes aléatoires, ce qui signifie qu'il est beaucoup plus difficile de récupérer vos informations d'identification.
Bien qu'il soit théoriquement impossible d'empêcher une attaque avec un accès physique, vous pouvez faire beaucoup pour limiter l'accès physique à ce qui compte, limitant ainsi les vecteurs d'attaque.
Je pense que votre meilleure option serait un CD de démarrage Linux personnalisé plus une clé USB chiffrée pour le stockage. De nombreuses distributions facilitent la création d'un CD personnalisé, notamment Arch et Gentoo. Une distribution axée sur la sécurité peut également être une option, comme Kali ou buntu Privacy Remix . Même un CD de démarrage normal comme Knppoix est probablement suffisant dans de nombreux cas si vous n'avez pas affaire à des attaquants disposant de ressources illimitées.
Le principal avantage d'un CD personnalisé ou axé sur la sécurité est la possibilité d'ajuster le fonctionnement des pilotes, ce qui vous permet d'empêcher le chargement de pilotes sur du matériel potentiellement compromis. Bien qu'il existe encore des risques, la difficulté impliquée, par exemple, dans le piratage du BIOS est considérablement plus grande que la grande majorité des attaquants occasionnels sont capables de le faire.
Bien sûr, vous devez toujours être conscient du matériel. Utilisez un clavier filaire, jamais sans fil; encore mieux, utilisez-en un dont vous pouvez empêcher l'accès en le débranchant, comme un clavier de tablette portable. Assurez-vous qu'aucun périphérique étranger n'est installé et que les composants internes du système n'ont pas été altérés avant de démarrer. Tout périphérique USB ou FireWire, carte PCI et en fait tout matériel dont vous n'êtes pas certain est un vecteur d'attaque potentiel.
Faites attention au réseau et à Internet. Vous devez supposer que vous êtes soumis à empoisonnement ARP et prendre des mesures telles que le blocage de tout le trafic non chiffré.
Dans une certaine mesure, il s'agit de savoir à quel point les personnes que vous essayez de garder à l'écart sont engagées et qualifiées. Si vous essayez de tenir à l'écart une épouse nebby qui a recherché un "enregistreur de frappe" sur Google, les mesures que vous devez prendre sont sensiblement différentes de celles si votre colocataire travaille pour l'intelligence informatique chinoise.
Et bien sûr, un avantage de l'approche CD de démarrage + clavier de la tablette + clé USB est que, selon le contexte, l'attaquant peut ne pas remarquer que cela est même en cours. Vous pouvez facilement conserver des installations factices que vous "utilisez" de temps en temps pour conserver l'apparence.
Utilisez une cage remplaçable à chaud pour votre disque dur et retirez le disque dur lorsqu'il n'est pas utilisé. Emportez avec vous ou conservez dans un endroit sûr.
Ce disque peut être connecté à la connexion SATA habituelle. Contrairement à l'USB, vous ne perdez pas votre vitesse et il peut s'agir de n'importe quelle capacité. Le système d'exploitation peut démarrer à partir de ce lecteur sans problème - et il ne peut vraiment rien obtenir de votre ordinateur lorsque vous enlevez le lecteur.
Quelque chose qui ne semble pas avoir été mentionné dans les autres réponses est le mot de passe du disque dur.
Si vous définissez un mot de passe du disque dur sur votre lecteur, il refusera de parler à l'ordinateur jusqu'à ce que vous lui ayez donné le mot de passe. Le BIOS demande la passe au démarrage. Vous devez également définir le mot de passe dans la configuration du BIOS.
L'avantage est qu'il sera très difficile de lire ou de modifier les données sur le lecteur lorsque votre ordinateur est éteint, car le contrôleur du lecteur ne fonctionnera pas.
Il ne remplace pas le cryptage (car certaines entreprises peuvent toujours lire les plateaux directement), mais il est impossible de jouer avec votre système ou de lire vos données sans être très motivé (et disposé à payer ).
Notez simplement que si vous perdez le mot de passe du disque dur, votre lecteur cessera tout simplement de fonctionner, définitivement (certains fabricants ont des "clés principales" et certains peuvent être trouvés sur Internet, mais cela dépend du modèle et je ne compterais pas dessus) .
Enfin, sachez que certains disques (comme le SSD 850 Evo de Samsung) chiffrent les données sur eux avec le mot de passe du disque dur, offrant une sécurité réelle).
La plupart des réponses compliquent trop cela sur l'aspect logiciel.
Si vous définissez le mot de passe CMOS pour empêcher les modifications du BIOS et verrouiller le lecteur de démarrage, verrouiller le chargeur de démarrage, définir un mot de passe de connexion, faire une petite recherche sur les hacks de contournement de l'écran de connexion communément oubliés, et vous n'oublierez pas pour verrouiller votre session lorsque vous vous éloignez, il n'y a pratiquement aucun moyen pour quiconque d'entrer par le biais de logiciels, que ce soit GNU/Linux ou Windows.
Je sais que vous avez dit que vous ne souhaitiez pas vous protéger contre les attaques qui nécessitent un matériel personnalisé ou des attaques très avancées, mais si vous l'avez fait, mais vous voudriez désactiver tous les ports Firewire, car ceux-ci donnent à DMA accès, et éventuellement désactivent Plug and play USB juste pour éviter d'exploiter les bogues des pilotes USB.
Donc, s'ils veulent accéder à votre ordinateur, ils n'entreront que dans le matériel. Alors, configurez-le pour un chiffrement complet du disque. Ensuite, vous souhaiterez peut-être avoir un châssis verrouillable et configurer le commutateur d'intrusion du châssis pour effacer la clé de cryptage de la mémoire et effacer le reste de la RAM.
Si vous pensez qu'ils peuvent choisir le verrou du châssis ou modifier votre clavier, faites en sorte que votre clavier et votre châssis soient inviolables en obtenant de bons autocollants avec votre signature ou des autocollants qui se déchireront si votre clavier ou châssis d'ordinateur est ouvert. Assurez-vous qu'ils sont bons pour que les chauffer avec un sèche-cheveux ne les vaincra pas. Vous pouvez également utiliser quelque chose comme de la cire à cacheter et un tampon personnalisé. Mettre de la cire par les autocollants révélerait s'ils ont été chauffés. Vous devrez prendre l'habitude de vérifier l'intégrité des fonctionnalités inviolables chaque fois que vous allumez votre ordinateur. Sinon, ils pourraient y mettre une sorte de matériel DMA bon marché ou une pièce jointe PCIe externe qui permet à quelqu'un de récupérer votre mot de passe de chiffrement de disque de la mémoire. Ou ils pourraient effacer le mot de passe CMOS et reconfigurer votre BIOS pour démarrer un outil de vol de mot de passe de chiffrement complet du disque et attendre que vous veniez le saisir.
Assurez-vous que votre mot de passe de déverrouillage de l'économiseur d'écran est différent de votre mot de passe de chiffrement complet du disque. Sinon, s'ils imaginent votre disque dur crypté, ils pourraient alors obtenir votre mot de passe en vous présentant un faux écran de déverrouillage. Au moment où vous entrez votre mot de passe et constatez que l'écran de déverrouillage était un faux, il leur a peut-être déjà envoyé votre mot de passe sur le réseau.
Assurez-vous qu'ils ne surveillent pas votre clavier en ayant une caméra cachée pointant dessus.
Vérifiez tout ce que vous téléchargez au cas où ils feraient quelque chose sur le réseau local qui ajoute des logiciels malveillants aux fichiers téléchargés.
Mon PC principal se compose d'un ordinateur de bureau sans mot de passe, que n'importe qui dans la maison peut utiliser. À partir de cette machine, je me connecte à une machine Windows 10 exécutée sur Azure. Je n'ai aucun problème avec quiconque installe des enregistreurs de frappe, etc. (je ne pense pas!), Mais il existe un certain nombre d'options d'authentification à 2 facteurs disponibles gratuitement pour les utilisateurs à domicile qui rendraient le mot de passe de cette machine inutile sans l'appareil que vous utilisez pour s'identifier.
Avec un script de nettoyage pour supprimer les paramètres enregistrés MSTSC et un VPN, il serait impossible de savoir que vous vous connectiez à une machine virtuelle.
Les autres suggestions ici abordent les problèmes de keylogging, et le démarrage à partir d'un CD live, etc. garderait le système d'exploitation sous-jacent propre.
Évidemment, il y a un problème de coût ici, mais vous pouvez utiliser des instances ponctuelles AWS et n'en démarrer qu'une lorsque vous souhaitez faire quelque chose que vous souhaitez garder privé, ce qui en fait un coût raisonnablement nominal.
C'est une approche alternative, et peut-être ne répond pas complètement à vos besoins, mais elle peut fournir une bonne solution à la vie privée (sauf si vous voulez garder les choses privées des gouvernements et des grands corp bien sûr)