স্বয়ংক্রিয় আনলক করার জন্য TPM2 ব্যবহার করে বাইপাস ডিস্ক এনক্রিপশন

NixOS প্যাকেজ রক্ষণাবেক্ষণকারীদের মধ্যে একজন একটি আক্রমণ কৌশল চালু করেছে যা TPM2 (বিশ্বস্ত প্ল্যাটফর্ম মডিউল) এ ডিক্রিপশন তথ্য স্থাপন করে, বুট করার সময় একটি আনলক পাসওয়ার্ড প্রবেশ করানোর প্রয়োজন হয় না এমন কনফিগারেশনে এনক্রিপ্ট করা ডিস্ক পার্টিশনে ডেটা অ্যাক্সেসের অনুমতি দেয়। এই ধরনের কনফিগারেশনগুলি প্রায়ই সার্ভার বা মাল্টি-ইউজার ওয়ার্কস্টেশনে ব্যবহার করা হয়, যেখানে প্রতিটি রিবুট করার পরে ম্যানুয়ালি পাসওয়ার্ড লিখতে সমস্যা হয়।

ডিস্ক এনক্রিপশনের এই পদ্ধতি ব্যবহার করার সময়, ডিক্রিপশন টিপিএম-এ সংরক্ষিত একটি অতিরিক্ত কী ব্যবহার করে সঞ্চালিত হয় এবং সিস্টেমের প্রাথমিক অবস্থা নিশ্চিত হলেই জারি করা হয়। সিস্টেমের অবস্থা পিসিআর (প্ল্যাটফর্ম কনফিগারেশন রেজিস্টার) রেজিস্টারে হ্যাশ আকারে সংরক্ষিত থাকে এবং ডিজিটাল স্বাক্ষরের সাথে সংযুক্ত থাকে যার সাথে বুটলোডার প্রত্যয়িত হয়, সেইসাথে বুটলোডারের চেকসাম এবং প্রাথমিক বুট পরিবেশ (initrd) . TPM-এ একটি কী-এর অ্যাক্সেস তখনই মঞ্জুর করা হয় যখন এর সাথে যুক্ত সমস্ত PCR রেজিস্টার একই অবস্থায় থাকে যখন কী সংরক্ষণ করা হয়েছিল।

এটা অনুমান করা হয় যে UEFI সিকিউর বুট ব্যবহার করে অপারেটিং সিস্টেম বুট চেইন যাচাই করা হয়েছে এবং কীগুলিতে অ্যাক্সেস শুধুমাত্র একটি অপরিবর্তিত initrd ইমেজ থেকে পাওয়া যেতে পারে। যাচাইকরণ সফল হলে, ডিস্কটি স্বয়ংক্রিয়ভাবে আনলক হয়ে যায়, তবে ডিক্রিপ্ট করা ডেটাতে অ্যাক্সেস শুধুমাত্র সিস্টেমে আপনার অ্যাকাউন্টে লগ ইন করে প্রাপ্ত করা যেতে পারে। আপনি যদি যাচাইকৃত বুট ছাড়াই অ্যাক্সেস করেন বা কীগুলি আটকানোর জন্য initrd-এ পরিবর্তন বা পরিবর্তন করার চেষ্টা করেন, তাহলে বিশ্বাসের চেইন ভেঙে যাবে, PCR রেজিস্টারের অবস্থা পরিবর্তিত হবে এবং TPM2 ডিক্রিপশনের জন্য প্রয়োজনীয় তথ্য প্রদান করবে না। .

Опубликованный метод атаки позволяет обойтись без изменения содержимого initrd в конфигурациях, не идентифицирующих шифрованные разделы LUKS. Отмечается, что включение подобной проверки разделов не описывается во всех найденных инструкциях по настройке дискового шифрования, так как идентификация раздела заметно усложняет конфигурацию (требуется привлечение дополнительного регистра PCR для проверки ключа раздела и генерация initrd с учётом его значения). Примеры совершения атаки продемонстрированы для Fedora Linux в связке с инструментарием clevis и для NixOS в связке с systemd-cryptenroll. Для совершения атаки необходим физический доступ к компьютеру и возможность извлечения накопителя.

পদ্ধতিটি এই সত্যের উপর ভিত্তি করে যে আক্রমণকারী তার নিজের এনক্রিপ্ট করা পার্টিশনের সাথে বিদ্যমান রুট এনক্রিপ্ট করা পার্টিশনটিকে প্রতিস্থাপন করতে পারে একই UUID শনাক্তকারী এবং আক্রমণকারীর পরিচিত ডিক্রিপশন কীগুলির সাথে তৈরি। initrd পরিবেশ আক্রমণকারীর বিভাগে init প্রক্রিয়াতে নিয়ন্ত্রণ স্থানান্তর করবে। যেহেতু initrd-এর বিষয়বস্তু পরিবর্তন করা হয়নি, তাই TPM-এর অবস্থা লঙ্ঘন করা হবে না এবং, তাদের পরিবেশের নিয়ন্ত্রণ লাভ করার পরে, আক্রমণকারী মূল ডিস্ক পার্টিশনের কী ডিক্রিপ্ট করতে TPM ব্যবহার করতে সক্ষম হবে।

আক্রমণটি নিম্নলিখিত ধাপে নেমে আসে:

• ডিস্ক অপসারণ এবং অন্য কম্পিউটারে /boot পার্টিশনে এনক্রিপ্ট করা ডেটা বিশ্লেষণ করা হচ্ছে। /boot পার্টিশনে অবস্থিত initrd ইমেজ থেকে এনক্রিপ্ট করা পার্টিশন এবং এর UUID সম্পর্কে তথ্য নির্ধারণ করা হচ্ছে।
• এনক্রিপ্ট করা LUKS পার্টিশনের প্রথম 64MB এর একটি ব্যাকআপ কপি তৈরি করুন।
• নির্দিষ্ট 64MB এর নিজস্ব রুট পার্টিশন সহ একটি চিত্রের সাথে প্রতিস্থাপন করা, আক্রমণকারীর কাছে পরিচিত একটি কী ব্যবহার করে এনক্রিপ্ট করা এবং পুরানো পার্টিশনের মতো একটি UUID সনাক্তকারী রয়েছে।
• মূল কম্পিউটারে ডিস্ক ফিরিয়ে আনা এবং একটি প্রতিস্থাপিত রুট পার্টিশন দিয়ে বুট করা। যেহেতু স্পুফড পার্টিশনের জন্য TPM কী ব্যবহার করে স্বয়ংক্রিয়ভাবে আনলক করা ব্যর্থ হয়, initrd আপনাকে ম্যানুয়ালি পাসওয়ার্ড লিখতে অনুরোধ করে।
• পুরানো পার্টিশনের LUKS হেডার থেকে TPM সম্পর্কে মেটাডেটা এবং এনক্রিপ্ট করা টোকেন ব্যবহার করে TPM থেকে আসল কী পুনরুদ্ধার করা হচ্ছে।
• আক্রমণকারীর কম্পিউটারে ডিস্কটি পুনর্বিন্যাস করা, একটি ব্যাকআপ কপি থেকে LUKS পার্টিশনের ওভাররাইট করা অংশ পুনরুদ্ধার করা এবং ডেটা অ্যাক্সেস করার জন্য ফলস্বরূপ মূল কী ব্যবহার করা।

উত্স: opennet.ru