Autenticazione a più fattori UEFI sulla password dell'amministratore?


1

Molti fornitori UEFI offrono password di avvio e di amministrazione per un computer locale.

Per un normale avvio o ripristino a freddo, vorrei che il sistema UEFI selezionasse semplicemente il bootloader correttamente firmato e procedesse.

Avere una password amministratore "ben nota" per entrare nell'UEFI è qualcosa con cui preferirei NON andare avanti.

Tuttavia, nel caso ideale se qualcuno ottiene il controllo fisico di un dispositivo (e ha utilizzato il social engineering per ottenere la password "ben nota" per l'accesso dell'amministratore UEFI), preferirei rendere più difficile il riutilizzo delle apparecchiature . Sarebbe complicato dal punto di vista computazionale (ma non teoricamente impossibile :-() per un sistema compromesso essere utile per acquisire dati memorizzati sul sistema (unità crittografate). Ma è possibile che avere la password dell'amministratore UEFI consenta a un "impostore" di caricare un bootloader appena sottoposto a provisioning e firmato.

Un'idea è usare qualcosa come RSA SecureID o far sputare l'UEFI da un codice temporale che deve essere verificato con un altro server.

Ho visto solo offerte di fornitori UEFI che hanno essenzialmente una password 'in chiaro' per l'accesso al firmware IF sulla macchina. Qualcuno ha incontrato un fornitore di firmware UEFI che è andato oltre il normale "inserire la password?"


Un accesso fisico insignificante significa che è possibile ripristinare il firmware estraendo la batteria e sostituendo l'HDD. Non è possibile interrompere l'utilizzo dell'hardware ma è possibile impedire l'accesso ai dati
Ramhound,

Sì, il punto era solo quello di "rendere ancora più difficile" riutilizzare l'hardware. Se il firmware può (e può) essere sottoposto a reflash tramite JTAG, questo ignorerà la maggior parte della protezione. I dati sono al sicuro da tentativi di "accesso" noti, ma l'hardware è ancora "utilizzabile" (incluso l'HDD). Inoltre, avere l'autenticazione di secondo fattore impedisce ai "criminali onesti" di provare ad aggiungere un'altra chiave UEFI e cambiare l'ordine di avvio o addirittura disabilitare UEFI. La sicurezza fisica in questo caso è importante, ma un sistema compromesso potrebbe fare un sacco di "fiuto" in giro.
ErnieE,

Non esiste un firmware UEFI sul mercato che utilizza l'autenticazione a 2 fattori. Non credo nemmeno che la specifica UEFI la supporti nemmeno.
Ramhound,

Dalla sezione 32.1 della specifica UEFI 2.4 "Questa è chiamata autenticazione a più fattori." <snip> "Il gestore dell'identità dell'utente è il driver UEFI opzionale che gestisce il processo di determinazione dell'identità dell'utente e la memorizzazione delle informazioni sull'utente." <snip> In teoria ciò che sto cercando PUO 'essere prodotto. Speravo che esistesse già. link
ErnieE,
Utilizzando il nostro sito, riconosci di aver letto e compreso le nostre Informativa sui cookie e Informativa sulla privacy.
Licensed under cc by-sa 3.0 with attribution required.