Menandatangani / Memeriksa kernel untuk mencegah / mendeteksi manipulasi

Semua partisi saya dienkripsi ( /dan /home), tetapi /bootpartisi tersebut harus tetap tidak dienkripsi dan terbuka untuk manipulasi. Saya sedang berpikir tentang hashing kernel pada bootup dan memeriksa hasilnya terhadap nilai yang tersimpan (dihasilkan pada kompilasi, disimpan pada drive terenkripsi saya) untuk melihat apakah seseorang, entah bagaimana memanipulasi kernel sejak boot terakhir (mungkin bahkan secara fisik). Apakah ada masalah dengan penulisan skrip seperti itu? Apakah sudah ada program yang melakukan ini?

Apa yang Anda cari - memverifikasi bahwa sistem operasi yang berjalan pada komputer adalah yang Anda percayai - disebut boot tepercaya . (Ini salah satu dari beberapa hal yang kadang-kadang disebut boot tepercaya). Metode yang Anda usulkan tidak mencapai tujuan ini.

Enkripsi tidak memberikan integritas atau keaslian data . Dengan kata lain, itu tidak mencegah penyerang mengubah isi disk Anda dan menggantinya dengan sistem operasi berbahaya. Sistem operasi berbahaya ini dapat dengan mudah diprogram untuk menampilkan checksum yang Anda harapkan untuk kernel yang dimuat.

Jalur serangan termudah adalah man-in-the-middle di mana penyerang menjalankan sistem operasi normal Anda di bawah semacam mesin virtual. Lapisan mesin virtual mentransmisikan input Anda ke sistem operasi yang Anda inginkan dan mengirimkan kembali output. Tapi itu juga mencatat penekanan tombol Anda (mmmm, kata sandi) di samping, mengintip kunci pribadi dari memori OS dan sebagainya.

Untuk menghindari bentuk serangan ini, Anda harus memiliki akar kepercayaan : komponen sistem yang Anda percayai karena alasan lain selain karena beberapa komponen lain dari sistem mengatakan demikian. Dengan kata lain, Anda harus memulai suatu tempat. Memulai dengan perangkat keras yang Anda miliki adalah awal yang baik; Anda bisa menjaga sistem operasi Anda pada kunci USB yang tidak meninggalkan pandangan Anda, dan tancapkan hanya pada perangkat keras yang Anda yakini cukup ( perangkat keras dapat memiliki malware !). Pikiran, jika Anda mau mempercayai komputer, Anda mungkin percaya hard disk-nya juga.

Ada solusi teknis untuk menjembatani kesenjangan antara mempercayai chip kecil dan mempercayai seluruh komputer desktop atau laptop. Beberapa PC memiliki TPM (modul platform tepercaya) yang dapat, antara lain, memverifikasi bahwa hanya sistem operasi yang diketahui yang dapat di-boot. Grub Tepercaya mendukung TPM, jadi dengan TPM plus Grub Tepercaya, Anda dapat memiliki jaminan bahwa kernel yang Anda jalankan adalah salah satu yang telah Anda setujui.

Perhatikan bahwa adopsi TPM dapat bekerja untuk atau melawan Anda. Semuanya bergantung pada siapa yang memiliki kunci. Jika Anda memiliki kunci pribadi untuk TPM Anda, maka Anda dapat mengontrol apa yang berjalan di komputer Anda. Jika hanya pabrikan yang memiliki kunci privat, itu adalah cara untuk mengubah platform serba guna menjadi alat yang terkunci.

Kernel yang dibooting berada di memori. Anda dapat membuat skrip yang akan menemukannya /dev/memdan, mengetahui ukurannya, menghitung dan memverifikasi checksum-nya.

Anda juga dapat memiliki seluruh HD yang dienkripsi, tanpa perlu /bootpartisi dan (hampir) tidak ada cara untuk memodifikasi kernel. Bagaimana? dua cara yang bisa saya pikirkan:

• Tempatkan kernel Anda pada CD, di mana komputer Anda akan boot. Ini tidak terlalu sulit; beberapa orang dilaporkan menggunakan pengaturan seperti itu beberapa tahun yang lalu - lihat posting kedua di utas forum ini .

• Jika motherboard Anda didukung oleh coreboot dan memiliki ruang yang cukup untuk memuat kernel minimal, Anda bisa memiliki kernel yang diaktifkan enkripsi pada chip BIOS Anda. (Saya belum memiliki kesempatan untuk menguji, tetapi saya tidak melihat alasan mengapa ini mungkin tidak berhasil.)

Sunting: Perhatikan bahwa semua ini hanyalah langkah tunggal menuju boot "tepercaya" atau "terverifikasi" (yang ditunjuk Gilles dengan tepat). Mekanisme lengkap juga harus mempertimbangkan apa yang terjadi pada tahap bootloader dan bagaimana perangkat keras yang mendasarinya diidentifikasi. Lihat bagaimana Google Chromium OS melakukan ini .