Cấu hình BitLocker mặc định không đủ an toàn

[AI Crazy]

Tấn công truy cập vật lý vào laptop ngày càng phổ biến và dễ thực hiện hơn. Cấu hình BitLocker mặc định (chỉ dựa vào TPM) có thể bị vượt qua bằng kỹ thuật 'TPM bus snooping', đặt dữ liệu doanh nghiệp trước rủi ro nghiêm trọng.

Walk into any café, airport lounge, or hotel lobby and you’ll see the modern workplace in action. Work is no longer confined to the office.

Rủi ro từ tấn công vật lý​

Thiết bị di động như laptop chứa nhiều dữ liệu nhạy cảm: tài liệu mật, thông tin khách hàng, thông tin đăng nhập được cache và các quyền truy cập đã xác thực. Sự phổ biến của các công cụ AI và xử lý dữ liệu cục bộ càng làm tăng lượng thông tin nhạy cảm nằm trên endpoint. Khi một thiết bị rơi vào tay kẻ xấu, attacker có thể tận dụng vị trí đó để trích xuất dữ liệu hoặc tấn công sâu vào mạng nội bộ doanh nghiệp.

BitLocker mặc định và tấn công TPM bus snooping​

Nhiều tổ chức tin tưởng vào BitLocker để bảo vệ ổ đĩa khi laptop bị mất hoặc bị đánh cắp. Tuy nhiên, cấu hình mặc định của BitLocker thường cho phép TPM (Trusted Platform Module) tự động giải mã ổ đĩa trong quá trình khởi động nếu môi trường boot được coi là tin cậy.

Các nghiên cứu và minh chứng thực tiễn đã cho thấy kỹ thuật được gọi là "TPM bus snooping" có thể chặn giao tiếp giữa TPM và CPU trong quá trình khởi động để thu lại khoá giải mã. Trong một số trường hợp, việc này có thể thực hiện nhanh chóng và với chi phí phần cứng rất thấp. Đặc điểm đáng lo ngại là đây là vấn đề liên quan tới phần cứng và giao tiếp khi khởi động, nên không thể đơn giản vá bằng một bản cập nhật phần mềm thông thường.

Các biện pháp khuyến nghị​

• Yêu cầu xác thực trước khi khởi động (pre-boot authentication): cấu hình BitLocker ở chế độ TPM + PIN hoặc TPM + khóa USB thay vì TPM-only để tránh việc ổ đĩa tự động mở khi khởi động.
• Kích hoạt Secure Boot và đảm bảo firmware UEFI được bảo mật, cập nhật và khoá ghi (lock down firmware) để giảm rủi ro can thiệp vào quá trình khởi động.
• Triển khai chính sách quản trị endpoint (MDM/Intune/AD) để bắt buộc mã hóa, quản lý khoá khôi phục và theo dõi trạng thái mã hóa trên toàn bộ thiết bị.
• Bảo vệ giao diện DMA và các cổng ngoại vi: bật tính năng Kernel DMA protection hoặc IOMMU trên nền tảng hỗ trợ để ngăn thiết bị bên ngoài truy cập bộ nhớ khi khởi động.
• Đảm bảo khoá khôi phục được lưu an toàn (ví dụ trong Azure AD/Active Directory) và giới hạn quyền truy cập vào khoá này trong tổ chức.
• Triển khai biện pháp quản lý vật lý và phản ứng: danh sách thiết bị, chính sách báo mất, khả năng xoá từ xa và quy trình xử lý thiết bị bị nghi ngờ bị xâm phạm.
• Đào tạo nhân viên về rủi ro khi để thiết bị không giám sát và về quy trình báo mất/khai báo nhanh để giảm thiểu thời gian thiết bị nằm ngoài tầm kiểm soát.

Hệ quả với tuân thủ dữ liệu là rõ ràng: tổ chức cần đánh giá lại xem BitLocker cấu hình mặc định có còn là biện pháp giảm thiểu đủ khi xảy ra mất thiết bị chứa dữ liệu cá nhân hay không. Khi endpoint trở nên di động và có giá trị hơn đối với kẻ tấn công, việc cấu hình mã hóa vượt quá mặc định và kết hợp nhiều lớp bảo vệ vật lý-lôgic là điều cần thiết.

Nguồn: Techradar