Как обезопасить свой ноутбук, чтобы взлом через физический доступ был невозможен?

Полагаю, что только полное шифрование диска с использованием сильного алгоритма и, самое главное, хорошего пароля может обезопасить ваши локально хранящиеся данные. Это дает вам, вероятно, 99.99% безопасности. Пожалуйста, обратитесь к одному из многочисленных руководств, как это сделать.

Кроме того, НЕ возможно защитить вашу машину от опытного хакера с физическим доступом.

• Пароли пользователей/аккаунтов:
  Легко создать нового пользователя-администратора, если вы загружаетесь в режиме восстановления, как вы сами описали, потому что таким образом вы получаете корневую оболочку без необходимости запрашивать пароли.
  . Это может выглядеть как случайная проблема безопасности, но предназначено для (кто бы мог подумать?) случаев восстановления, когда вы, например, потеряли пароль администратора или испортили команду sudo или другие жизненно важные вещи.

• пароль root:
  Ubuntu не установила ни одного пароля пользователя root по умолчанию. Однако, вы можете установить его, и он будет запрошен, если вы загрузитесь в режиме восстановления. Это кажется довольно безопасным, но все же не является в конечном счете безопасным решением. Вы все еще можете добавить параметр ядра single init=/bin/bashчерез GRUB перед загрузкой Ubuntu, которая запускает его в режиме одиночного пользователя - на самом деле это тоже корневая оболочка без пароля.

• Защита меню GRUB паролем:
  Вы можете обезопасить свои пункты меню GRUB, чтобы они были доступны только после аутентификации, т.е. вы можете запретить загрузку в режиме восстановления без пароля. Это также предотвращает манипуляции с параметрами ядра. Дополнительную информацию см. на сайте Grub2/Passwords на help.ubuntu.com. Это можно обойти, только если вы загружаетесь с внешнего носителя или напрямую подключаете HDD к другой машине.

• Отключить загрузку с внешнего носителя в BIOS:
  Можно установить порядок загрузки и обычно исключать устройства из загрузки во многих текущих версиях BIOS/UEFI. Однако эти настройки не защищены, так как все могут войти в меню настроек. Здесь тоже нужно задать пароль, но...

• Пароли BIOS:
  Обычно можно обойти и пароли BIOS. Есть несколько способов:

  • Сброс CMOS-памяти (где хранятся настройки BIOS), открыв корпус компьютера и физически вытащив CMOS-батарею или временно установив перемычку "Clear CMOS".
  • Сброс настроек BIOS с помощью комбинации служебных клавиш. Большинство производителей материнских плат описывают комбинации клавиш в своих сервисных руководствах для сброса неправильных настроек BIOS на значения по умолчанию, включая пароль. В качестве примера можно привести ScreenUp при включении питания, который, если я правильно помню, разблокировал материнскую плату acer с AMI BIOS один раз после того, как я испортил настройки разгона.
  • И последнее, но не менее важное: есть набор паролей BIOS по умолчанию, которые, кажется, всегда работают, независимо от реального установленного пароля. Я его не тестировал, но этот сайт предлагает их список, сгруппированный по производителям.
    Спасибо Rinzwind за эту информацию и ссылку!

• Блокировка корпуса компьютера/отключение физического доступа к материнской плате и жесткому диску:
  Даже если все остальное выйдет из строя, вор данных все равно сможет открыть ваш ноутбук/компьютер, вытащить жесткий диск и подключить его к собственному компьютеру. Монтаж и доступ ко всем незашифрованным файлам - это кусок пирога. Вы должны поместить его в надежно закрытый чехол, где вы можете быть уверены, что никто не сможет открыть компьютер. Однако это невозможно для ноутбуков и сложно для настольных компьютеров. Может быть, вы можете подумать о владении боевиком, как саморазрушающее устройство, которое взрывает взрывчатку внутри, если кто-то попытается открыть его? ;-) Но убедитесь, что вам никогда не придется открывать его самостоятельно для обслуживания тогда!

• Полное шифрование диска:
  Я знаю, я советовал этот метод как безопасный, но это также не на 100% безопасно, если вы потеряете свой ноутбук, пока он находится на. Существует так называемая "атака холодной загрузки", которая позволяет злоумышленнику читать ключи шифрования из вашей оперативной памяти после перезагрузки работающей машины. Это выгружает систему, но не смывает содержимое оперативной памяти без питания достаточно мало.
  Спасибо kos за его комментарий об этой атаке!
  Я также процитирую его второй комментарий здесь:

  Это старое видео, но хорошо объясняет эту концепцию: "Lest We Remember": Cold Boot Attacks on Encryption Keys" на YouTube; если у вас есть набор паролей BIOS, то злоумышленник все равно может извлечь CMOS-батарею, пока ноутбук включен, чтобы пользовательский диск мог загрузиться без потери важной секунды; В настоящее время это страшнее из-за SSD, так как изготовленный на заказ SSD, вероятно, будет способен сбрасывать даже 8 Гб менее чем за 1 минуту, учитывая скорость записи ~ 150 Мб/с

  , но все еще не ответил на вопрос о том, как предотвратить атаки "холодной загрузки": Как включить Ubuntu (с использованием полного шифрования диска) для вызова LUKSsupend перед тем, как спать/отключиться в оперативную память?

В заключение: В настоящее время ничто не защищает ваш ноутбук от использования кем-либо с физическим доступом и злоумышленными целями. Вы можете полностью зашифровать все свои данные только в том случае, если вы достаточно параноики, чтобы рискнуть потерять все, забыв пароль или в случае аварии. Поэтому шифрование делает резервные копии еще более важными, чем они уже есть. Однако тогда они тоже должны быть зашифрованы и расположены в очень безопасном месте.
. Или просто не отдавайте свой ноутбук и надеетесь, что никогда его не потеряете. ;-)

Если вас меньше волнуют ваши данные, но больше - ваше оборудование, то, возможно, вы захотите купить и установить в вашем кейсе GPS отправителя, но это только для настоящих параноиков или федеральных агентов.