Sikerült wipeolnom a merevlemezt?

Úgy értettem, hogy az adatokra nézve nem security fail, az adatok elvesztek, nem fértél hozzájuk. A Lenovót meg megértem, hogy üres stringet nem fogadtak el jelszónak, nem akarták, hogy a felhasználó téves biztonságérzetre tegyen szert, emiatt letiltották ennek a lehetőségét, amit helyeslek is. Az üres jelszó értelmetlen, felesleges beállítani. Gondolom a Lenovo már az üres jelszó létrehozását sem engedni, nem csak a bevitelét.

A jelszóból kétféle van. Az egyik a BIOS ATA jelszava, a másik az SSD belső titkosítókulcsa. Az az SSD, amelyik képes titkosítani, az mindig titkosít, le sem lehet tiltani benne. Legfeljebb nem kötöd ATA jelszóhoz, és akkor a BIOS induláskor nem kér be jelszót, hanem bárkinek jelszó nélkül használható az SSD, de ha összekötöd a kettőt, akkor a belső kulcs az ATA jelszót alapján generálódik. A hdparm --security-erase ezt a belső kulcsot változtatja meg (törlődik vele a BIOS jelszó is, ha be volt állítva), ezáltal az SSD korábbi tartalma olvashatatlanná válik, ez egymagában felér egy teljes urandom wipe-pal. Egyébként értem miért írtad, hogy TRIM-melés ez a hdparm-os módszer: a titkosítása kulcs újragenerálásán kívül alaphelyzetbe állítja az SSD celláit, ezáltal wipe-ol is, és ez segíthet visszanyerni az SSD újkori sebességét. Egyes modelleken hiába van TRIM, idővel belassulhat az SSD, és a hdparm --security-erase tud ezen segíteni, de ettől még nem lehet trimmelésnek hívni. Sokan mégis adattörlő hard-trim-nek tartják, de ez egyéni szocprobléma.

Ennek ellenére a sleep, hotplug, softreset attack működhet. Szerencsére Lenovo laposban használom, annak a BIOS-a (valójában nincs BIOS-a, UEFI-je van) fel van készítve ezekre a trükkökre, egyik sem működik. Viszont nyugtalanít engem is, mert most készülök venni újabb SSD-t egy Dell Latitude laptopba, és az lehet támadható ezekkel. Pedig azt is az SSD hardveres titkosításával akarom használni. Emiatt az első szempont, hogy ez utóbbit támogassa az SSD, de ha ennyire nem ér semmit, akkor lehet maradok a szoftveres LUKS-nál. Eleve az ATA password nem olyan erős, mint a LUKS-é, hiszen csak betűket, számokat támogat, de nem támogat egyéb karaktereket, ékezezetes karaktereket, nem különböztet meg kis/nagybetűket. Aztán itt vannak még ezek a trükközős támadások, így kezdek lemondani erről az egész hardveres titkosításról, és lehet LUKS lesz belőle, emiatt meg megvehetném a Kingston Fury 480 GB-os SSD-t, ami ki van nézve, de eddig csak azt tartott vissza, hogy nem támogatja a hardware AES encryptiont. Másik oldalról lehet nem kéne a hardveres SSD-titkosítás gyengeségei miatt aggódnom, mert SSD-nél a titkosítás LUKS-szal is problémás (forrás), a TRIM ugyan működik LUKS-szal, LVM-mel és LUKS+LVM-mel is, de adatmintázati támadást tesz lehetővé, ha meg nem használunk TRIM-et, akkor az meg a meghajtót nyírhatja ki egy idő után. Az SSD titkosításügyileg mindenhogyan egy rémálom, akinek fontosak az adatai, az használjon LUKS-t HDD-n, vagy vegyen olyan SSD-t, amely TRIM nélkül is elvan, és használja azt LUKS-szal.

Az érdeklődöknek egy kis olvasmány, hogy az SSD-s hardveres titkosítása milyen gyenge lábakon áll. Nálam a Lenovo BIOS-a elég sokmindentől véd, plusz hibernálás eleve nincs, mert nincs swap (16 GB RAM-nál már nem kell, úgy gondolom), de most ennek a cikknek és vitaszálnak a hatására a sleep/suspendet is letiltottam Archon így:
systemctl mask sleep.target suspend.target hibernate.target hybrid-sleep.target

„Pár marék nerd-et leszámítva kutyát se érdekel már 2016-ban a Linux. Persze, a Schönherz koliban biztos lehet villogni vele, de el kéne fogadni, ez már egy teljesen halott platform. Hagyjuk meg szervergépnek stb…” Aron1988@Proharder Fórum

Erre látod nem gondoltam, utánanézek.

Szerk.: sőt, már eldöntöttem, hogy ilyen átalakítot mindenképp veszem, mert hdparmozástól függetlenül is hasznát tudnám venni. Milyet ajánlotok?

„Pár marék nerd-et leszámítva kutyát se érdekel már 2016-ban a Linux. Persze, a Schönherz koliban biztos lehet villogni vele, de el kéne fogadni, ez már egy teljesen halott platform. Hagyjuk meg szervergépnek stb…” Aron1988@Proharder Fórum

Akkor lehet megpróbálom én is. Igaz nekem x220 van, és arról azt írják, hogy se a felélesztés, se a hotplug nem műküdik. Mondjuk mindegy is, mert most Dell Latitude-on fogok próbákozni.

Amúgy az ATA jelszó elég biztonságos, ami miatt ez csorbulhat, az a béna BIOS-os megvalósítás (jelszó escape-elése karakterenként, spéci karakterek tiltása, néhány BIOS még a kulcsot is eltárolja titkosítatlanul, nem csak a meghajtón tárolódik a hash, a Dell-é állítólag sajnos ilyen).

„Pár marék nerd-et leszámítva kutyát se érdekel már 2016-ban a Linux. Persze, a Schönherz koliban biztos lehet villogni vele, de el kéne fogadni, ez már egy teljesen halott platform. Hagyjuk meg szervergépnek stb…” Aron1988@Proharder Fórum

Ebben a BIOS-os fejtegetésedben van ráció, mégis a neten azt írják, hogy ThinkPadeken ezeknek a trükköknek nem kéne működniük, hacsak a BIOS nem túl régi. Linuxon fogom próbálni.

Az utolsó mondattal nem értek egyet. Ha nincs elküldve a jelszavazott drive-nak a jelszó, akkor a security állapot locked lesz és frozen is egyszerre. Ahogy a jelszót megkapja, feloldódik a meghajtó, onnantól nem lesz locked, de frozen marad. Csak akkor tűnik el róla a frozen is, ha a meghajtó nincs lejelszavazva, vagy frissen van jelszavazva és még nem volt reboot. Vagy rosszul tudom?

Biztosra megyek, először a BIOS-szal fogom jelszavazni a meghajtót valami próbajelszóval, sőt, jóvá sem hagyom, csak megnézem, hogy milyen karaktereket támogat a BIOS beíráskor. Ha nem veszi be, csak az [a-z0-9] karaktereket (ahogy a ThinkPad), akkor karakterszekvenciákat használ, és a hdparm-mal ennek megfelelően kell a jelszót megadni. A lényeg, hogy Dellnél nem szabad BIOS-ban csinálni, mert az adminjelszót valami Dell általános jelszóval oldja meg, meg titkosítatlanul is tárolja a BIOS-ban, ezzel pedig az egész védelmet nevetségessé teszi. Ha hdparmmal csinálom, akkor viszont támadhatatlan. Thinkpadoknál, meg úgy általában a Lenovo notiknál nincs ilyen BIOS backdoor, bár a jelszó ott is gyengítve van szekvenciákkal sajnos, és ezt a korlátozást hdparmmal sem lehet megkerülni, mert a BIOS bootkor nem fogja elfogadni a nem szekvenciákkal kódolt jelszót.

„Pár marék nerd-et leszámítva kutyát se érdekel már 2016-ban a Linux. Persze, a Schönherz koliban biztos lehet villogni vele, de el kéne fogadni, ez már egy teljesen halott platform. Hagyjuk meg szervergépnek stb…” Aron1988@Proharder Fórum

A pozícionálás tekintetében nem látom egészen úgy, ahogy írod. Természetesen nem a HDD eredeti elektronikájával gondoltam a műveletet, hanem direkt erre a célra tenyésztettel, ahol mód van szándékosan félre pozícionálni. Egyébként én inkább az érintőirányú eltérésben látom a lehetőséget, tehát a bevezető gap-ektől mért távolságban, ha úgy tetszik, időben.

A kemény mágnességben, tehát nagy remanencia és nagy koercitív térerő vonatkozásában igazad van, de a hiszterézis görbe akkor sem lesz tökéletes négyszög, mert ha így lenne, az azt jelentené, hogy a dinamikus permeabilitás végtelen lenne egy adott munkapontban. Azt még elhiszem, hogy nagy, de a végtelen az már túl nagy a hihetőséghez. :)

Tehát magam is azt mondom, hogy nem igazán életszerű a visszamentés, de valamennyi esélyt adok azért neki, mert lepődtem azért én már meg életemben. Az egyik meglepetés a nanotechnológia: a mai napig alig akarom elhinni, hogy lényegében szinte mechanikus eszközökkel atomokat pakolásznak egyesével ide-oda, de bevallom, a 14 nm track szélességű processzorokat se fogadja be az agyam, ideértve a GHz-es órajel frekvenciákat is. Ki tudom mondani, számolni tudok vele, de kihalt belőlem a szenvedély, mert ezek annyira goromba számok, hogy nem bírom őket úgy igazából befogadni. A 4 MHz-es Z80-ért még lelkesedtem, az gyors volt. A DEC Alpha 21064 200 MHz-ét pedig valami elképzelhetetlen, hihetetlen, felfoghatatlan dologként éltem meg. Ma meg lényegében lesajnálnak egy 1.6 GHz-ről járó CPU-t. 3 GHz egyetlen periódusa alatt vákuumban 10 cm-t tesz meg a fény, ilyen frekvenciáról járatjuk a CPU-inkat, miközben a mikrohullámú sütőmben kisebb frekvencián jár a magnetron.

De gondolom, megvan az is, amikor a géphez csatlakozó kábelek elektromágneses szórásából próbálják helyreállítani - tehát lenyúlni - az adott géphez csatlakozó monitoron látható képet. Sikerrel.

tr '[:lower:]' '[:upper:]' <<<locsemege
LOCSEMEGE

A HP nem csak nyomtatókat gyárt? :-D
Én csak a lányom Acer Ferrari One FO200-1799 netbookjából akartam kipucolni a beszippantott párnát és dunyhát. A "hogyan szedjük szét?" első 20 oldalát kiolvasva elküldtem inkább gariba, diszk nélkül. ;) A pucoláson kívül mellékeltek egy sok-sok oldalas teszt jegyzőkönyvet is. A gép egy hét múlva lesz 7 éves, csak a billentyűk felirata kopott egy kicsit...