Expert: gebruik RS232-kabel voor air gapped computer
Wie bestanden wil uitwisselen op een computer die niet op het internet is aangesloten, om zo afluisteren te voorkomen, kan in plaats van cd's en USB-sticks beter een RS232-kabel gebruiken. Onlangs gaf beveiligingsexpert Bruce Schneier tips voor het maken en gebruiken van een 'air gapped computer'.
Een air gap is letterlijk lucht die een computer van het internet scheidt. Doordat de computer niet met het internet verbonden is, wordt het een stuk lastiger voor aanvallers om de computer aan te vallen en af te luisteren. "In essentie is een air gap een handmatig bediende firewall waar jij als beheerder handmatig alle data inspecteert die langskomt", zegt Diomidis Spinellis.
Hij merkt op dat een computer zonder internetverbinding niet echt bruikbaar is. Schneier adviseert in dit geval om USB-sticks of cd's te gebruiken om bestanden uit te wisselen. Volgens Spinellis brengt dit beveiligingsrisico's met zich mee, omdat de draagbare media besmet kan worden en de niet met het internet aangesloten computer alsnog geïnfecteerd kan raken.
Overzetten
Spinellis raadt het gebruik van opslagmedia dan ook af en adviseert het gebruik van een eenvoudiger low-level protocol om gegevens van de ene naar de andere computer over te zetten. Op het fysieke niveau zou dit via een RS232-kabel geregeld kunnen worden. De computer die de data verstuurt kan een USB to RS232-kabel gebruiken.
Op de air gap computer kiest Spinellis ervoor om de terminal en USB-drivers niet te gebruiken, aangezien dit teveel kwetsbare code is. Hij stelt dan ook voor om een eenvoudig programma te gebruiken om de inkomende bits te decoderen.
Bestandsformaat
Als bestandsformaat voor het uitwisselen van bestanden stellen zowel Schneier als Spinellis dat het verstandiger is om platte tekstbestanden te gebruiken, aangezien Office- en PDF-bestanden exploits kunnen bevatten. In het geval er bijvoorbeeld toch PDF-bestanden naar de air gap computer moet worden overgezet, raadt Spinellis aan om het bestand naar het NetPBM-bestandsformaat om te zetten. Dit bestand kan op de air gap computer worden gecontroleerd en vervolgens weer naar een PDF-bestand worden teruggezet.
Alleen stokoude machines hebben nog RS232 aan boord.
(Herinnert u zich de 25 polige RS232 nog ;) )
http://cryptome.org/rs232.pdf
Met het juiste type modem is een centrale niet eens nodig. Die kan ook geconfigureerd worden voor een vaste lijn en wordt de verbinding opgebouwd zodra een modem wil beginnen.
Peter
Prima als mensen voorzichtig zijn met hun privacy, maar gaat dit niet richting paranoïde? Ik bedoel, alles goed en wel hoor, maar als je echt niets en niemand meer vertrouwd..... Ga dan in een hol onder de grond wonen en ga volledig leven van de natuur.
-
Okay, ja. Het is veilig. Malware-producenten gaan meestal voor de meest-gebruikte technologieen en vrijwel niemand gebruikt eigenlijk nog een RS232 poort. Moderne computers hebben die niet eens, zodat je er een USB-variant voor moet gebruiken. Toch komt RS232 communicatie best wel vaak voor, bijvoorbeeld onder mensen die Arduino bordjes gebruiken voor allerlei toepassingen. Nu is het sowieso de vraag hoe kwetsbaar Arduino is voor malware, maar persoonlijk zeg ik: totaal niet.
De realiteit is echter dat mensen een balans moeten vinden tussen beveiliging en gebruikersvriendelijkheid. Veel mensen klagen over virusscanners omdat deze de computer vertragen. En dat is een der meest gehoorde klachten over deze vorm van beveiliging. Zo hebben mensen ook een hekel aan wachtwoorden, zeker als ze deze regelmatig in moeten voeren. Als je iedere keer "Osewiesewosewiesewallachristalla" moet invoeren om je email te lezen, dan is je account best veilig gezien de lengte ervan. Alleen krijg je lamme vingers van al het typen. (Serieus! Dat is ooit mijn wachtwoord geweest voor 2 weken! Echt een rot-wachtwoord!)
Welk soort gegevens zou door dit soort beveiliging bewaard moeten worden? En waarom heb je er uiteindelijk zo'n dure computer voor nodig?
Zelf heb ik een beter idee. Met Arduino kun je een eenvoudig computer-systeem kunnen bouwen en er een internet-bordje met SD cardreader erop plaatsen. Vervolgens ga je in C voor dat bord een webserver programmeren die data niet direct doorgeeft, maar alleen op aanvraag. Het apparaat kan dan de lekker gevoelige berekeningen doen en de kans dat een hacker via het Internet dit bordje weet te kraken... Ja, die is aanwezig maar er is zo weinig interesse voor en de configuratie is zo onverwacht dat het best veilig zal zijn...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
