纯技术讨论破解安全措施

This topic created in 2241 days ago, the information mentioned may be changed or developed.

我司给发了一个笔记本，但是笔记本安装一些监控软件，就是那种可以截屏，监控你电脑里面安装了那些软件的东西，比如不能用微信，不能用网盘等等

还有比如说，不用插 U 盘，不能 copy 一些东西，插上就报警，听同事有人试过。

但是据我观察，这个笔记本并没有对 bios 设置密码，我完全可以用 U 盘再安装一个双系统，比如 ubuntu 或者 Mac 。理论上说，公司的安全策略都是基于 OS 的，我可以直接越过 OS，实际上还是有漏洞的。

目前应该没有一种技术可以基于 bios 做安全策略的吧？

Supplement 1 · Apr 18, 2020

此贴终结，只要启用了 bitlock 磁盘加密，破不了，无论是 pe 还是 Linux，根本无法读取磁盘数据。。。就算你把磁盘拔下来插到任何电脑里面都无法读取！

BIOS

安装

笔记本

Ubuntu

30 replies • 2020-04-19 07:10:25 +08:00

xupefei

Apr 18, 2020 via iPhone

很多年前就有基于 uefi 的安全程序了，很多惠普商务本都自带。
但我觉得你公司应该不会做到这一步。

redeemer1001

Apr 18, 2020

win 的话 bitlock 全盘加密用户账户无管理员权限

SunriseFox

Apr 18, 2020

bios 设置密码开启安全启动之后就不能引导其它系统了... 再配合上全盘加密... 就能防止越过 OS 对数据做未授权的访问?

wangbenjun5

Apr 18, 2020

@xupefei 基于 uefi 的安全程序，也就是 bios 级别的？

wangbenjun5

Apr 18, 2020

@redeemer1001 但是我如果重装了一个系统，比如是 Linux，在 Linux 下访问 Windows 盘里面的数据没问题吧？

wangbenjun5

Apr 18, 2020

@SunriseFox 实测，bios 并没有设置密码，如果设置密码就无法 u 盘启动了，这是绝招

wangbenjun5

Apr 18, 2020

刚才有人提到了 bitlock 全盘加密，这个好像也是绝招，OS 级别的加密，只有该 OS 和秘钥才能解密，即使用 PE 或者 Linux，都是无法访问其数据的。。。

mistree

Apr 18, 2020 via Android

pci 内存读取暴力可破

wanacry

Apr 18, 2020 via iPhone

直接 wtg ？

xcstream

Apr 18, 2020

可以破
但是破了可以被发现

dingyx99

Apr 18, 2020

建议你去了解一下 Intel vPro，这种技术有了不少年了

Xusually

Apr 18, 2020

不能用 u 盘很正常，如果能上网，不能用网盘怎么做到的？难不成监控浏览器开资源管理器？
如果没做到这一步的话，只是类似于封禁常见网盘域名之类的话，你自己自建网盘就行了呗。或者 ssh terminal sz rz 这些工具。

jim9606

Apr 18, 2020

UEFI 目前有 Secure Boot，这个只要正确配置足以扼杀安装其他系统的可能性。BIOS 密码+公司控制的 PK 、KEK 密钥库+公司 KEK 签名的 bootmgr 可以保证你只能装公司信任的系统。

不过上面那个对大部分企业来说太复杂了，所以通常 OEM 的商务本都会有一些以此为基础的解决方案。

如果只是保护数据那不用那么绝，TPM+Bitlock 操作系统加密+Bitlocker 网络解锁就够了，至少这套下来你用别的系统就读不出数据。

wangbenjun5

Apr 18, 2020

@Xusually 你想的太简单了，公司会监控网络的，你访问哪些域名看的一清二楚，即使用 ssh，你不怕记录键盘指纹吗？

Jirajine

Apr 18, 2020 via Android

敏感数据如果没有物理隔离，可以接入互联网的话再怎么搞都不安全。写个无界面的木马用私有加密协议就能泄露出去。

nicebird

Apr 18, 2020

很多策略是有漏洞的，但是一般不会去突破漏洞，因为一但突破了，就可能被开除

Xusually

Apr 18, 2020

@wangbenjun5 不限制你上网，如果是那些一般的行为审计软件什么的，不会做到你说的这种程度的，走加密传输和私有协议的话，就算知道域名和 ip 有什么用呢，不知你到底干了什么啊。你说到记录键盘，不一定要敲键盘啊。
当然，既然你们电脑装了这软件，可以干什么，不可以干什么应该有个说明书，或者使用指引吧，你应该知道有什么限制才对。