Cold Boot Attackเป็นอีกวิธีหนึ่งที่ใช้ในการขโมยข้อมูล สิ่งเดียวที่พิเศษคือสามารถเข้าถึงฮาร์ดแวร์คอมพิวเตอร์ของคุณหรือคอมพิวเตอร์ทั้งหมดได้โดยตรง บทความนี้กล่าวถึง Cold Boot Attack คืออะไร และจะปลอดภัยจากเทคนิคดังกล่าวได้อย่างไร

Cold Boot Attack คืออะไร

ในCold Boot AttackหรือPlatform Reset Attackผู้โจมตีที่สามารถเข้าถึงคอมพิวเตอร์ของคุณได้ทางกายภาพจะทำการรีบูตเครื่องเพื่อรีสตาร์ทเครื่องเพื่อรับคีย์การเข้ารหัสจากระบบปฏิบัติการWindows

พวกเขาสอนเราในโรงเรียนว่าRAM ( Random Access Memory ) มีความผันผวนและไม่สามารถเก็บข้อมูลได้หากปิดเครื่องคอมพิวเตอร์ สิ่งที่พวกเขาควรจะบอกเราควรจะเป็น ... ไม่สามารถเก็บข้อมูลได้นานหากปิดเครื่อง^{(cannot hold data for long if the computer is switched off)}คอมพิวเตอร์ นั่นหมายความว่าRAMยังคงเก็บข้อมูลตั้งแต่ไม่กี่วินาทีจนถึงสองสามนาทีก่อนที่ข้อมูลจะจางหายไปเนื่องจากไม่มีไฟฟ้าจ่าย ในช่วงเวลาสั้นๆ นี้ ใครก็ตามที่มีเครื่องมือที่เหมาะสมสามารถอ่านRAMและคัดลอกเนื้อหาไปยังที่จัดเก็บข้อมูลถาวรที่ปลอดภัยโดยใช้ระบบปฏิบัติการน้ำหนักเบาแบบอื่นบนแท่งUSB หรือการ์ด^(USB)SD ^{(SD Card)}การโจมตีดังกล่าวเรียกว่าการโจมตีแบบโคลด์บูต

ลองนึกภาพคอมพิวเตอร์ที่วางอยู่โดยไม่มีใครดูแลในองค์กรสักสองสามนาที แฮ็กเกอร์คนใดเพียงแค่ต้องตั้งค่าเครื่องมือของเขาให้เข้าที่และปิดเครื่องคอมพิวเตอร์ เมื่อRAMเย็นลง (ข้อมูลค่อยๆ จางลง) แฮ็กเกอร์จึงเสียบปลั๊กUSB ที่สามารถบู๊ตได้ และบู๊ตผ่านทางนั้น เขาหรือเธอสามารถคัดลอกเนื้อหาไปยังสิ่งที่เหมือนกับแท่งUSB เดียวกันได้^(USB)

เนื่องจากลักษณะของการโจมตีคือการปิดเครื่องคอมพิวเตอร์แล้วใช้สวิตช์เปิดปิดเพื่อรีสตาร์ท จึงเรียกว่าการบู๊ตแบบเย็น คุณอาจได้เรียนรู้เกี่ยวกับ cold boot และ warm boot ในช่วงเริ่มต้นใช้งานคอมพิวเตอร์ Cold boot คือที่ที่คุณเริ่มคอมพิวเตอร์โดยใช้สวิตช์เปิดปิด Warm Boot คือที่ที่คุณใช้ตัวเลือกในการรีสตาร์ทคอมพิวเตอร์โดยใช้ตัวเลือกรีสตาร์ทในเมนูปิดเครื่อง

แช่แข็ง RAM

นี่เป็นอีกหนึ่งกลอุบายสำหรับแฮกเกอร์ พวกเขาสามารถฉีดสารบางอย่าง (เช่นLiquid Nitrogen ) ลงบน โมดูล RAMเพื่อให้แข็งตัวทันที ยิ่งอุณหภูมิต่ำลงRAMก็ยิ่งเก็บข้อมูลได้ยาวนานขึ้น การใช้เคล็ดลับนี้ พวกเขา (แฮกเกอร์) สามารถทำCold Boot Attackและคัดลอกข้อมูลสูงสุดได้สำเร็จ ในการเร่งกระบวนการ พวกเขาใช้ไฟล์การทำงานอัตโนมัติบนระบบ^(System) ปฏิบัติการน้ำหนักเบา บนUSB Sticksหรือการ์ด SD ที่บูททันทีหลังจากปิดเครื่องคอมพิวเตอร์ที่ถูกแฮ็ก

ขั้นตอนในการโจมตีแบบ Cold Boot

ไม่จำเป็นว่าทุกคนจะใช้รูปแบบการโจมตีที่คล้ายกับที่แสดงด้านล่าง อย่างไรก็ตาม ขั้นตอนทั่วไปส่วนใหญ่แสดงอยู่ด้านล่าง

1. เปลี่ยน ข้อมูล BIOSเพื่ออนุญาตให้บูตจากUSBก่อน
2. ใส่^(Insert)USBที่สามารถบู๊ตได้ลงในคอมพิวเตอร์ที่มีปัญหา
3. ปิดคอมพิวเตอร์โดยบังคับเพื่อไม่ให้โปรเซสเซอร์มีเวลาถอดคีย์การเข้ารหัสหรือข้อมูลสำคัญอื่นๆ รู้ว่าการปิดระบบอย่างเหมาะสมอาจช่วยได้ แต่อาจไม่สำเร็จเท่ากับการบังคับปิดเครื่องโดยการกดปุ่มเปิด/ปิดหรือวิธีอื่นๆ
4. โดยเร็วที่สุด โดยใช้สวิตช์เปิด/ปิดเพื่อทำความเย็นให้คอมพิวเตอร์ที่กำลังถูกแฮ็ก
5. เนื่องจากมีการเปลี่ยนแปลงการตั้งค่าBIOS ระบบปฏิบัติการบน แท่งUSB จึงถูกโหลด^(USB)
6. แม้ในขณะที่กำลังโหลดระบบปฏิบัติการนี้ ระบบปฏิบัติการจะทำงานอัตโนมัติเพื่อดึงข้อมูลที่จัดเก็บไว้ในRAM
7. ปิดคอมพิวเตอร์อีกครั้งหลังจากตรวจสอบที่เก็บข้อมูลปลายทาง (ที่จัดเก็บข้อมูลที่ถูกขโมย) ถอดUSB OS Stickแล้วเดินออกไป

ข้อมูลใดที่มีความเสี่ยงในCold Boot Attacks

ข้อมูล/ข้อมูลที่มีความเสี่ยงโดยทั่วไปส่วนใหญ่ ได้แก่ คีย์การเข้ารหัสดิสก์และรหัสผ่าน โดยปกติ เป้าหมายของการโจมตีแบบ Cold Boot คือการดึงคีย์การเข้ารหัสดิสก์อย่างผิดกฎหมายโดยไม่ได้รับอนุญาต

สิ่งสุดท้ายที่จะเกิดขึ้นเมื่อปิดเครื่องอย่างเหมาะสมคือการถอดดิสก์ออกและใช้คีย์เข้ารหัสเพื่อเข้ารหัส ดังนั้นจึงเป็นไปได้ว่าหากคอมพิวเตอร์ปิดอย่างกะทันหัน ข้อมูลอาจยังใช้ได้อยู่

ป้องกันตัวเองจากCold Boot Attack

ในระดับส่วนบุคคล คุณสามารถตรวจสอบให้แน่ใจว่าคุณอยู่ใกล้คอมพิวเตอร์จนกว่าจะปิดเครื่องอย่างน้อย 5 นาที ข้อควรระวังอีกอย่างหนึ่งคือการปิดเครื่องอย่างถูกต้องโดยใช้เมนูปิดเครื่อง แทนที่จะดึงสายไฟหรือใช้ปุ่มเปิดปิดเพื่อปิดเครื่องคอมพิวเตอร์

คุณทำอะไรไม่ได้มากเพราะส่วนใหญ่ไม่ใช่ปัญหาซอฟต์แวร์ มีความเกี่ยวข้องกับฮาร์ดแวร์มากขึ้น ดังนั้นผู้ผลิตอุปกรณ์ควรใช้ความคิดริเริ่มในการลบข้อมูลทั้งหมดออกจากRAMโดยเร็วที่สุดหลังจากปิดคอมพิวเตอร์ เพื่อหลีกเลี่ยงและปกป้องคุณจากการโจมตีแบบ Cold boot

คอมพิวเตอร์บางเครื่องในขณะนี้เขียนทับRAMก่อนปิดเครื่องโดยสมบูรณ์ ยังคงมีความเป็นไปได้ของการปิดระบบโดยบังคับอยู่เสมอ

เทคนิคที่BitLockerใช้คือการใช้PINเพื่อเข้าถึงRAM แม้ว่าคอมพิวเตอร์จะถูกไฮเบอร์เนต (สถานะการปิดคอมพิวเตอร์) เมื่อผู้ใช้ปลุกเครื่องขึ้นมาและพยายามเข้าถึงสิ่งใดๆ อันดับแรก เขาหรือเธอจะต้องป้อนPINเพื่อเข้าถึงRAM วิธีนี้ไม่สามารถป้องกันการเข้าใจผิดได้ เนื่องจากแฮกเกอร์สามารถรับPIN ได้ โดยใช้วิธีใดวิธีหนึ่งของฟิชชิ่ง^(Phishing)หรือวิศวกรรม^{(Social Engineering)}สังคม

สรุป

ข้อมูลข้างต้นอธิบายว่าการโจมตีแบบ Cold boot คืออะไรและทำงานอย่างไร มีข้อ จำกัด บางประการเนื่องจากไม่สามารถเสนอการรักษาความปลอดภัย 100% ต่อการโจมตีแบบโคลด์บูตได้ แต่เท่าที่ฉันรู้ บริษัทรักษาความปลอดภัยกำลังทำงานเพื่อค้นหาวิธีแก้ไขที่ดีกว่าเพียงแค่เขียนRAM ใหม่ หรือใช้PINเพื่อปกป้องเนื้อหาของRAM

ตอนนี้อ่านแล้ว^{(Now read)} : Surfing Attack^{(What is a Surfing Attack)}คืออะไร?

What is a Cold Boot Attack and how can you stay safe?

Cold Boot Attack is yet another method used to steal data. The only thing special is that they have direct access to your computer hardware or the whole computer. This article talks about what is Cold Boot Attack and how to stay safe from such techniques.

What is Cold Boot Attack

In a Cold Boot Attack or a Platform Reset Attack, an attacker who has physical access to your computer does a cold reboot to restart the machine in order to retrieve encryption keys from the Windows operating system

They taught us in schools that RAM (Random Access Memory) is volatile and cannot hold data if the computer is switched off. What they should have told us should have been …cannot hold data for long if the computer is switched off. That means, RAM still holds data from few seconds to few minutes before it fades out due to lack of electricity supply. For an ultra-small period, anyone with proper tools can read the RAM and copy its contents to a safe, permanent storage using a different lightweight operating system on a USB stick or SD Card. Such an attack is called cold boot attack.

Imagine a computer lying unattended at some organization for a few minutes. Any hacker just has to set his tools in place and turn off the computer. As the RAM cools down (data fades out slowly), the hacker plugs in a bootable USB stick and boots via that. He or she can copy the contents into something like the same USB stick.

Since the nature of the attack is turning off the computer and then using the power switch to restart it, it is called cold boot. You might have learned about cold boot and warm boot in your early computing years. Cold boot is where you start a computer using the power switch. A Warm Boot is where you use the option of restarting a computer using the restart option in the shutdown menu.

Freezing the RAM

This is yet another trick on the sleeves of hackers. They can simply spray some substance (example: Liquid Nitrogen) on to RAM modules so that they freeze immediately. The lower the temperature, the longer RAM can hold information. Using this trick, they (hackers) can successfully complete a Cold Boot Attack and copy maximum data. To quicken the process, they use autorun files on the lightweight Operating System on USB Sticks or SD Cards that are booted soon after shutting down the computer being hacked.

Steps in a Cold Boot Attack

Not necessarily everyone uses attack styles similar to the one given below. However, most of the common steps are listed below.

1. Change the BIOS information to allow boot from USB first
2. Insert a bootable USB into the computer in question
3. Turn off the computer forcibly so that the processor doesn’t get time to dismount any encryption keys or other important data; know that a proper shutdown may too help but may not be as successful as a forced shut down by pressing the power key or other methods.
4. As soon as possible, using the power switch to cold boot the computer being hacked
5. Since the BIOS settings were changed, the OS on a USB stick is loaded
6. Even as this OS is being loaded, they autorun processes to extract data stored in RAM.
7. Turn off the computer again after checking the destination storage (where the stolen data is stored), remove the USB OS Stick, and walk away

What information is at risk in Cold Boot Attacks

Most common information/data at risk are disk encryption keys and passwords. Usually, the aim of a cold boot attack is to retrieve disk encryption keys illegally, without authorization.

The last things to happen when in a proper shutdown are dismounting the disks and using the encryption keys to encrypt them so it is possible that if a computer is turned off abruptly, the data might still be available for them.

Securing yourself from Cold Boot Attack

On a personal level, you can only make sure that you stay near your computer until at least 5 minutes after it is shut down. Plus one precaution is to shut down properly using the shutdown menu, instead of pulling the electric cord or using the power button to turn off the computer.

You can’t do much because it is not a software issue largely. It is related more to the hardware. So the equipment manufacturers should take the initiative to remove all data from RAM as soon as possible after a computer is turned off to avoid and protect you from cold boot attack.

Some computers now overwrite RAM before completely shut down. Still, the possibility of a forced shutdown is always there.

The technique used by BitLocker is to use a PIN to access RAM. Even if the computer has been hibernated (a state of turning off the computer), when the user wakes it up and tries to access anything, first he or she has to enter a PIN to access RAM. This method is also not fool-proof as hackers can get the PIN using one of the methods of Phishing or Social Engineering.

Summary

The above explains what a cold boot attack is and how it works. There are some restrictions due to which 100% security cannot be offered against a cold boot attack. But as far as I know, security companies are working to find a better fix than simply rewriting RAM or using a PIN to protect the contents of RAM.

Now read: What is a Surfing Attack?

Related posts

• วิธีการเปิดใช้งานด้วยตนเอง Retpoline บน Windows 10

• วิธีการรายงาน Bug, Issue or Vulnerability ถึง Microsoft

• DLL Hijacking Vulnerability Attacks, DLL Hijacking Vulnerability Attacks, Prevention & Detection

• CSS Exfil Protection Extension เบราว์เซอร์นำเสนอการโจมตี CSS Exfil vulnerability

• Bitdefender Home Scanner: สแกน Home Network ของคุณสำหรับช่องโหว่

• วิธีการเปลี่ยนระบบปฏิบัติการเริ่มต้น ค่าเริ่มต้น Change Boot

• ไม่สามารถเปิดร้านดาต้า boot configuration ได้

• Windows 10 จะไม่บูตหลังจากกู้คืน System

• วิธีการปิดการใช้งานใน Secure Boot Windows 11/10

• Boot Advanced Options ใน MSCONFIG ใน Windows 10 อธิบาย

• ปกป้องคอมพิวเตอร์ของคุณ Master Boot Record ด้วย MBR Filter

• รูปแบบ Please The USB drive เป็นเดี่ยว FAT partition: Boot Camp Assistant

• การซ่อมแซมข้อผิดพลาดของดิสก์อาจใช้เวลาหนึ่งชั่วโมงเพื่อให้เสร็จสมบูรณ์

• Fix NTLDR หายไป Press Ctrl-Alt-Del เพื่อรีสตาร์ทข้อผิดพลาดใน Windows 10

• แอปพลิเคชันล้มเหลวในการเริ่มต้นอย่างถูกต้อง (0xc0000135)

• การติดตั้งล้มเหลวใน SAFE_OS phase ในระหว่าง BOOT operation

• วิธีการเปลี่ยน Boot order ใน Windows 10

• Fix Motherboard error code 99 บนคอมพิวเตอร์ Windows

• วิธีการแก้ไข Start PXE มากกว่า IPv4 ใน Windows 11/10

• สร้าง MultiBoot USB Flash Drive โดยใช้ YUMI Multiboot USB Creator