Cold Boot Attack هي طريقة أخرى تستخدم لسرقة البيانات. الشيء الوحيد المميز هو أن لديهم وصولاً مباشرًا إلى أجهزة الكمبيوتر أو الكمبيوتر بالكامل. تتناول هذه المقالة ما هو Cold Boot Attack وكيفية البقاء في مأمن من مثل هذه التقنيات.

ما هو هجوم التمهيد البارد

في هجوم التمهيد البارد^{(Cold Boot Attack)} أو هجوم إعادة تعيين النظام الأساسي ،^{(Platform Reset Attack,)} يقوم المهاجم الذي لديه وصول مادي إلى جهاز الكمبيوتر الخاص بك بإعادة تشغيل باردة لإعادة تشغيل الجهاز من أجل استرداد مفاتيح التشفير من نظام التشغيل Windows

لقد علمونا في المدارس أن ذاكرة الوصول العشوائي^(RAM) ( ذاكرة الوصول العشوائي^{(Random Access Memory)} ) متقلبة ولا يمكنها الاحتفاظ بالبيانات إذا تم إيقاف تشغيل الكمبيوتر. ما كان يجب أن يخبرونا به كان يجب أن يكون ... لا يمكنهم الاحتفاظ بالبيانات لفترة طويلة إذا تم إيقاف تشغيل الكمبيوتر^{(cannot hold data for long if the computer is switched off)} . هذا يعني أن ذاكرة الوصول العشوائي^(RAM) لا تزال تحتفظ بالبيانات من بضع ثوانٍ إلى بضع دقائق قبل أن تتلاشى بسبب نقص إمدادات الكهرباء. لفترة صغيرة جدًا ، يمكن لأي شخص لديه الأدوات المناسبة قراءة ذاكرة الوصول العشوائي^(RAM) ونسخ محتوياتها إلى وحدة تخزين آمنة ودائمة باستخدام نظام تشغيل خفيف الوزن مختلف على محرك أقراص USB^(USB) أو بطاقة SD^{(SD Card)} . مثل هذا الهجوم يسمى هجوم التمهيد البارد.

تخيل جهاز كمبيوتر يرقد دون رقابة في مؤسسة ما لبضع دقائق. يجب على أي متسلل فقط وضع أدواته في مكانها وإيقاف تشغيل الكمبيوتر. عندما تبرد ذاكرة الوصول العشوائي (تتلاشى البيانات ببطء) ، يقوم المتسلل بتوصيل محرك ^(RAM)أقراص USB^(USB) قابل للتمهيد ويقوم بالتمهيد عبر ذلك. يمكنه أو يمكنها نسخ المحتويات إلى شيء مثل نفس محرك أقراص USB^(USB) .

نظرًا لأن طبيعة الهجوم تقوم بإيقاف تشغيل الكمبيوتر ثم استخدام مفتاح الطاقة لإعادة تشغيله ، يطلق عليه اسم التمهيد البارد. ربما تكون قد تعلمت عن التمهيد البارد والتمهيد الدافئ في سنوات الحوسبة المبكرة. التمهيد البارد هو المكان الذي تبدأ فيه تشغيل الكمبيوتر باستخدام مفتاح الطاقة. التمهيد الدافئ هو المكان الذي تستخدم فيه خيار إعادة تشغيل الكمبيوتر باستخدام خيار إعادة التشغيل في قائمة إيقاف التشغيل.

تجميد ذاكرة الوصول العشوائي

هذه خدعة أخرى على أكمام المتسللين. يمكنهم ببساطة رش بعض المواد (على سبيل المثال: النيتروجين السائل^{(Liquid Nitrogen)} ) على وحدات ذاكرة الوصول العشوائي^(RAM) بحيث يتم تجميدها على الفور. كلما انخفضت درجة الحرارة ، زادت سعة ذاكرة الوصول العشوائي ( RAM ) التي يمكنها الاحتفاظ بالمعلومات. باستخدام هذه الحيلة ، يمكنهم (المتسللون) إكمال هجوم التمهيد البارد^{(Cold Boot Attack)} بنجاح ونسخ الحد الأقصى من البيانات. لتسريع العملية ، يستخدمون ملفات التشغيل التلقائي على نظام^(System) التشغيل خفيف الوزن على USB Sticks أو بطاقات SD التي يتم تمهيدها بعد وقت قصير من إيقاف تشغيل الكمبيوتر الذي يتم اختراقه.

خطوات هجوم التمهيد البارد

ليس بالضرورة أن يستخدم الجميع أساليب هجوم مشابهة لتلك الواردة أدناه. ومع ذلك ، يتم سرد معظم الخطوات الشائعة أدناه.

1. قم بتغيير معلومات BIOS للسماح بالتمهيد من USB أولاً
2. أدخل ^(Insert)USB قابل للتمهيد في الكمبيوتر المعني
3. قم بإيقاف تشغيل الكمبيوتر بالقوة حتى لا يحصل المعالج على الوقت لفك أي مفاتيح تشفير أو بيانات مهمة أخرى ؛ اعلم أن الإغلاق المناسب قد يساعد أيضًا ولكن قد لا يكون ناجحًا مثل الإغلاق القسري عن طريق الضغط على مفتاح التشغيل أو طرق أخرى.
4. في أسرع وقت ممكن ، باستخدام مفتاح الطاقة للتمهيد البارد للكمبيوتر الذي يتم اختراقه
5. منذ أن تم تغيير إعدادات BIOS ، تم تحميل نظام التشغيل الموجود على محرك أقراص USB^(USB)
6. حتى أثناء تحميل نظام التشغيل هذا ، يقومون تلقائيًا بتشغيل العمليات لاستخراج البيانات المخزنة في ذاكرة الوصول العشوائي^(RAM) .
7. قم بإيقاف تشغيل الكمبيوتر مرة أخرى بعد التحقق من تخزين الوجهة (حيث يتم تخزين البيانات المسروقة) ، وإزالة USB OS Stick ، ​​والابتعاد

ما هي المعلومات المعرضة للخطر في Cold Boot Attacks

المعلومات / البيانات الأكثر شيوعًا المعرضة للخطر هي مفاتيح تشفير القرص وكلمات المرور. عادةً ما يكون الهدف من هجوم التمهيد البارد هو استرداد مفاتيح تشفير القرص بشكل غير قانوني ، دون إذن.

آخر الأشياء التي تحدث عند إيقاف التشغيل بشكل صحيح هي فصل الأقراص واستخدام مفاتيح التشفير لتشفيرها ، لذلك من الممكن أنه إذا تم إيقاف تشغيل الكمبيوتر فجأة ، فقد تظل البيانات متاحة لهم.

حماية نفسك من Cold Boot Attack

على المستوى الشخصي ، يمكنك فقط التأكد من بقائك بالقرب من جهاز الكمبيوتر الخاص بك حتى 5 دقائق على الأقل بعد إيقاف تشغيله. بالإضافة إلى أحد الاحتياطات ، يتم إيقاف التشغيل بشكل صحيح باستخدام قائمة إيقاف التشغيل ، بدلاً من سحب السلك الكهربائي أو استخدام زر الطاقة لإيقاف تشغيل الكمبيوتر.

لا يمكنك فعل الكثير لأنها ليست مشكلة برمجيات إلى حد كبير. يتعلق الأمر أكثر بالأجهزة. لذلك يجب على الشركات المصنعة للمعدات أخذ زمام المبادرة لإزالة جميع البيانات من ذاكرة الوصول العشوائي^(RAM) في أقرب وقت ممكن بعد إيقاف تشغيل الكمبيوتر لتجنب هجوم التمهيد البارد وحمايتك.

تقوم بعض أجهزة الكمبيوتر الآن بالكتابة فوق ذاكرة الوصول العشوائي^(RAM) قبل إيقاف تشغيلها تمامًا. ومع ذلك ، فإن إمكانية الإغلاق القسري موجودة دائمًا.

تتمثل التقنية التي يستخدمها BitLocker في استخدام رمز PIN للوصول إلى ذاكرة الوصول العشوائي^(RAM) . حتى إذا تم إسبات الكمبيوتر (حالة إيقاف تشغيل الكمبيوتر) ، فعندما يستيقظ المستخدم ويحاول الوصول إلى أي شيء ، يجب عليه أولاً إدخال رمز PIN للوصول إلى ذاكرة الوصول العشوائي^(RAM) . هذه الطريقة أيضًا ليست خداعًا لأن المتسللين يمكنهم الحصول على رقم التعريف الشخصي^(PIN) باستخدام إحدى طرق التصيد الاحتيالي^(Phishing) أو الهندسة الاجتماعية^{(Social Engineering)} .

ملخص

يوضح ما ورد أعلاه ماهية هجوم التمهيد البارد وكيف يعمل. توجد بعض القيود بسبب عدم إمكانية توفير أمان بنسبة 100٪ ضد هجوم التمهيد البارد. ولكن على حد علمي ، تعمل شركات الأمان على إيجاد حل أفضل من مجرد إعادة كتابة ذاكرة الوصول العشوائي^(RAM) أو استخدام رمز PIN لحماية محتويات ذاكرة الوصول العشوائي^(RAM) .

اقرأ الآن^{(Now read)} : ما هو هجوم تصفح^{(What is a Surfing Attack)} ؟

What is a Cold Boot Attack and how can you stay safe?

Cold Boot Attack is yet another method used to steal data. The only thing special is that they have direct access to your computer hardware or the whole computer. This article talks about what is Cold Boot Attack and how to stay safe from such techniques.

What is Cold Boot Attack

In a Cold Boot Attack or a Platform Reset Attack, an attacker who has physical access to your computer does a cold reboot to restart the machine in order to retrieve encryption keys from the Windows operating system

They taught us in schools that RAM (Random Access Memory) is volatile and cannot hold data if the computer is switched off. What they should have told us should have been …cannot hold data for long if the computer is switched off. That means, RAM still holds data from few seconds to few minutes before it fades out due to lack of electricity supply. For an ultra-small period, anyone with proper tools can read the RAM and copy its contents to a safe, permanent storage using a different lightweight operating system on a USB stick or SD Card. Such an attack is called cold boot attack.

Imagine a computer lying unattended at some organization for a few minutes. Any hacker just has to set his tools in place and turn off the computer. As the RAM cools down (data fades out slowly), the hacker plugs in a bootable USB stick and boots via that. He or she can copy the contents into something like the same USB stick.

Since the nature of the attack is turning off the computer and then using the power switch to restart it, it is called cold boot. You might have learned about cold boot and warm boot in your early computing years. Cold boot is where you start a computer using the power switch. A Warm Boot is where you use the option of restarting a computer using the restart option in the shutdown menu.

Freezing the RAM

This is yet another trick on the sleeves of hackers. They can simply spray some substance (example: Liquid Nitrogen) on to RAM modules so that they freeze immediately. The lower the temperature, the longer RAM can hold information. Using this trick, they (hackers) can successfully complete a Cold Boot Attack and copy maximum data. To quicken the process, they use autorun files on the lightweight Operating System on USB Sticks or SD Cards that are booted soon after shutting down the computer being hacked.

Steps in a Cold Boot Attack

Not necessarily everyone uses attack styles similar to the one given below. However, most of the common steps are listed below.

1. Change the BIOS information to allow boot from USB first
2. Insert a bootable USB into the computer in question
3. Turn off the computer forcibly so that the processor doesn’t get time to dismount any encryption keys or other important data; know that a proper shutdown may too help but may not be as successful as a forced shut down by pressing the power key or other methods.
4. As soon as possible, using the power switch to cold boot the computer being hacked
5. Since the BIOS settings were changed, the OS on a USB stick is loaded
6. Even as this OS is being loaded, they autorun processes to extract data stored in RAM.
7. Turn off the computer again after checking the destination storage (where the stolen data is stored), remove the USB OS Stick, and walk away

What information is at risk in Cold Boot Attacks

Most common information/data at risk are disk encryption keys and passwords. Usually, the aim of a cold boot attack is to retrieve disk encryption keys illegally, without authorization.

The last things to happen when in a proper shutdown are dismounting the disks and using the encryption keys to encrypt them so it is possible that if a computer is turned off abruptly, the data might still be available for them.

Securing yourself from Cold Boot Attack

On a personal level, you can only make sure that you stay near your computer until at least 5 minutes after it is shut down. Plus one precaution is to shut down properly using the shutdown menu, instead of pulling the electric cord or using the power button to turn off the computer.

You can’t do much because it is not a software issue largely. It is related more to the hardware. So the equipment manufacturers should take the initiative to remove all data from RAM as soon as possible after a computer is turned off to avoid and protect you from cold boot attack.

Some computers now overwrite RAM before completely shut down. Still, the possibility of a forced shutdown is always there.

The technique used by BitLocker is to use a PIN to access RAM. Even if the computer has been hibernated (a state of turning off the computer), when the user wakes it up and tries to access anything, first he or she has to enter a PIN to access RAM. This method is also not fool-proof as hackers can get the PIN using one of the methods of Phishing or Social Engineering.

Summary

The above explains what a cold boot attack is and how it works. There are some restrictions due to which 100% security cannot be offered against a cold boot attack. But as far as I know, security companies are working to find a better fix than simply rewriting RAM or using a PIN to protect the contents of RAM.

Now read: What is a Surfing Attack?

Related posts

• كيفية تمكين Retpoline على Windows 10 يدويا

• كيفية الإبلاغ Bug، Issue or Vulnerability إلى Microsoft

• DLL Hijacking Vulnerability Attacks، Prevention & Detection

• تمديد متصفح CSS Exfil Protection يوفر هجوم CSS Exfil vulnerability

• Bitdefender Home Scanner: قم بمسح Home Network الخاص بك للحصول على نقاط الضعف

• فشل التثبيت في SAFE_OS phase خلال BOOT operation

• قياس Boot Time في Windows مع Windows Boot Timer

• كيفية Boot or Repair Windows computer باستخدام Installation Media

• فشل BitLocker Setup في تصدير متجر BCD (Boot Configuration Data)

• Fix Non-system disk or disk error Black screen على نظام التشغيل Windows 10

• لا يمكن فتح متجر بيانات boot configuration

• إصلاح أخطاء القرص، وهذا قد يستغرق ساعة كاملة

• إلغاء تثبيت Quality or Feature Update عند تشغيل Windows 10

• كيفية تغيير Boot order في Windows 10

• ما هو Boot Sector Virus وكيفية منعها أو إزالتها؟

• FaceTime Camera لا يعمل في Windows 10 مع Boot Camp

• Fix BOOTMGR مضغوط - Windows 10 startup error

• Change Boot Menu Text، عند تشغيل نفس الإصدار من النوافذ المزدوجة

• فشل التقديم في التهيئة بشكل صحيح (0xc0000135)

• كيفية Time Boot وإجراء Boot Trace في Windows 10