شكرًا على ملاحظاتك.

يتم تشفير نظام الملفات على أجهزة Board وDesk وRoom Series باستخدام إعداد مفتاح Linux الموحد (LUKS)، وهو معيار تشفير القرص الصلب لنظام Linux. يتم حفظ مفتاح تشفير نظام الملفات إما في NVRAM أو Nor-Flash. أثناء إعادة ضبط المصنع، تتم الكتابة فوق المفتاح ولا يمكن استرداده، مما يجعل أي شيء على القرص غير قابل للقراءة. هذا يجعل إعادة ضبط المصنع طريقة آمنة لحذف البيانات وتطهيرها وفقًا لـ US DOD 5220.22M و NIST 800-88r1.

أثناء إعادة ضبط المصنع:

• يتم حذف سجلات المكالمات

• تتم إعادة تعيين عبارات المرور إلى الوضع الافتراضي

• تتم إعادة تعيين جميع معلمات الجهاز إلى القيم الافتراضية

• يتم حذف جميع الملفات التي تم تحميلها على الجهاز

• تم حذف صورة البرنامج السابقة (غير النشطة)

• لا تتأثر مفاتيح الخيارات

لا يمكنك التراجع عن إعادة ضبط المصنع. تأكد من أنه من الضروري القيام بذلك قبل البدء.

المعهد الوطني للاتصالات 800-88r1

يحدد معيار NIST 800-88r1 ثلاثة مستويات من التعقيم:

• التنظيف: الحماية من تقنيات التعافي غير الغازية

• التطهير: جعل استعادة البيانات غير مجدية

• التدمير: جعل استعادة البيانات غير مجدية ومنع الاستخدام المستقبلي

يتحدث القسم 2.6 من المعيار عن استخدام محو التشفير (CE) وكيف يمكن تطبيقه لتلبية مستوى التطهير.

يسرد القسم 2.6.1 و 2.6.2 شروط وقت (عدم) النظر في CE:

• لا تستخدم CE لتطهير الوسائط إذا تم تمكين التشفير بعد تخزين البيانات الحساسة على الجهاز دون أن يتم تعقيمها أولاً.

• لا تستخدم CE إذا كان من غير المعروف ما إذا كانت البيانات الحساسة قد تم تخزينها على الجهاز دون تعقيمها قبل التشفير.

• ضع في اعتبارك استخدام CE عندما يتم تشفير جميع البيانات المخصصة لـ CE قبل التخزين على الوسائط (بما في ذلك البيانات، وكذلك النسخ الافتراضية).

• ضع في اعتبارك استخدام CE عندما نعرف الموقع (المواقع) على الوسائط حيث يتم تخزين مفتاح التشفير (سواء كان مفتاح تشفير البيانات المستهدفة أو مفتاح التغليف المرتبط) ويمكننا تطهير تلك المناطق باستخدام تقنية التعقيم المناسبة الخاصة بالوسائط، مما يضمن معالجة الموقع الفعلي على الوسائط حيث يتم تخزين المفتاح.

• ضع في اعتبارك استخدام CE عندما نتمكن من معرفة أن جميع نسخ مفاتيح التشفير المستخدمة لتشفير البيانات المستهدفة قد تم تطهيرها.

• ضع في اعتبارك استخدام CE عندما تكون مفاتيح تشفير البيانات المستهدفة مشفرة بحد ذاتها بمفتاح تغليف واحد أو أكثر ونحن على ثقة من أنه يمكننا تطهير مفاتيح التغليف المقابلة.

• ضع في اعتبارك استخدام CE عندما نكون واثقين من قدرة المستخدم على تحديد واستخدام الأوامر التي يوفرها الجهاز لإجراء عملية CE بوضوح.

في RoomOS، يتم إعداد أنظمة الملفات المشفرة المستخدمة لبيانات العملاء وتشفيرها في وقت مبكر من بدء التشغيل الأولي، قبل إنشاء أي بيانات حساسة. يتم تخزين المفتاح كما هو موضح أعلاه إما في eeprom (برنامج قديم) أو باستخدام آليات منطقة الثقة الخاصة بـ SoC، ويمكن تعقيمه بأمان.

لا يتم الاحتفاظ بنسخة احتياطية من المفتاح مطلقًا ولا توجد آلية ضمان رئيسية.

مع وضع كل هذا في الاعتبار، تؤكد Cisco أن آلية إعادة ضبط المصنع في RoomOS متوافقة مع مستوى التطهير في NIST 800-88r1.

تشفير بيانات العميل

تشفير القرص

تستخدم الأجهزة جهاز فلاش للتخزين الشامل، حيث يستحيل ضمان الحذف الآمن. وبالتالي يتم تخزين جميع بيانات العملاء على الأجهزة على أنظمة الملفات المشفرة، وعند إجراء إعادة التعيين إلى إعدادات المصنع الافتراضية، يتم حذف مفتاح التشفير فقط، مما يجعل بيانات العميل غير قابلة للوصول.

لتسهيل ذلك، نقوم بإنشاء ملف كبير بشكل مناسب على الفلاش الرئيسي واستخدام أداة Linux القياسية cryptsetup لإنشاء جهاز استرجاع. على هذا الجهاز، نقوم بإنشاء نظام ملفات ext4 قياسي. توجد تفاصيل حول مكان تخزين مفتاح التشفير في القسم التالي.

يتم إنشاء جهاز الحلقة باستخدام LUKS1 بحجم مفتاح 512 بت وتشفير aes-xts-plain64:

 $ cryptsetup status /dev/mapper/config
 /dev/mapper/config is active and is in use.
 type: LUKS1
 cipher: aes-xts-plain64
 keysize: 512 bits
 key location: dm-crypt
 device: /dev/loop5
 loop: /mnt/base/image1/rwfs/config.img
 sector size: 512
 offset: 4096 sectors
 size: 61440 sectors
 mode: read/write

أثناء التشغيل المنتظم للجهاز، يتم استخدام cryptsetup لفك تشفير أنظمة الملفات قبل تحميلها. عند حذف مفتاح التشفير، لم يعد من الممكن إعداد جهاز الحلقة وتحميل أنظمة الملفات.

مفتاح التشفير الذي نستخدمه هو قراءة 20 بايت من /dev/urandom والتي يتم تشغيلها من خلال sha1sum للحصول على تمثيل ascii. يتم إنشاء المفتاح عند التشغيل الأول بعد إعادة ضبط المصنع ولا يتغير حتى يتم إجراء إعادة ضبط المصنع الجديدة.

حماية مفتاح تشفير البيانات

نحن نستخدم مفتاحين مختلفين للتشفير على أجهزتنا. أحدهما للقسم /data داخل حاوية Android (لـ Microsoft MTR و Zoom) والآخر لأنظمة الملفات الأخرى (يُستخدم لتكوين العملاء وأوراق الحائط وسجل المكالمات والسجلات التاريخية وما إلى ذلك).

بالنسبة إلى قسم /data في Android، يتم دائمًا تخزين المفتاح الخاص بأمان داخل حدود Nvidia TrustZone أو، علىRoom Navigator، مشفرًا باستخدام آلية التشفير المضمنة في SoC.

حتى ce-11.25.x، يتم تخزين المفتاح الآخر في EEPROM. في حين أن EEPROM لا يمكن الوصول إليه من قبل المستخدمين القادمين عبر أي قناة عادية، إلا أنه يمكن إزالته بالقوة من الجهاز (إلى جانب قرص الفلاش) لفك تشفير المحتويات فعليًا.

بدءًا من ce-11.26.x، نقوم بنقل مفتاح تشفير نظام الملفات العادي إلى بيئة التنفيذ الموثوقة لـ Nvidia (TEE) استنادًا إلى ARM TrustZone [0]، لذلك لن يكون من الممكن استخراج المفتاح من Nvidia SoC. نظرًا لأن الطريقة الوحيدة (المعروفة) للتحايل على عملية التمهيد الآمن هي استبدال Nvidia SoC بالكامل، والتي ستزيل المفتاح بعد ذلك، فإن استخراج المفتاح سيقتصر على العثور على نقاط الضعف في كود CE للحصول على غلاف جذري بأذونات كافية للحصول على المفتاح.

بالنسبة Room Navigator للترحيل سيكون في إصدار لاحق.