Ďakujeme za vašu spätnú väzbu.

Súborový systém na zariadeniach Board, Desk a Room Series je šifrovaný pomocou systému Linux Unified Key Setup (LUKS), ktorý je štandardom pre šifrovanie pevného disku Linux. Šifrovací kľúč súborového systému sa ukladá buď v NVRAM alebo v nor-flash. Počas obnovenia továrenských nastavení sa kľúč prepíše a nedá sa obnoviť, čím sa všetko na disku stáva nečitateľným. Vďaka tomu je obnovenie továrenských nastavení bezpečným spôsobom vymazania a vyčistenia údajov v súlade s US DOD 5220.22M a NIST 800-88r1.

Počas obnovenia továrenských nastavení:

• Protokoly hovorov sú odstránené

• Heslové frázy sú obnovené na predvolené

• Všetky parametre zariadenia sa resetujú na predvolené hodnoty

• Všetky súbory, ktoré boli nahrané do zariadenia, sa odstránia

• Predchádzajúci (neaktívny) obrázok softvéru sa odstráni

• Opčné kľúče nie sú ovplyvnené

Nie je možné vrátiť obnovenie továrenských nastavení. Uistite sa, že je to potrebné, skôr ako začnete.

NIST 800-88r1

Š tandard NIST 800-88r1 špecifikuje tri úrovne dezinfekcie:

• Čistý: Chrá ňte pred neinvazívnymi technikami regenerácie

• Čistenie: Urobte obnoven ie údajov neuskutočniteľným

• Zničte: Urob te obnovenie údajov neuskutočniteľným a zabráňte budúcemu použitiu

Časť 2.6 štandardu hovorí o použití kryptografického vymazania (CE) a o tom, ako sa dá použiť na dosiahnutie úrovne čistenia.

V oddieloch 2.6.1 a 2.6.2 sú uvedené podmienky, kedy (nie) zohľadniť CE:

• Nepoužívajte CE na čistenie médií, ak bolo šifrovanie povolené po uložení citlivých údajov do zariadenia bez toho, aby boli najskôr dezinfikované.

• Nepoužívajte CE, ak nie je známe, či boli citlivé údaje uložené v zariadení bez dezinfekcie pred šifrovaním.

• Zvážte použitie CE, keď sú všetky údaje určené pre CE šifrované pred uložením na médiu (vrátane údajov, ako aj virtualizovaných kópií).

• Zvážte použitie CE, keď poznáme umiestnenie (miesta) na médiu, kde je uložený šifrovací kľúč (či už ide o šifrovací kľúč cieľových údajov alebo súvisiaci balový kľúč) a môžeme tieto oblasti dezinfikovať pomocou vhodnej techniky dezinfekcie špecifickej pre médiá, čím sa zabezpečí skutočné umiestnenie na médiu, kde je kľúč uložený.

• Zvážte použitie CE, keď vieme, že všetky kópie šifrovacích kľúčov, ktoré sa používajú na šifrovanie cieľových údajov, sú dezinfikované.

• Zvážte použitie CE, keď sú šifrovacie kľúče cieľových údajov samy o sebe šifrované jedným alebo viacerými baliacími kľúčmi a sme si istí, že môžeme dezinfikovať príslušné baliace kľúče.

• Zvážte použitie CE, keď sme si istí schopnosťou používateľa jasne identifikovať a používať príkazy, ktoré zariadenie poskytuje na vykonanie operácie CE.

V ROOMOS sú šifrované súborové systémy, ktoré sa používajú pre údaje o zákazníkoch, nastavené a šifrované na začiatku počiatočného zavádzania, pred vytvorením akýchkoľvek citlivých údajov. Kľúč je uložený tak, ako je opísané vyššie, buď v eeprom (starší softvér) alebo pomocou mechanizmov dôveryhodnej zóny SoC a môže byť bezpečne dezinfikovaný.

Kľúč nie je nikdy zálohovaný a neexistuje žiadny kľúčový úložný mechanizmus.

S ohľadom na to všetko Cisco tvrdí, že mechanizmus obnovenia továrenských nastavení v RoomOS je v súlade s úrovňou Purge v NIST 800-88r1.

Šifrovanie údajov zákazníka

Šifrovanie disku

Zariadenia používajú flash zariadenie na hromadné ukladanie, kde nie je možné zaručiť bezpečné vymazanie. Všetky údaje o zákazníkoch na zariadeniach sú preto uložené v šifrovaných súborových systémoch a keď sa vykoná obnovenie pôvodných nastavení z výroby, odstráni sa iba šifrovací kľúč, čím sa údaje zákazníka stanú neprístupnými.

Aby sme to uľahčili, vytvoríme vhodne veľký súbor na hlavnom blesku a pomocou štandardného nástroja Linux cryptsetup vytvoríme zariadenie typu loopback. Na tomto zariadení vytvoríme štandardný súborový systém ext4. Podrobnosti o tom, kde ukladáme šifrovací kľúč, sú v ďalšej časti.

Slučkové zariadenie je vytvorené pomocou LUKS1 s veľkosťou kľúča 512 bitov a šifrou aes-xts-plain64:

 $ cryptsetup status /dev/mapper/config
 /dev/mapper/config is active and is in use.
 type: LUKS1
 cipher: aes-xts-plain64
 keysize: 512 bits
 key location: dm-crypt
 device: /dev/loop5
 loop: /mnt/base/image1/rwfs/config.img
 sector size: 512
 offset: 4096 sectors
 size: 61440 sectors
 mode: read/write

Počas pravidelnej prevádzky zariadenia sa kryptsetup používa na dešifrovanie súborových systémov pred ich namontovaním. Keď je šifrovací kľúč odstránený, už nie je možné nastaviť zariadenie slučky a pripojiť súborové systémy.

Šifrovací kľúč, ktorý používame, je čítanie 20 bajtov z /dev/urandom, ktorý je spustený sha1sum na získanie reprezentácie ascii. Kľúč sa vygeneruje pri prvom zavádzaní po obnovení továrenských nastavení a nemení sa, kým sa nevykoná nové obnovenie továrenských nastavení.

Ochrana kľúčov na šifrovanie údajov

Na našich zariadeniach používame dva rôzne šifrovacie kľúče. Jeden pre oddiel /data vo vnútri kontajnera Android (pre Microsoft MTR a Zoom) a druhý pre ďalšie súborové systémy (používa sa na konfiguráciu zákazníkov, nástenné papiere, protokol hovorov, historické protokoly atď.).

V prípade oddielu /data v systéme Android bol súkromný kľúč vždy bezpečne uložený vo vnútri hranice Nvidia TrustZone alebo šifrovaný pomocou vstavaného šifrovacieho mechanizmu SoC. Room Navigator

Až do ce-11.25.x je druhý kľúč uložený v EEPROM. Aj keď je EEPROM neprístupný pre používateľov prichádzajúcich cez akýkoľvek bežný kanál, môže byť násilne odstránený zo zariadenia (spolu s flash diskom), aby sa obsah skutočne dešifroval.

Počnúc ce-11.26.x presúvame bežný šifrovací kľúč súborového systému do dôveryhodného vykonávacieho prostredia Nvidia (TEE) založeného na ARM TrustZone [0], takže kľúč nebude možné extrahovať z Nvidia SoC. Pretože jediným (známym) spôsobom, ako obísť proces bezpečného zavádzania, je nahradiť celý SoC Nvidia, ktorý by potom odstránil kľúč, extrakcia kľúčov by sa obmedzila na nájdenie zraniteľností v kóde CE, aby sa získal root shell s dostatočnými povoleniami na získanie kľúča.

Migr Room Navigator ácia bude v neskoršej verzii.