Hvala za povratne informacije.

Datotečni sistem v napravah Board, Desk in Room Series je šifriran z uporabo Linux Unified Key Setup (LUKS), standarda za šifriranje trdega diska Linux. Šifrirni ključ datotečnega sistema se shrani v NVRAM ali NOR-flash. Med ponastavitvijo na tovarniške nastavitve se ključ prepiše in ga ni mogoče obnoviti, zaradi česar je karkoli na disku neberljivo. Zaradi tega je tovarniška ponastavitev varna metoda brisanja in čiščenja podatkov v skladu z ameriškimi DOD 5220.22M in NIST 800-88r1.

Med ponastavitvijo na tovarniške nastavitve:

• Dnevniki klicev se izbrišejo

• Gesla so ponastavljena na privzeto

• Vsi parametri naprave so ponastavljeni na privzete vrednosti

• Vse datoteke, ki so bile naložene v napravo, se izbrišejo

• Prejšnja (neaktivna) slika programske opreme se izbriše

• Možnostne tipke niso prizadete

Ponastavitve na tovarniške nastavitve ne morete razveljaviti. Prepričajte se, da je to potrebno, preden začnete.

NIST 800-88r1

Standard NIST 800-88r1 določa tri stop nje sanacije:

• Čisto: Zašč ita pred neinvazivnimi tehnikami okrevanja

• Čiščenje: obnovitev podatkov naj bo neizvedljiva

• Uniči: N aredite obnovitev podatkov neizvedljivo in preprečite prihodnjo uporabo

Oddelek 2.6 standarda govori o uporabi kriptografskega brisanja (CE) in o tem, kako ga je mogoče uporabiti za doseganje ravni Purge.

V oddelkih 2.6.1 in 2.6.2 so navedeni pogoji, kdaj (ne) upoštevati CE:

• Ne uporabljajte CE za čiščenje medijev, če je bilo šifriranje omogočeno po tem, ko so bili občutljivi podatki shranjeni v napravi, ne da bi bili najprej sanirani.

• Ne uporabljajte CE, če ni znano, ali so bili občutljivi podatki shranjeni v napravi, ne da bi bili pred šifriranjem sanirani.

• Razmislite o uporabi CE, kadar so vsi podatki, namenjeni CE, šifrirani pred shranjevanjem na medij (vključno s podatki in virtualiziranimi kopijami).

• Razmislite o uporabi CE, ko poznamo lokacijo (-e) na mediju, kjer je shranjen šifrirni ključ (naj bo to šifrirni ključ ciljnih podatkov ali povezan zavijalni ključ) in lahko ta območja očistimo z ustrezno tehniko saniranja, specifično za medije, s čimer zagotovimo, da je dejanska lokacija na mediju, kjer je ključ shranjen, naslovljena.

• Razmislite o uporabi CE, ko lahko vemo, da so vse kopije šifrirnih ključev, ki se uporabljajo za šifriranje ciljnih podatkov, sanirane.

• Razmislite o uporabi CE, kadar so šifrirni ključi ciljnih podatkov sami šifrirani z enim ali več zavijalnimi ključmi in prepričani smo, da lahko ustrezne ovijalne ključe očistimo.

• Razmislite o uporabi CE, ko smo prepričani v sposobnost uporabnika, da jasno prepozna in uporabi ukaze, ki jih naprava zagotavlja za izvajanje operacije CE.

V RoomOS so šifrirani datotečni sistemi, ki se uporabljajo za podatke o strankah, nastavijo in šifrirajo že zgodaj v začetnem zagonu, pred ustvarjanjem kakršnih koli občutljivih podatkov. Ključ je shranjen, kot je opisano zgoraj, bodisi v eeprom (starejša programska oprema) bodisi z uporabo mehanizmov zaupanja SoC in ga je mogoče varno očistiti.

Ključ ni nikoli varnostno kopiran in ni ključnega mehanizma depozita.

Ob upoštevanju vsega tega Cisco trdi, da je mehanizem za ponastavitev na tovarniške nastavitve v RoomOS skladen s stopnjo Purge v NIST 800-88r1.

Šifriranje podatkov strank

Šifriranje diska

Naprave uporabljajo bliskovno napravo za množično shranjevanje, kjer varno brisanje ni mogoče zagotoviti. Vsi podatki strank v napravah so zato shranjeni v šifriranih datotečnih sistemih in ko se ponastavi na tovarniške privzete nastavitve, se izbriše samo šifrirni ključ, zaradi česar so podatki stranke nedostopni.

Da bi to olajšali, ustvarimo ustrezno veliko datoteko na glavni bliskavici in s standardnim Linuxovim orodjem cryptsetup ustvarimo napravo za povratno zanko. Na tej napravi ustvarimo standardni datotečni sistem ext4. Podrobnosti o tem, kje shranimo šifrirni ključ, so v naslednjem razdelku.

Naprava zanke je ustvarjena z uporabo LUKS1 z velikostjo ključa 512 bitov in šifro aes-xts-plain64:

 $ cryptsetup status /dev/mapper/config
 /dev/mapper/config is active and is in use.
 type: LUKS1
 cipher: aes-xts-plain64
 keysize: 512 bits
 key location: dm-crypt
 device: /dev/loop5
 loop: /mnt/base/image1/rwfs/config.img
 sector size: 512
 offset: 4096 sectors
 size: 61440 sectors
 mode: read/write

Med rednim delovanjem naprave se Cryptsetup uporablja za dešifriranje datotečnih sistemov, preden so nameščeni. Ko je šifrirni ključ izbrisan, ni več mogoče nastaviti naprave zanke in namestiti datotečnih sistemov.

Šifrirni ključ, ki ga uporabljamo, je branje 20 bajtov iz /dev/urandom, ki je pretaknjen sha1sum, da dobimo predstavitev ascii. Ključ se ustvari ob prvem zagonu po ponastavitvi na tovarniške nastavitve in se ne spremeni, dokler se ne izvede nova ponastavitev na tovarniške nastavitve.

Zaščita ključa za šifriranje podatkov

Na naših napravah uporabljamo dva različna šifrirna ključa. Ena za particijo /data znotraj vsebnika Android (za Microsoft MTR in Zoom) in ena za druge datotečne sisteme (uporablja se za konfiguracijo strank, stenske papirje, dnevnik klicev, zgodovinske dnevnike itd.).

Za particijo /data v Androidu je bil zasebni ključ vedno varno shranjen znotraj meje Nvidia TrustZone ali šifriran z vgrajenim mehanizmom za šifriranje SoC. Room Navigator

Do vključno ce-11.25.x je drugi ključ shranjen v EEPROM. Čeprav je EEPROM nedostopen uporabnikom, ki prihajajo prek katerega koli običajnega kanala, ga je mogoče prisilno odstraniti iz naprave (skupaj z bliskovnim diskom), da dejansko dešifrirate vsebino.

Začenši s ce-11.26.x premikamo običajni šifrirni ključ datotečnega sistema v zaupanja vredno izvedbeno okolje Nvidia (TEE), ki temelji na ARM TrustZone [0], zato ključa ne bo mogoče izvleči iz Nvidia SoC. Ker je edini (znani) način za izogibanje postopku varnega zagona zamenjava celotnega Nvidia SoC, ki bi nato odstranil ključ, bi bila ekstrakcija ključa omejena na iskanje ranljivosti v kodi CE, da bi dobili korensko lupino z zadostnimi dovoljenji za pridobitev ključa.

Za Room Navigator selitev bo v kasnejši različici.