Cold Boot Attack est une autre méthode utilisée pour voler des données. La seule particularité est qu'ils ont un accès direct à votre matériel informatique ou à l'ensemble de l'ordinateur. Cet article explique ce qu'est Cold Boot Attack et comment rester à l'abri de ces techniques.

Qu'est-ce qu'une attaque de démarrage à froid

Dans une attaque de démarrage à froid^{(Cold Boot Attack)} ou une attaque de réinitialisation de la plate-forme,^{(Platform Reset Attack,)} un attaquant qui a un accès physique à votre ordinateur effectue un redémarrage à froid pour redémarrer la machine afin de récupérer les clés de chiffrement du système d'exploitation Windows

Ils nous ont appris dans les écoles que la RAM^(RAM) ( Random Access Memory ) est volatile et ne peut pas contenir de données si l'ordinateur est éteint. Ce qu'ils auraient dû nous dire aurait dû être… ne peut pas conserver les données longtemps si l'ordinateur est éteint^{(cannot hold data for long if the computer is switched off)} . Cela signifie que la RAM^(RAM) contient toujours des données de quelques secondes à quelques minutes avant qu'elles ne disparaissent en raison d'un manque d'alimentation électrique. Pendant une très courte période, toute personne disposant des outils appropriés peut lire la RAM et copier son contenu dans un stockage permanent sûr à l'aide d'un système d'exploitation léger différent sur une clé USB^(USB) ou une carte SD^{(SD Card)} . Une telle attaque est appelée attaque de démarrage à froid.

Imaginez un ordinateur laissé sans surveillance dans une organisation pendant quelques minutes. Tout pirate informatique n'a qu'à mettre ses outils en place et éteindre l'ordinateur. Au fur et à mesure que la RAM refroidit (les données disparaissent lentement), le pirate branche une clé USB^(USB) amorçable et démarre via celle-ci. Il ou elle peut copier le contenu sur quelque chose comme la même clé USB^(USB) .

Étant donné que la nature de l'attaque consiste à éteindre l'ordinateur puis à utiliser l'interrupteur d'alimentation pour le redémarrer, cela s'appelle un démarrage à froid. Vous avez peut-être appris le démarrage à froid et le démarrage à chaud au cours de vos premières années en informatique. Le démarrage à froid est l'endroit où vous démarrez un ordinateur à l'aide de l'interrupteur d'alimentation. Un démarrage à chaud est l'endroit où vous utilisez l'option de redémarrage d'un ordinateur à l'aide de l'option de redémarrage dans le menu d'arrêt.

Geler la RAM

C'est encore un autre tour sur les manches des pirates. Ils peuvent simplement pulvériser une substance (exemple : Liquid Nitrogen ) sur les modules RAM afin qu'ils gèlent immédiatement. Plus la température est basse, plus la RAM peut contenir d'informations. En utilisant cette astuce, ils (les pirates) peuvent réussir une attaque de démarrage à froid^{(Cold Boot Attack)} et copier un maximum de données. Pour accélérer le processus, ils utilisent des fichiers d'exécution automatique sur le système^(System) d'exploitation léger sur des clés USB^{(USB Sticks)} ou des cartes SD qui sont démarrées peu après l'arrêt de l'ordinateur piraté.

Étapes d'une attaque de démarrage à froid

Tout le monde n'utilise pas nécessairement des styles d'attaque similaires à celui indiqué ci-dessous. Cependant, la plupart des étapes courantes sont répertoriées ci-dessous.

1. Modifiez les informations du BIOS pour autoriser d' abord le démarrage à partir de l' USB
2. Insérez une ^(Insert)clé USB^(USB) amorçable dans l'ordinateur en question
3. Éteignez l'ordinateur de force afin que le processeur n'ait pas le temps de démonter les clés de cryptage ou d'autres données importantes ; sachez qu'un arrêt approprié peut également aider, mais peut ne pas être aussi efficace qu'un arrêt forcé en appuyant sur la touche d'alimentation ou d'autres méthodes.
4. Dès que possible, utilisez l'interrupteur d'alimentation pour démarrer à froid l'ordinateur piraté
5. Depuis que les paramètres du BIOS ont été modifiés, le système d'exploitation sur une ^(BIOS)clé USB^(USB) est chargé
6. Même lorsque ce système d'exploitation est en cours de chargement, ils exécutent automatiquement des processus pour extraire les données stockées dans la RAM^(RAM) .
7. Éteignez à nouveau l'ordinateur après avoir vérifié le stockage de destination (où les données volées sont stockées), retirez la clé USB du système d'exploitation^{(USB OS Stick)} et partez

Quelles informations sont à risque dans les attaques de démarrage à froid^{(Cold Boot Attacks)}

Les informations/données les plus courantes à risque sont les clés de chiffrement de disque et les mots de passe. Habituellement, le but d'une attaque de démarrage à froid est de récupérer des clés de chiffrement de disque illégalement, sans autorisation.

Les dernières choses à se produire lors d'un arrêt correct sont le démontage des disques et l'utilisation des clés de cryptage pour les crypter. Il est donc possible que si un ordinateur est éteint brusquement, les données soient toujours disponibles pour eux.

Se protéger de Cold Boot Attack

Sur le plan personnel, vous ne pouvez vous assurer que de rester près de votre ordinateur jusqu'à au moins 5 minutes après son arrêt. De plus, une précaution consiste à éteindre correctement l'ordinateur à l'aide du menu d'arrêt, au lieu de tirer sur le cordon électrique ou d'utiliser le bouton d'alimentation pour éteindre l'ordinateur.

Vous ne pouvez pas faire grand-chose car ce n'est pas un problème de logiciel en grande partie. C'est plus lié au matériel. Les fabricants d'équipements devraient donc prendre l'initiative de supprimer toutes les données de la RAM dès que possible après l'arrêt d'un ordinateur pour éviter et vous protéger des attaques de démarrage à froid.

Certains ordinateurs écrasent maintenant la RAM avant de s'éteindre complètement. Pourtant, la possibilité d'un arrêt forcé est toujours là.

La technique utilisée par BitLocker consiste à utiliser un code PIN^(PIN) pour accéder à la RAM . Même si l'ordinateur a été mis en veille prolongée (un état d'extinction de l'ordinateur), lorsque l'utilisateur le réveille et essaie d'accéder à quoi que ce soit, il doit d'abord entrer un code PIN^(PIN) pour accéder à la RAM . Cette méthode n'est pas non plus infaillible car les pirates peuvent obtenir le code PIN^(PIN) en utilisant l'une des méthodes de phishing ou d'ingénierie sociale^{(Social Engineering)} .

Résumé

Ce qui précède explique ce qu'est une attaque de démarrage à froid et comment cela fonctionne. Il existe certaines restrictions en raison desquelles une sécurité à 100 % ne peut pas être offerte contre une attaque de démarrage à froid. Mais pour autant que je sache, les sociétés de sécurité s'efforcent de trouver une meilleure solution que de simplement réécrire la RAM^(RAM) ou d'utiliser un code PIN^(PIN) pour protéger le contenu de la RAM .

Lisez maintenant^{(Now read)} : Qu'est-ce qu'une attaque de surf^{(What is a Surfing Attack)} ?

What is a Cold Boot Attack and how can you stay safe?

Cold Boot Attack is yet another method used to steal data. The only thing special is that they have direct access to your computer hardware or the whole computer. This article talks about what is Cold Boot Attack and how to stay safe from such techniques.

What is Cold Boot Attack

In a Cold Boot Attack or a Platform Reset Attack, an attacker who has physical access to your computer does a cold reboot to restart the machine in order to retrieve encryption keys from the Windows operating system

They taught us in schools that RAM (Random Access Memory) is volatile and cannot hold data if the computer is switched off. What they should have told us should have been …cannot hold data for long if the computer is switched off. That means, RAM still holds data from few seconds to few minutes before it fades out due to lack of electricity supply. For an ultra-small period, anyone with proper tools can read the RAM and copy its contents to a safe, permanent storage using a different lightweight operating system on a USB stick or SD Card. Such an attack is called cold boot attack.

Imagine a computer lying unattended at some organization for a few minutes. Any hacker just has to set his tools in place and turn off the computer. As the RAM cools down (data fades out slowly), the hacker plugs in a bootable USB stick and boots via that. He or she can copy the contents into something like the same USB stick.

Since the nature of the attack is turning off the computer and then using the power switch to restart it, it is called cold boot. You might have learned about cold boot and warm boot in your early computing years. Cold boot is where you start a computer using the power switch. A Warm Boot is where you use the option of restarting a computer using the restart option in the shutdown menu.

Freezing the RAM

This is yet another trick on the sleeves of hackers. They can simply spray some substance (example: Liquid Nitrogen) on to RAM modules so that they freeze immediately. The lower the temperature, the longer RAM can hold information. Using this trick, they (hackers) can successfully complete a Cold Boot Attack and copy maximum data. To quicken the process, they use autorun files on the lightweight Operating System on USB Sticks or SD Cards that are booted soon after shutting down the computer being hacked.

Steps in a Cold Boot Attack

Not necessarily everyone uses attack styles similar to the one given below. However, most of the common steps are listed below.

1. Change the BIOS information to allow boot from USB first
2. Insert a bootable USB into the computer in question
3. Turn off the computer forcibly so that the processor doesn’t get time to dismount any encryption keys or other important data; know that a proper shutdown may too help but may not be as successful as a forced shut down by pressing the power key or other methods.
4. As soon as possible, using the power switch to cold boot the computer being hacked
5. Since the BIOS settings were changed, the OS on a USB stick is loaded
6. Even as this OS is being loaded, they autorun processes to extract data stored in RAM.
7. Turn off the computer again after checking the destination storage (where the stolen data is stored), remove the USB OS Stick, and walk away

What information is at risk in Cold Boot Attacks

Most common information/data at risk are disk encryption keys and passwords. Usually, the aim of a cold boot attack is to retrieve disk encryption keys illegally, without authorization.

The last things to happen when in a proper shutdown are dismounting the disks and using the encryption keys to encrypt them so it is possible that if a computer is turned off abruptly, the data might still be available for them.

Securing yourself from Cold Boot Attack

On a personal level, you can only make sure that you stay near your computer until at least 5 minutes after it is shut down. Plus one precaution is to shut down properly using the shutdown menu, instead of pulling the electric cord or using the power button to turn off the computer.

You can’t do much because it is not a software issue largely. It is related more to the hardware. So the equipment manufacturers should take the initiative to remove all data from RAM as soon as possible after a computer is turned off to avoid and protect you from cold boot attack.

Some computers now overwrite RAM before completely shut down. Still, the possibility of a forced shutdown is always there.

The technique used by BitLocker is to use a PIN to access RAM. Even if the computer has been hibernated (a state of turning off the computer), when the user wakes it up and tries to access anything, first he or she has to enter a PIN to access RAM. This method is also not fool-proof as hackers can get the PIN using one of the methods of Phishing or Social Engineering.

Summary

The above explains what a cold boot attack is and how it works. There are some restrictions due to which 100% security cannot be offered against a cold boot attack. But as far as I know, security companies are working to find a better fix than simply rewriting RAM or using a PIN to protect the contents of RAM.

Now read: What is a Surfing Attack?

Related posts

• Comment activer manuellement Retpoline sur Windows 10

• Comment signaler Bug, Issue or Vulnerability à Microsoft

• DLL Hijacking Vulnerability Attacks, Prevention & Detection

• CSS Exfil Protection Extension du navigateur propose une attaque CSS Exfil vulnerability

• Bitdefender Home Scanner: Scannez votre Home Network pour les vulnérabilités

• Windows 10 ne démarre pas après la restauration System

• SecPod Saner Personal: Free Advanced Vulnerability Scanner

• Hard Drive ne pas s'afficher sur Boot Menu

• Utilisation manquante System NON Found error IN Windows 11/10

• L'installation a échoué dans SAFE_OS phase pendant BOOT operation

• Fix NTLDR est manquant, Press Ctrl-Alt-Del pour redémarrer une erreur dans Windows 10

• Fix PXE-E61, Media test Échec, check cable boot error sur Windows 10

• Comment changer le système d'exploitation par défaut; Change Boot par défaut

• Fix Motherboard error code 99 sur les ordinateurs Windows

• Windows 10 omet de démarrer; Automatic Startup Repair, Reset PC échoue et va en boucle

• Qu'est-ce que Fast Startup et comment activer ou désactiver-le dans Windows 10

• Windows 10 coincé sur Welcome screen

• Boot Advanced Options dans MSCONFIG dans Windows 10 expliqué

• Réparé des erreurs de disque, cela peut prendre une heure à compléter

• L'ordinateur Windows 10 ne démarre pas après power outage