「DRAMに残った情報からディスクエンクリプションを解く」記事へのコメント

対策としてはどうなんでしょう？

[kcg (26566)]

シャットダウン前にDRAMを乱数でクリアしておくとかですかね。
起動中も暗号キーを保持しているメモリアドレスを移動したり分散したり難読化したりを常にし続けるという感じでしょうか。

Re:

[celtis (33470)]

とりあえずの対策としては、物理的に外せなくするor時間がかかるようにするくらいしかないでしょうね。メモリモジュールへのアクセスは極力簡単になってる場合が多いですが、MacBook Airみたいに直付けで対処するとか。

デスクトップならセキュリティスロットに南京錠でも付けておくと分解し難くなりますが、スロット自体が柔な構造で百円均一のペンチやニッパーで無効化できたり、南京錠も専用工具で簡単に開けられたりしますから難しいですね。

Re:

[tiatia (22244)]

>物理的に外せなくする

今回の方法は、物理的にメモリを外したりしてないよ。
PCを再起動した時に、メモリに再起動前の状態が残るようにして、それを読み取ってるだけだと思う。

Re:対策としてはどうなんでしょう？

[bakuchikujuu (16666)]

＞今回の方法は、物理的にメモリを外したりしてないよ。
＞ PCを再起動した時に、メモリに再起動前の状態が残るようにして、それを読み取ってるだけだと思う。

・たいていのマシンでは、再起動した時の Power-On Self Test(POST) 時にデータが破壊される。でも、たいていのマシンでは設定で無効化できたりスキップできる。
・ECCメモリを使うハイエンドマシンでは、状態を安定させるために起動時にクリアされるし、無効化もスキップもできない。でも、他のマシンで読もうとするなら、ECCのおかげでより確実に読める。

…と、論文の"3.4 BIOS footprints and memory wiping"にあります。

　多くの場合は、ホットスタートして消去されていないRAMを読むという伝統的な手法で事足りるのでしょう。
　で、ブート時のメモリ消去を無効化できないように設定しても、冷却してから取り外して他のマシンに移せばほぼデータ破損無しでDRAMの内容を読める、ってのが cold boot ってわけですね。