冷启动攻击似乎实施起来很容易，有没有 wipe 内存的方案

[busier]

看了下别人视频，将被攻击的计算机插上 U 盘，主板选从 U 盘启动，U 盘里面引导直接就进入 RAM dump 程序，简单操作就将内存 dump 到 U 盘上了。再将 U 盘拿到自己的计算机，对 dump 的内存搜索 BitLocker 密钥或其他敏感信息。

如果担心对方主板有开机密码，那么拔掉内存，立刻插到自己设备上，再按上面步骤来。

对于笔记本这种有电池不容易断电，又喜欢用待机的人有奇效。

即使台式机不拔插头，进入 S3 待机模式内存也不会断电。现在 win10/11 的关机后电源模式似乎也与之前不同。感觉有可能是个隐患。


如何解决这个问题？

喜欢用待机的似乎没救（也许内存不可拆卸，加封锁 usb ，加主板密码增加难度）

用完关机的，似乎可以在 Linux 内核增加特定模块或者 Win 驱动，实现在关机时 wipe RAM 。

又或者在 EFI 中实现，例如关机前，先通过重启进入特定的 EFI 程序 wipe RAM ，然后再关机。

有没有现成的防范措施呢？

[processzzp]

微软给出过一些指导意见： https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/data-protection/bitlocker/countermeasures
你还可以购买符合 Secured-core 要求的 PC： https://www.microsoft.com/en-us/windows/business/windows-11-secured-core-computers
这些都是现成的防范措施

[busier]

@processzzp OK

[ibcker]

换 mac 呢？

[ekucn]

开 BitLocker 不开 Secure boot ，资料被盗了怪谁。

开了 Secure boot 你 u 盘根本无法引导

[busier]

@ekucn
冷启动攻击先决条件就是取得物理控制权

取得物理控制权之后，不是 Secure boot 能拦截的了的，开了也只是增加点麻烦而已


拆下转储备份受害者硬盘，依旧用受害者的硬盘和 bootmgr 引导器引导，bcd 配置指向黑客自定义的 os 来启动操作 dump 内存。


当然，能拆内存还是降温拆内存来得更加方便

[ekucn]

@busier 你根本就没搞清 Secure boot 干啥的，
你那个 u 盘根本没证书，如何启动？你有物理权限又如何，谁给你签发证书？
BitLocker 又会验证上层证书，你拆下来根本没法引导。

你还是了先解下 XBOX ONE 到现在也没被破解的原因吧。
那物理机子可是实打实在你手里。我感觉你完全没了解技术细节

[busier]

@ekucn 你根本没有搞清楚，我后面说的并没用 U 盘引导！

[busier]

就不要用 XBOX 来偷换概念了。对于 PC 来说，都有物理控制权了，操作主板关闭 Secure boot 也不是难事。

对 Win 来说，有 Secure boot 在引导过程会对硬盘 EFI 分区的 BootMgr 校验签名，BootMgr 之后 BCD 去不去引导那个 BitLocker 分区系统又不归 Secure boot 管，举个最简单的例子就是即使你有 Secure boot ，WinRE 可以引导起来。那么，摘掉你硬盘加个 WinRE/PE 进去，在 PE 里面搞事情，Secure boot 管的着么。

再说目的只是 dump 内存，干嘛非得跟 secure boot 较劲。还不如降温拆内存来得更加方便