เทคโนโลยีตรวจจับการดัดแปลงอุปกรณ์อิเล็กทรอนิกส์

 (anarsec.guide)
3 คะแนน โดย GN⁺ 2024-08-04 | 1 ความคิดเห็น | แชร์ทาง WhatsApp
  • แล็ปท็อปและโทรศัพท์มือถือสามารถถูกติดตั้งคีย์ล็อกเกอร์ โคลนสตอเรจ หรือดัดแปลงเฟิร์มแวร์/ซอฟต์แวร์ได้ด้วยการ เข้าถึงทางกายภาพ เพียงไม่กี่นาที จึงจำเป็นต้องมีชั้นป้องกันที่ตรวจสอบร่องรอยย้อนหลังได้
  • การซีลด้วยยาทาเล็บกลิตเตอร์ คือวิธีบันทึกลวดลายสุ่มเฉพาะบนหัวสกรูด้วยภาพถ่าย เพื่อตรวจสอบว่ามีการเปิดเคสหรือไม่ และการทาลงบนสกรูโดยตรงปลอดภัยกว่าการทาบนสติกเกอร์
  • สำหรับอุปกรณ์อิเล็กทรอนิกส์ที่อ่อนไหว สามารถทำ ที่เก็บแบบโมเสก ด้วยกล่องใสและวัสดุผสมหลายสี แล้วใช้ Blink Comparison เปรียบเทียบภาพเดิมกับสภาพปัจจุบันได้
  • Auditor ของ GrapheneOS และ Heads ในสภาพแวดล้อม Tails/Qubes OS ช่วยเสริมการตรวจจับการดัดแปลงเฟิร์มแวร์/ซอฟต์แวร์ แต่หากตรวจพบแล้วต้องนำอุปกรณ์นั้นออกจากรายการที่เชื่อถือทันที
  • หากใช้แอป Android อย่าง Haven และระบบเฝ้าระวังวิดีโอร่วมด้วย จะเพิ่มชั้นที่ผู้โจมตีต้องหลบเลี่ยง และในทางปฏิบัติ วิธีที่ปลอดภัยที่สุดคือใช้ทุกชั้นอย่างสม่ำเสมอตั้งแต่ต้น

เหตุใดการเข้าถึงทางกายภาพจึงอันตราย

  • หากตำรวจหรือผู้โจมตี เข้าถึงทางกายภาพ อุปกรณ์อิเล็กทรอนิกส์ได้ อุปกรณ์อาจถูกทำให้เสียหายหรือถูกดัดแปลงในระดับฮาร์ดแวร์ เฟิร์มแวร์ หรือซอฟต์แวร์ได้แม้ในเวลาอันสั้น
  • การโจมตีแบบ ‘Evil maid’ คือกรณีที่ผู้โจมตียึดแล็ปท็อปหรือโทรศัพท์ที่เข้ารหัสไว้ได้ชั่วคราว แล้วแม้จะถอดรหัสข้อมูลไม่ได้ ก็ยังดัดแปลงอุปกรณ์และนำกลับไปวางไว้ที่เดิม
    • เมื่อผู้ใช้กลับมาและป้อนข้อมูลรับรอง การโจมตีก็อาจสำเร็จได้
    • การดัดแปลงที่เป็นไปได้รวมถึงการแก้ไขข้อมูลในฮาร์ดไดรฟ์ การเปลี่ยนเฟิร์มแวร์ และการติดตั้งคีย์ล็อกเกอร์ฮาร์ดแวร์
  • การป้องกันเชิงลึก หมายถึงโครงสร้างที่ผู้โจมตีต้องหลบเลี่ยงชั้นความปลอดภัยหลายชั้นทั้งหมดจึงจะสำเร็จ

ซีลสกรูด้วยยาทาเล็บกลิตเตอร์

  • ซีลที่มีประสิทธิภาพต้องทิ้งร่องรอยเมื่อถูกถอดหรือเปลี่ยน และต้องมี ลวดลายเฉพาะ ที่ผู้โจมตีลอกเลียนได้ยาก
  • ยาทาเล็บกลิตเตอร์สามารถสร้างลวดลายสุ่มที่ลอกเลียนได้ยาก และหากถ่ายภาพเก็บไว้ ก็สามารถตรวจสอบในภายหลังได้ว่ามีการถอดออกและทาซ้ำหรือไม่
    • เทคนิคนี้ถูกแนะนำใน Thwarting Evil Maid Attacks ซึ่งเผยแพร่ในปี 2013
  • วิธีแบบ Mullvad VPN ที่ติดสติกเกอร์บนสกรูแล้วทายาทาเล็บทับด้านบน ถูกประเมินในการทดสอบอิสระว่า เหมาะสมเพียงบางส่วน
    • แม้ผู้โจมตีที่ไม่เชี่ยวชาญมากก็สามารถใช้เข็มหรือมีดผ่าตัดยกใต้สติกเกอร์เพื่อเข้าถึงสกรูได้
    • ส่วนของตราผนึกที่แตกสามารถซ่อมด้วยยาทาเล็บใสได้ และในการทดสอบส่วนใหญ่ แม้แต่ขั้นตอนนั้นก็ไม่จำเป็น
    • จำนวนองค์ประกอบบริเวณขอบสติกเกอร์มีความสำคัญ และสติกเกอร์ซีลชนิดพิเศษที่แตกเมื่อถูกลอกอาจเหมาะสมกว่า
  • วิธีที่ดีกว่าคือทายาทาเล็บกลิตเตอร์ ลงบนสกรูโดยตรง ไม่ใช่บนสติกเกอร์
    • มีการใช้วิธีทาโดยตรงเช่นนี้ในแล็ปท็อปของ NitroKey และ Purism
    • หากรูสกรูลึกเกินไป จะถ่ายภาพซีลภายใต้สภาพทั่วไปได้ยาก
    • หากรูตื้นหรือเติมยาทาเล็บมากเกินไป อาจมีความเสี่ยงที่ส่วนบนจะถูกตัดออก ดัดแปลง แล้วติดกลับด้วยยาทาเล็บใส
    • หากองค์ประกอบกลิตเตอร์มีน้อยเกินไป หลังดัดแปลงแล้วอาจถูกจัดวางกลับตำแหน่งเดิมด้วยมือได้
  • ใน Tamper Evident Challenge ปี 2018 มีกรณีที่ซีลยาทาเล็บกลิตเตอร์ถูกหลบเลี่ยงได้
    • ยาทาเล็บที่ใช้ในตอนนั้นเป็นผลิตภัณฑ์ที่มีกลิตเตอร์ค่อนข้างใหญ่และมีเพียงสองสี
    • หากทาลงในรูสกรูหัวจม เพิ่มความหนาแน่นขององค์ประกอบ แต่ไม่ทาหนาเกินไป จะทำให้หลบเลี่ยงได้ยากขึ้น
    • การใช้กาวร่วมด้วยจะยิ่งลดโอกาสการหลบเลี่ยง

การเปรียบเทียบภาพถ่ายและขั้นตอนการใช้งาน

  • สำหรับการตรวจลวดลายสุ่ม สามารถใช้วิธี blink comparison ซึ่งใช้ในดาราศาสตร์เพื่อค้นหาการเปลี่ยนแปลงเล็ก ๆ
    • หากสลับดูภาพต้นฉบับกับภาพปัจจุบันอย่างรวดเร็ว จะเห็นการเปลี่ยนแปลงเล็ก ๆ ได้ชัดขึ้น
  • บน Android สามารถใช้แอป Blink Comparison ได้
    • แอปเข้ารหัสพื้นที่จัดเก็บ ทำให้ผู้โจมตีเปลี่ยนภาพถ่ายได้ไม่ง่าย
    • แอปช่วยถ่ายภาพเปรียบเทียบจากมุมและระยะเดียวกับภาพต้นฉบับ และเมื่อแตะหน้าจอจะแสดงภาพสองภาพสลับกัน
    • สามารถติดตั้งได้เหมือนแอปที่ไม่ต้องใช้ Google Services แต่ไม่ใช่วิธีติดตั้งผ่าน F-Droid
  • เมื่อนำไปใช้กับสกรูแล็ปท็อป หากตั้งใจจะติดตั้งเฟิร์มแวร์ Heads ควรติดตั้งก่อน
    • หากทำกลับลำดับ จะต้องถอดยาทาเล็บออกแล้วทาใหม่
  • ขั้นตอนใช้งานจริงเป็นดังนี้
    • ถ่ายภาพฝาล่างของแล็ปท็อป แล้วใช้โปรแกรมอย่าง GIMP ใส่หมายเลขให้สกรู
    • ตัวอย่างเช่น ThinkPad X230 มีสกรูที่ต้องใส่หมายเลข 13 ตัว
    • ทายาทาเล็บที่มีกลิตเตอร์หลากสีและหลายขนาดลงบนสกรูแต่ละตัวโดยตรง ให้มีองค์ประกอบกลิตเตอร์เพียงพอ แต่อย่าทาหนาเกินไป
    • หลังแห้งแล้ว ให้ถ่ายภาพระยะใกล้ของสกรูแต่ละตัวด้วยแอป Blink Comparison หรือกล้องทั่วไป
    • เพื่อให้สภาพแสงทำซ้ำได้ ควรปิดมู่ลี่หน้าต่างและพึ่งแสงในห้องกับแฟลชกล้อง
    • ใส่หมายเลขในชื่อไฟล์ภาพและสำรองไว้ในที่เก็บอีกแห่งหนึ่ง
  • หากภายหลังต้องถอดยาทาเล็บเพื่อเข้าถึงภายใน ให้ใช้เข็มฉีดยาทาน้ำยาล้างเล็บ เพื่อไม่ให้ปริมาณมากเกินไปจนทำให้อุปกรณ์อิเล็กทรอนิกส์ภายในเสียหาย

การจัดเก็บอุปกรณ์อ่อนไหวแบบตรวจจับการดัดแปลง

  • เมื่อไม่อยู่บ้าน อุปกรณ์อิเล็กทรอนิกส์ที่อ่อนไหว เช่น แล็ปท็อป ไดรฟ์ภายนอก USB โทรศัพท์ คีย์บอร์ดและเมาส์ภายนอก จำเป็นต้องมี การจัดเก็บแบบตรวจจับการดัดแปลง
  • ตู้นิรภัยมักใช้ปกป้องของมีค่า แต่สามารถถูกหลบเลี่ยงได้หลายวิธี และบางวิธีตรวจจับได้ยาก
    • แม้จะทำให้ตู้นิรภัยเป็นแบบตรวจจับการดัดแปลงได้ แต่ก็ไม่ง่ายหรือราคาถูก
  • วิธีที่ถูกกว่า คือใส่อุปกรณ์อิเล็กทรอนิกส์ลงในกล่องที่ด้านหน้าโปร่งใส แล้วคลุมด้วยวัสดุผสมที่มีสีเพื่อสร้าง โมเสก
    • สามารถวางกล่องบนผ้าขนหนูหรือเสื้อผ้า เพื่อไม่ให้แรงกระแทกหรือการสั่นสะเทือนเปลี่ยนโมเสก
    • ก่อนจัดเก็บ ให้ถ่ายภาพทุกด้านที่มองเห็น และบันทึกไว้ในอุปกรณ์ที่ปลอดภัย หรือส่งให้บุคคลที่เชื่อถือได้ผ่านช่องทางที่เข้ารหัสและยืนยันความถูกต้องแล้ว
    • สามารถห่ออุปกรณ์ด้วยแรป ถุง หรือสิ่งอื่น ๆ เพื่อไม่ให้อุปกรณ์เปื้อนหรือวัสดุเข้าไปในพอร์ต
  • ตัวอย่างวัสดุผสม ได้แก่ ถั่วเลนทิลแดงกับถั่วเลนทิลเบลูกา ถั่วลันเตาเหลืองกับถั่วขาว เป็นต้น
    • สำหรับกล่องที่ใส่แล็ปท็อปได้และโปร่งใสทุกด้าน ตู้ปลาขนาดเล็กเหมาะดี
    • สำหรับการจัดเก็บระยะยาว สามารถใช้การซีลสูญญากาศได้
  • อุปกรณ์ที่ใช้ถ่ายภาพการจัดเก็บก็ต้องพิจารณาความปลอดภัยแยกต่างหาก
    • หากใช้โทรศัพท์ Haven โดยเฉพาะ อุปกรณ์นี้อย่างไรก็ต้องวางไว้นอกกล่องเก็บ จึงใช้ถ่ายภาพที่บันทึกไว้ได้ด้วย
    • หากมีอุปกรณ์ GrapheneOS สามารถถ่ายภาพแล้วซ่อนไว้ที่ใดที่หนึ่งในบ้านได้
    • กล้องไม่มีการเข้ารหัส จึงทำให้ผู้โจมตีแก้ไขภาพได้ง่ายกว่า และยังใช้แอป Blink Comparison ไม่ได้

การตรวจจับการดัดแปลงเฟิร์มแวร์และซอฟต์แวร์

  • ไม่ใช่แค่ฮาร์ดแวร์เท่านั้น แต่ ซอฟต์แวร์และเฟิร์มแวร์ ก็เป็นเป้าหมายของการตรวจจับการดัดแปลงด้วย
    • หากจะเชื่อถืออุปกรณ์อิเล็กทรอนิกส์ ต้องเชื่อถือฮาร์ดแวร์ เฟิร์มแวร์ และซอฟต์แวร์ทั้งหมด
    • การบุกรุกซอฟต์แวร์/เฟิร์มแวร์อาจเกิดได้ทั้งจากการเข้าถึงทางกายภาพและจากการโจมตีระยะไกลผ่านอินเทอร์เน็ต
  • ใน GrapheneOS Auditor สามารถแจ้งเตือนเมื่อเฟิร์มแวร์หรือซอฟต์แวร์ระบบปฏิบัติการถูกดัดแปลง
    • หาก Auditor ทำการยืนยันระยะไกล คุณอาจได้รับอีเมล
  • ใน Tails หรือ Qubes OS Heads สามารถทำหน้าที่คล้ายกันก่อนป้อนรหัสผ่านตอนบูต
    • ใช้ได้เฉพาะอุปกรณ์ที่รองรับเท่านั้น
    • การติดตั้งเป็นงานขั้นสูง แต่การใช้งานเองไม่ยาก
    • สามารถพกดองเกิลความปลอดภัย USB ของ Heads ติดตัวเมื่อออกไปข้างนอก และซ่อนดองเกิลสำรองไว้ที่บ้านเพื่อนที่เชื่อถือได้
  • หาก Auditor หรือ Heads ตรวจพบการดัดแปลง ต้องถือว่าอุปกรณ์นั้นเป็น อุปกรณ์ที่ไม่น่าเชื่อถือ ทันที
    • การวิเคราะห์นิติวิทยาศาสตร์ดิจิทัลอาจช่วยให้เข้าใจวิธีการบุกรุกได้
    • สามารถติดต่อบริการอย่าง Access Now’s Digital Security Helpline ได้ แต่ไม่แนะนำให้ส่งข้อมูลส่วนตัว

การตรวจจับการบุกรุกทางกายภาพ

  • การตรวจจับการบุกรุกทางกายภาพคือกระบวนการตรวจจับว่าผู้โจมตีเข้ามาในพื้นที่หรือพยายามเข้ามา
  • ระบบเฝ้าระวังวิดีโออาจมีคุณสมบัติดังนี้
    • กล้องตอบสนองต่อการเคลื่อนไหว และสามารถส่งการแจ้งเตือนเมื่อมีการตรวจจับหรือการดัดแปลง
    • สามารถวางกล้องไว้ในตำแหน่งที่มองเห็นทางเข้าออก หรือในตำแหน่งที่ไม่สะดุดตา
    • สามารถเปิดก่อนออกจากบ้านและปิดทันทีหลังกลับถึงบ้าน เพื่อไม่ให้ถูกเฝ้าระวังขณะอยู่ในพื้นที่
  • การจัดเก็บแบบตรวจจับการดัดแปลงเพียงอย่างเดียวอาจพลาดเป้าหมายการบุกรุก เช่น การติดตั้งอุปกรณ์เฝ้าระวังที่ซ่อนอยู่ ดังนั้นการใช้ การตรวจจับการบุกรุกทางกายภาพ ร่วมด้วยจึงปลอดภัยกว่า
  • Haven เป็นแอป Android ที่พัฒนาโดย Freedom of Press Foundation ใช้ไมโครโฟน เซ็นเซอร์ตรวจจับการเคลื่อนไหว เซ็นเซอร์วัดแสง และกล้อง เพื่อตรวจสอบความเปลี่ยนแปลงในห้องและบันทึกล็อก
    • ปัจจุบันไม่ได้รับการบำรุงรักษาแล้ว
    • การแจ้งเตือนระยะไกลเสียอยู่
    • ความน่าเชื่อถือต่ำในอุปกรณ์จำนวนมาก
  • จนกว่า Haven จะทำงานได้เต็มที่ ควรใช้ระบบเฝ้าระวังวิดีโอร่วมด้วยเพื่อรับการแจ้งเตือนระยะไกล
    • สิ่งนี้สำคัญต่อการรับมือกรณีผู้บุกรุกแก้ไขล็อกในเครื่อง
    • ควรเลือกรุ่นที่มีฟีเจอร์ด้านความเป็นส่วนตัว เช่น ไม่ทำงานผ่านคลาวด์
    • motionEye OS รองรับการแจ้งเตือนระยะไกลเมื่อพบการเคลื่อนไหว แต่การตั้งค่าต้องใช้ความรู้ Linux

วิธีใช้งาน Haven

  • ควรใช้ Haven บนอุปกรณ์ Android ราคาถูกที่จัดไว้โดยเฉพาะ
    • Pixel รุ่นเก่ามีราคาถูกและกล้องดี จึงเหมาะกับทั้ง Haven และ Blink Comparison
    • บางรุ่นอาจยังอยู่ในรายการที่ GrapheneOS รองรับ
    • ต้องเปิดการเข้ารหัสดิสก์ทั้งเครื่อง
  • หากมีสมาร์ทโฟนอีกเครื่อง ต่างจากโทรศัพท์ Haven โดยเฉพาะ ควรเก็บไว้ในกล่องจัดเก็บแบบตรวจจับการดัดแปลงในสถานะปิดเครื่อง
    • หากใช้งาน Haven บนสมาร์ทโฟนหลักแล้วผู้บุกรุกพบ จะเป็นการอนุญาตให้เข้าถึงอุปกรณ์ที่เปิดอยู่ทางกายภาพ
  • ขั้นตอนการใช้งานจริงเป็นดังนี้
    • วางสมาร์ทโฟน Haven ในจุดที่มองเห็นทางเดินหรือเส้นทางเข้าถึงกล่องเก็บซึ่งผู้บุกรุกจำเป็นต้องผ่าน
    • เสียบไฟไว้เพื่อไม่ให้แบตเตอรี่หมด
    • ตั้งนับถอยหลังก่อนออกจากบ้านเพื่อเปิด Haven
    • ปัจจุบันการแจ้งเตือนระยะไกลไม่ทำงาน ดังนั้นล็อกจะถูกเก็บไว้ในอุปกรณ์ Android ภายในเครื่อง
    • หลังกลับถึงบ้าน ให้ตรวจสอบล็อกของ Haven

ขั้นตอนการใช้หลายชั้นร่วมกัน

  • หากใช้มาตรการข้างต้นร่วมกัน ผู้โจมตีต้องหลบเลี่ยงทั้ง การตรวจจับการบุกรุกทางกายภาพ และ การจัดเก็บแบบตรวจจับการดัดแปลง
  • แม้ภายในที่เก็บแบบตรวจจับการดัดแปลง จุดตรวจสอบจะแตกต่างกันตามประเภทการโจมตี
    • การโจมตีที่ต้องเปิดแล็ปท็อปจะถูกตอบโต้ด้วยซีลยาทาเล็บกลิตเตอร์
    • การโจมตีซอฟต์แวร์/เฟิร์มแวร์จะถูกตอบโต้ด้วย Heads หรือ Auditor
    • แต่ละชั้นอาจดูเหมือนซ้ำซ้อน แต่มีความสำคัญ และยิ่งมีหลายชั้นมากขึ้น ความเชี่ยวชาญและต้นทุนที่จำเป็นต่อความสำเร็จของการโจมตีก็ยิ่งเพิ่มขึ้นมาก
  • วิธีที่ดีที่สุดคือจัดหาอุปกรณ์ใหม่ด้วยวิธีที่ดักกลางทางได้ยาก และใช้ทุกชั้นอย่างสม่ำเสมอตั้งแต่ต้น
  • เมื่อต้องไม่อยู่บ้านเป็นเวลานานโดยไม่มีใครอยู่บ้าน ลำดับต่อไปนี้เหมาะสม
    • ใส่อุปกรณ์ที่ปิดอยู่ลงในกล่องจัดเก็บแบบตรวจจับการดัดแปลง
    • ถ่ายภาพที่จำเป็น
    • เปิดใช้งาน Haven
  • หลังกลับถึงบ้าน ให้ตรวจสอบร่องรอยการบุกรุกก่อน
    • ตรวจสอบล็อกของ Haven ก่อน
    • จากนั้นใช้ Blink Comparison ตรวจสอบสภาพของที่เก็บแบบตรวจจับการดัดแปลง
    • สกรูแล็ปท็อปตรวจสอบเมื่อมีเรื่องน่าสงสัยก็พอ
  • เมื่อตั้งค่า Heads และ Auditor แล้ว ไม่จำเป็นต้องใช้ความพยายามมากในการใช้งานให้ถูกต้อง
    • Auditor ทำงานโดยไม่ต้องโต้ตอบ
    • Heads กลายเป็นส่วนหนึ่งของกระบวนการบูต

เหตุใดตู้นิรภัยจึงไม่เพียงพอ

  • ตู้นิรภัยบางรุ่นสามารถเปิดกลอนโซลินอยด์ด้วย แม่เหล็กหายาก ได้โดยไม่ถูกตรวจจับ
  • Safe bouncing คือวิธีเคาะหรือเด้งตู้นิรภัยเพื่อขยับกลไกล็อกและเปิดโดยไม่ถูกตรวจจับ
    • ตู้นิรภัยที่ใช้กลไกเฟืองมีความเปราะบางต่อการโจมตีเชิงกลน้อยกว่า
  • ตู้นิรภัยหลายรุ่นมีรหัสรีเซ็ตสำหรับผู้ดูแลหรือ try-out combination
    • หากไม่เปลี่ยนจากค่าเริ่มต้น ก็อาจถูกเปิดได้โดยไม่ถูกตรวจจับ
  • Spiking คือวิธีเผยสายที่เชื่อมไปยังปุ่มรีเซ็ต โซลินอยด์ หรือมอเตอร์ แล้วใช้แบตเตอรี่จิ้มกระตุ้น
    • เนื่องจากต้องเข้าถึงสาย จึงอาจมีความเป็นไปได้ที่จะทำให้ตรวจจับการดัดแปลงได้
  • การโจมตีแบบลองทุกความเป็นไปได้ทำได้หากผู้โจมตีมีเวลา
    • ล็อกแบบหมุนสามารถถูกลองรหัสแบบ brute force ด้วยเครื่องหมุนอัตโนมัติคอมพิวเตอร์ที่ทำงานได้โดยไม่ต้องมีคนควบคุม
    • แป้นกดอิเล็กทรอนิกส์มีความเปราะบางต่อ brute force น้อยกว่าหากมีฟังก์ชันล็อกหน่วงเวลาเป็นขั้น ๆ ที่ออกแบบดี
  • เครื่องมืออย่าง Little Black Box และ Phoenix สามารถดึงหรือรีเซ็ตชุดรหัสของล็อกอิเล็กทรอนิกส์ได้โดยอัตโนมัติ
    • เครื่องมือเหล่านี้มักเชื่อมต่อกับสายภายในที่เข้าถึงได้ โดยไม่ทำให้ล็อกหรือภาชนะเสียหาย
    • เนื่องจากต้องเข้าถึงสาย จึงอาจมีความเป็นไปได้ที่จะทำให้ตรวจจับการดัดแปลงได้
  • การโจมตีผ่านแป้นกดก็มีหลายแบบเช่นกัน และบางแบบสามารถบรรเทาได้ด้วยการรักษาความปลอดภัยในการปฏิบัติการที่เหมาะสม

บทความที่เกี่ยวข้อง

1 ความคิดเห็น

 
GN⁺ 2024-08-04
ความคิดเห็นจาก Hacker News

  • เมื่อไม่กี่ปีก่อน ผมเคยทำงานโดยใช้หลักการบางส่วนแบบนี้เพื่อป้องกัน ยาปลอม: https://www.nature.com/articles/s41598-022-11234-4
    ขอเสริมว่า ผมคิดว่ายังมีความต้องการที่ยังไม่ได้รับการตอบสนองสำหรับ อัลกอริทึม ที่สามารถนำภาพถ่ายของแพตเทิร์นสุ่มแบบนี้ไปเก็บในฐานข้อมูล แล้วแปลงเป็นข้อความหรือรูปแบบคล้ายกันที่ค้นหาได้อย่างรวดเร็ว
    เคยลองใช้อัลกอริทึมความคล้ายกันของภาพแบบที่ใช้ใน Google Reverse Image Search แล้ว แต่ไม่ค่อยเหมาะกับงานนี้ ส่วนในบทความวิชาการ เราสร้างอัลกอริทึมแบบหยาบ ๆ ขึ้นเองเพื่อแปลงแพตเทิร์นเป็นชุดของสตริง ซึ่งก็พอใช้งานได้ แต่ผมมั่นใจว่าน่าจะมีวิธีที่ดีกว่านี้

    • เท่มากจนดูแทบจะเหมือน วิทยาการเข้ารหัสลับเชิงกายภาพ เลย อาจมีคำที่ดีกว่านี้ก็ได้ แต่ผมสนใจงานอื่น ๆ ในแนวทางนี้มาก
    • น่าจะทำ fingerprinting รูปภาพแล้วประมวลผลได้ คล้ายกับที่บริการอย่าง Shazam หรือ MusicBrainz ทำ fingerprinting เพลง
      ผมเคยทำงานที่ MusicIP มาก่อน ซึ่งเท่าที่ทราบเป็นที่ที่พัฒนาระบบ fingerprinting ที่ MusicBrainz ใช้อยู่
    • แค่อ่านบทคัดย่อก็ได้เรียนรู้อะไรจริง ๆ แล้ว ซึ่งไม่ใช่เรื่องที่เกิดขึ้นบ่อย
    • ผมสงสัยว่าผู้โจมตีจะทำยาเม็ดหนึ่งที่มีแพตเทิร์นเหมือนกันเป๊ะ โดยใช้ยา 1 เม็ดเป็นต้นแบบไม่ได้หรือ
      ผู้ผลิตคงแยกไม่ออกว่านี่เป็นการชนกันของแพตเทิร์น หรือผู้ใช้กำลังพยายามตรวจสอบยาเม็ดเดิมซ้ำอีกครั้ง

  • กล้องมีแต่จะเล็กลงและถูกลงเรื่อย ๆ สามารถตรวจจับและระบุตำแหน่งกล้องที่ซ่อนอยู่ได้ด้วย TEMPEST / Van Eck phreaking: https://www.usenix.org/system/files/sec24fall-prepub-357-zha...
    ว่ากันว่าการเข้ารหัสและบีบอัดวิดีโอดิบของกล้องสอดแนมเกิดขึ้นในหน่วยความจำอ่าน/เขียนแบบฝังตัว และกิจกรรมนี้ก่อให้เกิดการแผ่รังสีแม่เหล็กไฟฟ้า ESauron จะสร้างการเปลี่ยนแปลงของฉากโดยตั้งใจ แล้วตรวจจับการเพิ่มขึ้นของการแผ่รังสีแม่เหล็กไฟฟ้าเพื่อค้นหากล้องสอดแนม
    ในการทดลองกับผลิตภัณฑ์กล้อง 50 รุ่น ระบุว่าตรวจจับได้แม่นยำ 100% ด้วยการกระตุ้นเพียง 4 ครั้ง และแม้มีสิ่งกีดขวาง ระยะตรวจจับก็อาจเกิน 20 เมตร พร้อมระบุตำแหน่งได้อย่างแม่นยำ

    • แค่ดูบทคัดย่อก็ดูเหมือนว่าผู้ผลิตกล้องสอดแนมน่าจะทำให้วิธีนี้ใช้ไม่ได้ด้วยการใส่ Faraday cage รอบชิ้นส่วนกล้อง
      ตัวบทความเองก็ยอมรับในส่วนข้อจำกัดว่า สมาร์ทโฟนรุ่นใหม่ลดการรั่วไหลของการแผ่รังสีแม่เหล็กไฟฟ้าด้วยเทคนิค DDR กินพลังงานต่ำและ Faraday cage ภายใน และการผสมผสานนี้ทำให้การตรวจจับการแผ่รังสีแม่เหล็กไฟฟ้าจากหน่วยความจำกล้องสมาร์ทโฟนด้วยต้นแบบ ESauron ปัจจุบันยากขึ้นมาก
    • พอกดลิงก์นั้นบน iOS ก็มีป๊อปอัปที่ไม่เคยเห็นมาก่อนเด้งขึ้นมาทันที: “Failed to Add Pass An error occurred while adding the pass to Wallet. Please try again later.”
      ผมใช้ Brave บน iOS เวอร์ชันล่าสุด และเปิด Lockdown mode มา 6 เดือนแล้ว PDF นั้นมีอะไรบางอย่างแปลก ๆ
    • ในทางกลับกัน ถ้ารู้วิธีตรวจจับแล้ว ก็อาจทำฉนวนกันสัญญาณให้กล้อง และทำให้มันหยุดทำงานเมื่อพบ การเปลี่ยนแปลงความส่องสว่าง ขนาดใหญ่ได้ เหมือนเคย เป็นเกมแมวไล่จับหนู
    • เท่มากจนผมอยากรู้ว่าจะซื้ออุปกรณ์ ESauron ได้เมื่อไหร่

  • มี มาตรฐาน DoD ที่เกี่ยวข้องกับเรื่องนี้อยู่ ส่วนใหญ่ใช้กับระดับ SECRET โดยที่ตู้เก็บเอกสาร SECRET ต้องทิ้งร่องรอยการงัดแงะไว้ แต่ไม่จำเป็นต้องมีความต้านทานการโจมตีสูงสุดโต่ง
    ตู้เก็บแฟ้มต้องมีรอยต่อที่เชื่อมและทำสีไว้ รวมถึงกุญแจที่ดี ตู้เก็บแฟ้มความปลอดภัยสามารถถูกงัดด้วยชะแลงได้ แต่ความเสียหายจะเห็นได้ชัด ดูหน้า 5.3.1 ของ [1]
    U.S. Navy อนุญาตให้ใช้ซีลแบบฉลาก แต่ประเมินความปลอดภัยไว้ที่ “minimal” ดูหน้า 6.3 ของ [2] Defense Counterintelligence Agency ก็มีแนวทางเกี่ยวกับซีลรักษาความปลอดภัยด้วย แต่น่าจะเป็นเอกสารเก่า
    ยังมี “ซีลป้องกันการงัดแงะชนิดทิ้งคราบ” ด้วย เมื่อลอกออกจะเลอะเทอะอย่างเห็นได้ชัด และยังมีหมายเลขซีเรียลแบบบาร์โค้ดด้วย ถ้าผู้โจมตีมีทรัพยากรเพียงพอ มีเวลาเข้าถึงนาน และสามารถตรวจสอบซีลล่วงหน้าเพื่อทำของเลียนแบบได้ ก็อาจลอกออกแล้วเปลี่ยนใหม่ได้ แต่ถ้า threat model เป็นแบบนั้น ตั้งแต่แรกก็ไม่ควรวางของน่าสนใจไว้ในแล็ปท็อปที่ไม่มีคนเฝ้าอยู่แล้ว
    [1] https://www.nispom.org/NISPOMwithISLsMay2014.pdf
    [2] https://exwc.navfac.navy.mil/Portals/88/Documents/EXWC/DoD_L...
    [3] https://www.dcsa.mil/Portals/91/Documents/CTP/NAO/security_s...
    [4] https://seals.com/security-tape-labels/?_bc_fsnf=1&Classific...

    • ตอนที่สหรัฐฯ แอบได้ดาวเทียมโซเวียตมาและถอดแยกชิ้นส่วน หนึ่งในอุปสรรคหลายอย่างของคืนนั้นคือการเปลี่ยน ซีลพลาสติก ที่ปิดชิ้นส่วนบางอย่างอยู่
      เครื่องยนต์ถูกถอดออกไปแล้ว แต่ขายึด รวมถึงถังเชื้อเพลิงและถังออกซิไดเซอร์ยังอยู่เหมือนเดิม และถ้าจะดูข้างใน ต้องถอดเต้ารับไฟฟ้า 4 ช่องที่อยู่หลังซีลพลาสติกซึ่งมีตราประทับของโซเวียต
      ต้องนำยานอวกาศกลับไปให้อยู่ในสภาพเดียวกับตอนพบทุกประการ และถ้าโซเวียตรู้ว่าซีลหายไปก็จบกัน เมื่อรถของ CIA กลับมา ข้างในมีซีลโซเวียตปลอมที่สมบูรณ์แบบอยู่ และพวกเขาก็ปิดผนึกแผงกลับเข้าไปเพื่อปกปิดการขโมยได้
      https://www.technologyreview.com/2021/01/28/1016867/lunik-ci...
    • ในสหรัฐฯ DoE และน่าจะเป็น Sandia เป็นผู้นำด้าน ห้องปฏิบัติการวิจัยซีลเชิงป้องกัน แต่หลังเหตุการณ์ 9/11 ไม่นาน ก็ถอดเอกสารสาธารณะส่วนใหญ่ออกจากอินเทอร์เน็ต
      ขีดความสามารถหลักในการทำให้ซีลไร้ผลในรัฐบาลสหรัฐฯ อยู่ที่ CIA

  • ครั้งแรกที่ได้เจอกลไก “ร่องรอยการงัดแงะ” คือจากอนิเมะ Death Note
    https://youtube.com/watch?v=zZBR9iQ7DRA3D
    ตัวเอกใช้อุปกรณ์หลายอย่าง เช่น ความสูงของกลอนประตู กระดาษระหว่างประตูกับผนัง และไส้ดินสอกดที่บานพับประตู ถ้าซีลอันเดียวคลาดเคลื่อนอาจมองข้ามได้ แต่ถ้าทั้ง 3 อันพังหมด แปลว่ามีใครบางคนเข้ามาในห้อง
    ตอนเด็ก ๆ อยู่กับพ่อแม่พี่น้อง เคยใช้ทริกกระดาษเอง เลยรู้ได้ง่ายว่าใครเข้ามาค้นของของฉัน และยังใช้ทริกไส้ดินสอกดกับลิ้นชัก “ลับ” ที่ทำพื้นปลอมไว้ด้วย

    • ถ้าจำไม่ผิด มันซับซ้อนกว่านั้นอีกหน่อย ในซีลสามอัน มีอันหนึ่งเป็นกระดาษที่เห็นได้ชัดและซ่อมกลับได้ง่าย
      ถ้าทั้งสามอันพังหมด แปลว่าเป็นผู้บุกรุกมือสมัครเล่นแบบคนในครอบครัว แต่ถ้ามีอันหนึ่งถูกซ่อมกลับแล้วอีกสองอันพังอยู่ แปลว่าเป็น ผู้บุกรุกที่ชำนาญ แบบตำรวจ
    • เหมือนว่า Snowden ก็เคยบอกว่าใช้ทริกคล้าย ๆ กันเพื่อตรวจว่าห้องโรงแรมถูกค้นหรือไม่
      วิธีหนึ่งคือวางแก้วน้ำไว้หลังประตู พอประตูเปิด น้ำจะหกลงบนกระดาษทิชชู่ที่วาดลวดลายไว้ซึ่งเลียนแบบได้ยาก เขายังพูดถึงวิธีอื่นด้วยแต่จำไม่ได้แล้ว และพอทริกไส้ดินสอกดฟังดูคุ้น ๆ ก็อาจเป็นอันนั้นก็ได้
      Snowden เป็นที่รู้กันว่าชอบอนิเมะด้วย จึงเป็นไปได้ว่าเคยดูฉากนั้น
    • ในบรรดาทริกเหล่านี้ 2 จาก 3 อย่างได้เรียนมาจากหนังสือเด็กแนว “วิธีเป็นสายลับ” ที่ยืมจากห้องสมุดท้องถิ่น ส่วนอย่างที่สามอาจลืมไปแล้วก็ได้
      ชอบหนังสือสารคดีมากกว่าวรรณกรรม เลยอ่านหนังสือแบบนี้เยอะมาก มีสารพัดเคล็ดลับ เช่น วิธีเขียนข้อความด้วยนมแล้วทำให้ปรากฏด้วยเลมอน ทริกเชือกรองเท้า เทคนิคการสะกดรอยตามใครสักคน ฯลฯ ตอนนั้นเป็นช่วงต้นยุค 90 ที่สงครามเย็นกำลังจะจบลง
      ตอนนี้ก็ยังชอบพอดแคสต์เกี่ยวกับนักสืบเอกชน สายลับ ข่าวกรองทางทหาร และการสืบสวนของตำรวจ เรื่องล่าสุดที่ฟังคือคดีลอบสังหาร Pim Fortuyn นักการเมืองชาวดัตช์ ซึ่งรายงานตำรวจตกหล่นข้อเท็จจริงว่า ผู้ต้องหาที่ถูกจับได้แทบจะคาหนังคาเขาอาศัยอยู่ข้างบ้านอดีตอาชญากรรายใหญ่ และอดีตอาชญากรคนนั้นในอีกไม่กี่ปีต่อมาก็ย้ายไปอยู่ใกล้ผู้ก่อการร้ายอิสลาม
      เลยเกิดคำถามว่าเขาเป็นคนให้อาวุธกับคนร้ายหรือไม่ หรือว่าเป็นแหล่งข่าวของ AIVD (ตอนนั้นคือ BVD) และยังมีจุดหักมุมแบบคลาสสิกคืออดีตอาชญากรคนนั้นเสียชีวิตระหว่างทำพอดแคสต์ด้วย สุดท้ายไม่ได้ข้อสรุป แต่เป็นเรื่องที่น่าสนใจ
    • เคยเห็น ทริกเส้นผม ใน Ren and Stimpy เป็นวิธีเอาขนหน้าอกเส้นแรกของ Ren ไปติดเทปไว้ที่ประตูหรือฝา เพื่อดูว่ามีการเปิดหรือไม่ ไม่รู้ทำไมถึงจำได้ติดตา
    • ทริกเส้นผมคล้าย ๆ กันก็เคยเห็นมาก่อนเหมือนกัน

  • ต้องแกะหุ่นยนต์ดูดฝุ่น Roborock ที่ค่อนข้างใหม่ออกมาเพื่อทำความสะอาดทั้งหมด เพราะมันเจอชิ้นส่วนอุจจาระสุนัขแล้วสร้างความเละเทะอย่างงดงาม
    ถอดสกรูที่มองเห็นออกหมดแล้ว แต่ฝาครอบด้านล่างก็ยังไม่หลุด จนภายหลังถึงรู้ว่ารูที่ดูเหมือนพลาสติกอุดไว้นั้นจริง ๆ แล้วเป็น ซีลแวกซ์ ที่ปิดสกรูตัวสุดท้ายอยู่ ดูเหมือนเป็นวิธีตรวจสอบการงัดแงะแบบง่าย ๆ เพื่อวัตถุประสงค์ด้านประกัน

    • นึกถึงตอนเด็ก ๆ ที่ไม่มีเงินซื้อเกม เลยแฟลชเฟิร์มแวร์ไดรฟ์ DVD ของ Xbox 360 เพื่อเล่น “แบ็กอัป”
      ใช้ปืนลมร้อนอุ่น สติกเกอร์กันงัดแงะ แล้วลอกออกมา เพราะเก็บเงินอยู่นานกว่าจะซื้อ Xbox เครื่องนั้นได้ จึงเสียประกันไม่ได้ โชคดีที่ทริกปืนลมร้อนแบบเก่าช่วยไม่ให้สติกเกอร์เสียหาย
      Microsoft จ่ายค่าผลิตสติกเกอร์รักษาความปลอดภัยเพื่อป้องกันการงัดแงะ และตัวเครื่องนั้นก็ถึงขั้นรันไฮเปอร์ไวเซอร์ ซึ่งถือว่าไม่ธรรมดาในสมัยนั้น เพื่อป้องกันการดัดแปลง
      แต่ใครสักคนบนอินเทอร์เน็ตค้นพบว่าแค่อุ่นด้วยปืนลมร้อนแล้วค่อย ๆ ใช้แหนบลอกออกก็พอ จากนั้นก็เปลี่ยนเฟิร์มแวร์ของไดรฟ์ DVD ให้รายงานไปยัง OS “ปลอดภัยเต็มรูปแบบ” ที่ถูกล็อกไว้ว่า “ใช่ครับ นี่คือแผ่น Xbox 360 ทางการ” ได้
    • ในสหรัฐฯ บริษัทไม่สามารถทำให้ประกันเป็นโมฆะได้เพียงเพราะผู้ใช้แกะสติกเกอร์ “warranty void if removed” หรือซีลแวกซ์ออก
      บริษัทปฏิเสธการรับประกันได้เฉพาะรายการที่ผู้ใช้ทำให้เสียหายจริงเท่านั้น หากเปิดอุปกรณ์อิเล็กทรอนิกส์แล้วไม่ได้ทำอะไรพัง ก็ขอให้เขาชี้แจงเป็นลายลักษณ์อักษรว่าเพราะเหตุใดจึงทำให้ประกันเป็นโมฆะได้เลย มีโอกาสสูงที่เขาจะตอบว่า “ครั้งนี้จะช่วยเป็นกรณีพิเศษ”
      FTC เองก็เริ่มกวดขันบริษัทที่ใช้คำเตือนแบบนี้ในที่สุดแล้ว ด้วย Magnuson-Moss Warranty Act แม้แต่รถยนต์ หากเจ้าของหรือบุคคลที่สามซ่อมบำรุงเอง ก็ไม่ทำให้ประกันผู้ผลิตเป็นโมฆะ

  • อยากฟังมากกว่านี้ว่าคนที่ต้องการความปลอดภัยระดับนี้ทำงานอะไรอยู่
    สงสัยว่า NSA เอายาทาเล็บกลิตเตอร์ไปทับสกรูแล็ปท็อปหรือเปล่า หรือเป็นสายลับ CIA หรือ SOF ที่ทำแบบนั้น
    ตั้งแต่แรกก็ไม่รู้ว่าใครกันที่ไม่มีความปลอดภัยทางกายภาพสำหรับปกป้องอุปกรณ์ แต่ต้องการ ความลับ ระดับนี้

    • ในหนังสือ “This Is How They Tell Me the World Ends: The Cyberweapons Arms Race” หรือ “Pegasus: How a Spy in Your Pocket Threatens the End of Privacy, Dignity, and Democracy” สักเล่ม ผู้เขียนเล่าถึงเหตุการณ์ที่คืนหนึ่งกลับมาที่ห้องพักโรงแรมแล้วพบว่าประตูเปิดอยู่ ตู้เซฟก็เปิดอยู่ และแล็ปท็อปวางอยู่
      เขาทำข่าวด้านไซเบอร์ซีเคียวริตี้ และรายงานวิธีที่รัฐบาลบางแห่งใช้งานสปายแวร์ในทางมิชอบเพื่อสอดส่องพลเมือง
      เป้าหมายของการรักษาความปลอดภัยแบบนี้น่าจะเป็น นักข่าว และนักวิจัยไซเบอร์ซีเคียวริตี้ที่อาจตกเป็นเป้าของรัฐบาล อาชีพกลุ่มอื่น ๆ ก็อาจใช้ข้อมูลนี้เพื่อปกป้องตัวเองให้ดีขึ้นได้เช่นกัน
      หน่วยงานรัฐขนาดใหญ่มีกำลังพอที่จะออกแบบระบบที่ไม่ต้องมีความต้องการแบบนี้ และมีแนวโน้มว่าจะไม่ทิ้งข้อมูลอ่อนไหวไว้ในอุปกรณ์ที่ไม่มีคนเฝ้า
    • สายงานที่เกี่ยวข้องกับนิวเคลียร์ใช้วิธีที่แข็งแรงเชิงกลมากกว่า เช่น บัดกรีทับสกรูหรือรอยต่อ แล้วขูดด้วยแปรงลวด จากนั้นถ่ายรูปไว้
      เคยนำเสนอเรื่องยาทาเล็บกลิตเตอร์กับ Eric Michaud เมื่อปี 2013 ตอนนี้รู้สึกแก่ขึ้นมาเลย
    • นักข่าวอย่าง Bart Gellman, Ellen Nakashima, Jason Leopold, Kim Zetter น่าจะทำอะไรแบบนี้
      Anna Merlan, Tim Marchman และคนของ 404 Media ก็น่าจะเหมือนกัน เวลาไปทำข่าวองค์กรอาชญากรรม อาจทำให้ระแวดระวังแบบหวาดระแวงได้
    • แต่แนวทางนี้ก็อาจทำให้ ตัวตนปลอม อีกแบบหนึ่งแตกได้เหมือนกัน
      ถ้าเจ้าหน้าที่ชายแดนเห็นสกรูที่เคลือบกลิตเตอร์บนแล็ปท็อปของคนธรรมดา นั่นอาจกลายเป็นสัญญาณให้จับตาดูคนนั้นอย่างใกล้ชิดตลอดช่วงที่พำนักอยู่
    • กำลังให้บริการที่ต้องมี ความปลอดภัย L1 ในระดับหนึ่ง (เลขสุ่มแท้) และเซิร์ฟเวอร์ที่สร้างเลขสุ่มจริงก็ทำแบบนี้ไว้
      ใช้ฟีเจอร์ของผู้ผลิตทั้งหมดที่เชื่อมสวิตช์ตรวจจับการบุกรุกเข้ากับ TPM ด้วย แต่ก็เพิ่มการป้องกันการแก้ไขดัดแปลงอื่น ๆ เข้าไปอีก
      จะไม่ลงรายละเอียดว่าเซิร์ฟเวอร์เหล่านี้ทำอะไรบ้าง แต่การติดอีพ็อกซีกลิตเตอร์และซีลน่ารำคาญอื่น ๆ ในจุดที่เข้าถึงเซิร์ฟเวอร์ได้ เป็นส่วนหนึ่งของการป้องกันทางกายภาพ

  • นึกถึงหนัง James Bond เก่า ๆ ที่ Sean Connery แสดง เขาถอนผมเส้นหนึ่ง แล้วใช้น้ำลายแตะนิ้วติดไว้ที่ประตูห้องโรงแรมเป็นซีล และภายหลังก็บอกได้ว่ามีใครเข้าห้องหรือไม่

    • วิธีแบบนั้นพบได้ค่อนข้างบ่อยในนิยายสายลับ แต่ไม่รู้ว่าในความเป็นจริงใช้กันบ่อยแค่ไหน

  • เวลานึกถึง Framework Laptop ผมเคยนึกถึงปัญหานี้หลายครั้ง ว่าจะง่ายแค่ไหนถ้าจะสลับพอร์ตด้านข้างตัวหนึ่งเป็นเวอร์ชันอันตรายแบบ คีย์ล็อกเกอร์ แล้วผู้ใช้อาจไม่ทันสังเกตเลย

    • อย่างน้อยด้วยเทคนิคในบทความ ดูเหมือนว่าการป้องกันการแก้ไขดัดแปลงสำหรับโมดูลแบบนั้นจะค่อนข้างง่าย
      ความต่างคือผู้โจมตีต้องคัดลอกรูปแบบกลิตเตอร์ทั้งหมดลงบนเคสใหม่ ไม่อย่างนั้นก็ต้องเปิดเคสเดิม ซึ่งก็ควรทำให้ทิ้งร่องรอยไว้ได้เช่นกัน จริง ๆ แล้วไม่ค่อยรู้ว่าโมดูลพวกนั้นเปิดง่ายแค่ไหน

  • ที่ดีใจที่ได้เห็นบทความนี้ เพราะทุกวันนี้หน่วยงานบังคับใช้กฎหมายหรือหน่วยข่าวกรองทำแบบนี้กันจริง ๆ
    DCRI ของฝรั่งเศสในอดีต ซึ่งปัจจุบันคือ DGSI เคยแอบฝัง ฮาร์ดแวร์คีย์ล็อกเกอร์ ไว้ในแล็ปท็อปของผมอย่างผิดกฎหมาย ผมคิดว่าติดตั้งไว้ก่อนส่งมาถึง ตอนที่ซื้อออนไลน์จาก materiel.net
    ในหัวผมมั่นใจ 100% ถ้าคิดว่ามีความเป็นไปได้ที่จะถูกเปิดโปงแบบนี้ ก็อย่าซื้อแล็ปท็อปหรือฮาร์ดแวร์ออนไลน์เด็ดขาด ควรซื้อที่ร้าน
    เพื่อความสนุกและเป็น proof of concept ผมก็เคยคิดจะทำฮาร์ดแวร์คีย์ล็อกเกอร์สำหรับแล็ปท็อป เพื่อแสดงให้เห็นว่าทำได้ง่ายแค่ไหน

    • ทำไมถึงคิดว่าเรื่องแบบนั้นเกิดขึ้นกับคุณ?

  • วิธีนี้ดูมีความเป็นไปได้มากกว่าการพูดถึง Secure Boot เพื่อสถานการณ์ที่เกิดได้ยากอย่าง “evil maid”
    ในบรรดาคนที่ผมรู้จัก ไม่มีใครที่จะตอบสนองว่า “แล็ปท็อปฉันโดนแก้ไขดัดแปลงแล้ว!” เวลาที่ Windows เพี้ยนขึ้นมาและขอคีย์ BitLocker แบบไม่มีเหตุผล
    ถ้าจำนวนพนักงานมากพอ false positive จะถี่มากจนฝ่าย IT แทบต้องแจก คีย์ BitLocker กันเกือบทุกวัน ในทางกลับกัน ผู้คนน่าจะให้ความสนใจกับร่องรอยการแก้ไขดัดแปลงที่เห็นได้จริง

    • Secure Boot และ Measured Boot ก็จำเป็นสำหรับป้องกัน การยึดครองอย่างต่อเนื่อง ในโลกเสมือนด้วย ฝั่งนี้เป็นปัญหากว่ามาก และมีประวัติการใช้งานจริงอย่างแพร่หลายมายาวนานกว่า
      ตัวอย่างเช่น Chromebook ถูกออกแบบมาให้แม้จะมีช่องโหว่ทั้งระบบที่ยึดได้ถึงระดับเคอร์เนล เมื่อรีบูตแล้วก็จะกลับสู่สถานะที่สอดคล้องและไม่ถูกยึดครอง
      ในระบบนิเวศมือถือก็มีลักษณะคล้ายกัน การ jailbreak แบบ untethered หรือการเจลเบรกแบบคงอยู่ถาวรเพื่อโจมตีเป้าหมายมูลค่าสูงแทบไม่มีอยู่จริง
      แม้แต่เครื่องมืออย่าง Cellebrite เมื่อโจมตีอุปกรณ์ระดับสูงอย่าง Pixel หรือ iPhone ก็มักจัดประเภทความเปราะบางตามช่วงก่อนหรือหลังการปลดล็อกครั้งแรก ซึ่งเป็นช่วงที่ความปลอดภัยของ boot chain แข็งแกร่งที่สุด และแทบไม่มีการยึดครองต่อเนื่องหรือการโจมตีแบบ downgrade/replay