Si l'appareil a quitté votre vue pendant un certain temps, remplacez-le. On ne peut plus lui faire confiance.

Le coût pour s'assurer qu'il peut encore faire confiance dépasse largement le coût d'en obtenir un nouveau

Il n'y a effectivement pas moyen de vérifier que le matériel n'a pas été altéré sans une expertise significative et en utilisant des ressources non triviales. La seule solution est de remplacer le portable et tous les composants associés. Sans connaître votre pays ou d'autres aspects de la situation dans laquelle vous vous trouvez, je n'ai aucun moyen de commenter la probabilité que cela se produise, uniquement sur la faisabilité technique.

Si vous avez besoin de vérifier l'intégrité de l'ordinateur portable, il y a quelques points à vérifier (non exhaustifs):

• Répartition du poids - Vérifiez le poids précis de chaque composant (IC, PCB , etc). Les distributions de poids peuvent être analysées à l'aide d'effets gyroscopiques. Cela nécessite d'avoir à proximité un équipement sans compromis pour comparaison. Un équipement de mesure extrêmement précis est nécessaire.

• Consommation électrique - Vérifiez la consommation électrique de chaque composant au fil du temps. Les portes dérobées utilisent souvent de l'énergie, et leur présence peut parfois être détectée par une attaque d'analyse de puissance. Ne vous fiez pas à cela, car les circuits intégrés peuvent consommer extrêmement peu d’énergie de nos jours.

• Inspection aux rayons X des PCB - Utilisez des rayons X pour voir les composants internes du circuit imprimé. Cela nécessite un équipement coûteux pour une carte de circuit imprimé multicouche telle qu'une carte mère d'ordinateur portable. Cela nécessite également de nombreuses heures de travail d'inspection intensive de chaque micromètre carré de l'appareil.

Cela vous semble excessif? C'est le cas, mais c'est ce que vous devez faire pour être sûr qu'aucune modification matérielle malveillante n'a été effectuée. Il sera moins cher d'acheter un nouvel ordinateur portable. Notez que ce n'est pas destiné à être des conseils pratiques, et ce n'est même pas près d'être terminé, même si c'était le cas. Il est destiné à illustrer cette quasi-impossibilité de rechercher des implants matériels sophistiqués.

Je l'ai atomisé depuis l'orbite mais je viens de réaliser qu'il était en état de veille pendant 2 jours et non en arrêt état, il était donc connecté à mon modem via wifi. Doit-il s'inquiéter?

En théorie, un matériel ou un micrologiciel compromis serait susceptible de compromettre votre point d'accès sans fil ou d'autres appareils écoutant. Pendant un état suspendu (mode veille) normalement désactive également la carte réseau, vous ne pouvez pas faire cette hypothèse si le matériel est compromis. Cependant, bien que cela soit théoriquement possible, cela nécessiterait une attaque loin plus ciblée, et la plupart des groupes militaires ne voudront pas dévoiler les jours qu’ils ont en leur tirant sur tout appareil sans fil à proximité qu’ils peuvent trouver.

Malheureusement, il est également théoriquement possible que votre modem ait été compromis. Je ne pense pas que ce soit très probable du tout, car ils auraient pu le faire via votre connexion Internet, en supposant qu'ils puissent contrôler ou compromettre votre FAI. S'ils ont altéré votre matériel, il est beaucoup plus probable qu'ils ne l'aient fait qu'à des fins de surveillance, et non pour propager un ver.

J'ai vérifié physiquement l'ordinateur portable et il n'y a aucun signe de déformation vis ou plastique. Est-ce toujours possible qu'ils aient compromis son matériel?

Absolument. Il existe de nombreuses façons d'ouvrir un ordinateur portable sans que cela soit apparent. Bien que des mécanismes sophistiqués de détection d'intrusion dans le châssis existent, il existe des techniques de «ghetto» que vous pourrez peut-être utiliser à l'avenir. Une technique consiste à saupoudrer du vernis à ongles avec des paillettes sur les joints du système, à l'intérieur et à l'extérieur. Prenez une photo haute résolution de ceci (et ne stockez pas la photo sur l'ordinateur!). Si l'appareil est ouvert, la disposition précise des paillettes sera perturbée, et il deviendra exceptionnellement difficile de le remettre en place. Vous pouvez la comparer avec la photo stockée et rechercher des différences subtiles.

Le terme pour cela est preuve d'inviolabilité , qui est toute technique qui rend difficile la falsification d'un appareil sans que ce fait soit perceptible. Des options plus professionnelles incluraient du ruban de sécurité inviolable ou des autocollants holographiques sur mesure. Malheureusement, cela ne peut que vous aider dans le futur et sera évidemment incapable de protéger votre système rétroactivement.

La principale information qui nous manque est votre modèle de menace.

Est-il probable que les militaires vous ciblent spécifiquement et seraient prêts à dépenser des ressources sur vous? Nous n'avons pas besoin de connaître les détails, mais la réponse change selon que ce qui s'est passé est une procédure plus ou moins standard pour votre pays, ou si vous êtes sélectionné.

Et nous ne savons pas quoi secrets que vous protégez. Si vous avez des données personnelles et des communications, c'est un jeu différent de celui d'être un élément actif d'un mouvement d'opposition politique ou d'une autre activité qui pourrait vous faire assassiner s'ils obtiennent les données. Il y a des pays dans le monde où le fait d'être un activiste des droits de l'homme peut vous mettre sur une liste de décès.

S'il s'agit d'une procédure standard et que vos données ne sont pas la vie ou la mort, vous pouvez utiliser précautions, réinstallation complète du système d'exploitation, mise à jour du micrologiciel, si vous voulez faire un effort supplémentaire, remplacez les composants tels que le port Ethernet et tout ce qui est remplaçable. Ensuite, faites l'hypothèse que vous avez peut-être manqué quelque chose de plus profondément intégré, mais vos chances sont meilleures que la moyenne que vous soyez clair.

La même chose est vraie pour la connexion réseau active. Il est probable que votre adversaire ait fait des schémas d'attaque standard. Si votre réseau est sécurisé et que vous ne voyez aucun signe d'intrusion à l'intérieur (journaux du pare-feu, IDS si vous en avez, etc.), cela pourrait être bien.

S'il est plus probable que vous ayez reçu une attention particulière, je vous suggère fortement d'utiliser la machine de manière innocente (surfer sur le Web, etc.) quelque part, puis de la laisser à l'air libre lorsque vous allez aux toilettes. Ou en d'autres termes: faites-le voler. De cette façon, personne ne peut vous blâmer, l'adversaire ne peut pas dire avec certitude si vous avez intentionnellement «perdu» l'appareil et en tout cas ne peut pas le prouver, et c'est la seule façon d'être sûr. Même si vous l'aviez éteint à proximité, il se peut qu'il y ait toujours un microphone caché à l'intérieur qui vous surveille. Donc, s'en débarrasser est la seule option sûre.

Pour les détails, je ne peux pas faire mieux que Forest dans sa réponse pour montrer à quel point des choses pourraient être cachées à l'intérieur. Ils auraient même pu changer de composants avec des composants apparemment identiques, ainsi que des portes dérobées. Il y a des choses que vous pouvez faire sur le matériel que le fabricant aurait du mal à trouver.

La même chose est malheureusement vraie pour votre réseau. Il y a toujours un jour 0 de plus, et les portes dérobées dans les périphériques réseau ne sont pas exactement inconnues. Si vous êtes une cible de premier plan, vous devez supposer que le réseau a été compromis.

Cependant, tous ces éléments avancés ne sont ni gratuits ni bon marché. C'est pourquoi le modèle de menace est important. Il est peu probable que l'armée utilise ses meilleurs éléments lors d'une recherche aléatoire.

Hormis la méthodologie, supposez simplement que l'ordinateur portable et tout ce qui se trouve à portée audio et visuelle de l'ordinateur portable est compromis et donc soumis à une surveillance ainsi que l'activité sur l'ordinateur lui-même.

Recherche, falsification , ou le retrait de l'ordinateur / des dispositifs de surveillance pourrait bien être détecté et considéré comme un acte criminel. En outre, la destruction complète de l'ordinateur portable ou son inutilisation intentionnelle peut également être considérée avec une extrême suspicion.

Tout ce que vous pouvez vraiment faire est de continuer à utiliser l'ordinateur portable, mais en sachant que l'activité est surveillée (donc ne faites que des trucs «légaux»). Il n'est pas nécessaire que les appareils de surveillance visuelle / audio impliquent la mise sous tension de l'ordinateur portable.

Investissez dans un joli sac pour ordinateur portable, sécurisé, rembourré (et insonorisé) pour ranger l'ordinateur portable lorsqu'il n'est pas utilisé.

En plus de ce que d'autres ont mentionné sur la détection des changements matériels (principalement que c'est presque impossible), vous devez reconnaître que le vecteur de compromis le plus probable serait l'installation de logiciels, surtout s'ils n'avaient votre appareil que pour un durée limitée.

Pour avoir un niveau de certitude raisonnable que votre appareil est exempt d'exploits logiciels, vous devez jeter le disque dur et commencer avec un nouveau et une nouvelle installation. La plupart des rootkits de bas niveau les plus pratiques (et les plus simples) modifient le micrologiciel des disques durs pour empêcher un format normal de supprimer le malware. C'est aussi l'un des moyens les plus simples de modifier un système assez rapidement et "indétectablement". Si votre ordinateur portable a une carte réseau remplaçable, il faudrait également envisager de la remplacer car c'est aussi un autre endroit assez utile pour déployer un implant matériel.

Tout logiciel malveillant devra probablement téléphoner à la maison. Démarrez votre ordinateur et toutes les applications courantes que vous exécutez. Connectez-le à un routeur externe (ceci est important car vous ne pouvez pas faire confiance aux logiciels exécutés sur l'ordinateur portable) qui enregistre tout le trafic. Laissez l'ordinateur portable inutilisé pendant au moins 24 heures. Maintenant, validez minutieusement toutes les adresses IP via ARIN ou d'autres registres, pour voir si l'un d'entre eux semble suspect. Vous en aurez presque certainement plusieurs que vous ne pouvez pas valider, même si la machine n'est pas compromise, mais cela peut vous donner un certain niveau de confiance de compromis. Sachez que les États-nations ont souvent la capacité d'injecter du trafic dans des flux légitimes à partir d'emplacements légitimes, et peuvent également compromettre des services légitimes ou utiliser des services légitimes existants (tels que docs.google.com où tout utilisateur peut créer des documents de données arbitraires) . De plus, le trafic réseau sur n'importe quel protocole réseau est suspect et ne doit pas être réduit en essayant de valider le trafic.

Enfin, pensez à votre profil de risque. Votre pays est-il connu pour pirater des appareils et les surveiller? Êtes-vous victime de malchance ou y a-t-il des raisons légitimes pour lesquelles ils devraient ou vous soupçonnent? Un certain niveau de paranoïa est sain, mais soyez pratique avec votre évaluation. Les implants matériels personnalisés ne sont pas bon marché et le coût de la découverte peut être à la fois embarrassant et coûteux. Si vous n'êtes pas un suspect probable et d'une importance significative, l'implant le plus probable sera basé sur un logiciel / micrologiciel, si quelque chose a été implanté. Comme d'autres l'ont souligné, toutes les informations d'identification que vous aviez sur votre ordinateur / que vous avez fournies / ou tous les cookies de navigateur actifs, et tous les fichiers sur le système doivent maintenant être considérés comme compromis.

Compte tenu de ce que vous nous avez dit, vous devez supposer que non seulement l'ordinateur portable est irrémédiablement compromis, mais tout votre réseau domestique, tout ce qui y est connecté, et chaque compte que vous avez n'importe où auquel vous avez accédé depuis l'ordinateur portable l'est également ou depuis un autre appareil connecté à votre réseau domestique.

1. Détruisez physiquement l'ordinateur portable, de préférence en le fondant / le brûlant plutôt qu'en le déchiquetant ou en le pulvérisant.

2. Faites de même pour chaque composant de votre réseau domestique.

3. Faites de même pour chaque appareil qui était connecté audit réseau pendant la période après que l'ordinateur portable a été "retourné".

4. Fermez et supprimez tous les comptes que vous avez sur tous les sites Web auxquels vous avez déjà accédé à partir de l'ordinateur portable ou de l'un des appareils à l'étape 3.

5. Annulez et détruisez physiquement toutes les cartes de crédit / débit / cadeaux à partir desquelles vous avez effectué des paiements via l'ordinateur portable ou via l'un des appareils de l'étape 3. Annulez également tous les paiements qui ont été effectués. nous a fait l'une de ces cartes pendant la période suivant le «retour» de l'ordinateur portable.

6. Fermez tous vos comptes bancaires et retirez tout leur contenu en espèces. Détruisez tous les documents en votre possession associés à l'un de ces comptes.

7. Je ne saurais trop insister sur l'importance de fuir vers un pays mieux protégé contre ce type d'abus commis par des armes le gouvernement.

S'ils ont tous vos mots de passe, comme vous le dites, et qu'ils sont en possession de l'ordinateur portable, l'ordinateur portable, son système d'exploitation et les logiciels installés sont tous suspects. Comme suggéré, utiliser une arme nucléaire depuis l'orbite.

Je serais également préoccupé par le fait que tout logiciel qui aurait pu être implanté pourrait (et tenterait) de compromettre d'autres ordinateurs sur des réseaux connectés. Ne connectez pas cette machine à un Ethernet, ni ne l'allumez à proximité d'un réseau WiFi s'il dispose du WiFi (ni autour d'appareils Bluetooth bien que je sache peu de chose à ce sujet).

Il peut même ne pas être possible de l'effacer dans des conditions sûres en raison d'un micrologiciel compromis.

S'ils avaient eu l'ordinateur portable pendant, par exemple, 30 minutes (ou moins), le lecteur aurait pu (et aurait) été imagé / copié. Ses secrets ne sont plus les vôtres.

Vous avez également du travail à faire pour changer tous vos mots de passe: vous pourriez vouloir détruire les comptes pour plus de sécurité. Supprimez tout le contenu (si possible) et fermez le compte. Bonne chance avec ça. Cependant, des informations ont peut-être déjà été collectées.

Il y a eu des réponses concernant la modification du matériel, et bien que ce soit une possibilité, il est clair que la falsification de logiciel devrait vous préoccuper.

Je dois m'assurer qu'ils ont ajouté quelque chose pour surveiller mes activités ou voler mes données ou non

Considérez qu'ils ont déjà toutes vos données fort>. Vous avez rendu tous vos mots de passe. Ainsi, même les données qui ne se trouvent pas sur votre ordinateur portable (par exemple, la messagerie, le cloud) sont désormais entre leurs mains. Commentaire détaillé: si vous n'êtes pas en état d'arrestation, vous pouvez toujours changer autant de mots de passe que possible après les avoir donnés, mais nous voulons supposer que notre attaquant a tellement de ressources et d'efficacité qu'il a récupéré une copie complète de toutes vos activités en ligne à la seconde où vous avez noté votre mot de passe sur une feuille de papier. Approche pessimiste.

Comme l'a souligné @forest, vous pouvez faire quelque chose pour essayer de prouver qu'ils l'ont fait, mais cela coûte tellement cher que vous feriez mieux d'aller à BestBuy le plus rapidement possible pour obtenir un nouvel ordinateur portable. À moins que votre objectif ne soit de dénoncer, votre gouvernement vous espionne et comment.

Et s'ils l'ont fait, que dois-je faire pour les empêcher?

Je suppose que vous avez demandé "que dois-je faire pour les empêcher à l'avenir ?". Veuillez modifier si non. Obtenir un nouvel ordinateur portable et mettre en œuvre des mesures de sécurité appropriées est une bonne chose, tout comme nous le faisons.

Le chiffrement complet du disque, les volumes cachés plausibles et les mots de passe complexes sont les outils de base. Un corp militaire ciblant un individu peut avoir tellement de ressources (y compris 0 jours) que vous ne pouvez pas l'empêcher de vous pirater pour toujours, mais vous pouvez toujours vous protéger et en faire un moment douloureux pour eux.

N'oubliez pas, vous avez dit que vous leur aviez donné les mots de passe. C'est là que TrueCrypt / VeraCrypt sont utiles. Je vous recommande de jeter un œil à ce contrôle qualité. N'oubliez pas d'utiliser souvent le système d'exploitation de couverture. Une fois dans le futur, vous serez interrogé à nouveau pour vos mots de passe, donnez-leur la clé de décryptage pour le système d'exploitation "externe". Ils ne sont pas stupides, ils feront de leur mieux pour vous extorquer que vous utilisez également un système d'exploitation caché. Par exemple, le simple fait que vous utilisiez VeraCrypt au lieu de Windows BitLocker ou de Linux LVM, cela pourrait être un motif de remise en question / d'extorsion.

Vous pouvez également copier soigneusement et en toute sécurité les documents de l'ancien disque dur à l'aide d'un adaptateur USB. Documents, pas exécutables. Et, par paranoïa, qui peut dire si certains documents PDF ont été modifiés pour exploiter un 0day dans l'un des lecteurs populaires?

Vous voudrez peut-être vous échapper de ce pays le plus tôt possible, pour ce qui me préoccupe .

Une porte dérobée doit toujours communiquer avec l'attaquant, donc regarder le bavardage du réseau via votre routeur devrait suffire. Effacer un disque dur et réinstaller un système d'exploitation peut ne pas être suffisant, ils l'ont eu pendant une semaine, ils auraient pu le démonter, installer un appareil de prise réseau et le remonter.

Ce n'est pas tout ce qu'il y a non plus, il peut n'y avoir aucune activité sur le réseau et le programme / périphérique peut collecter silencieusement des données pour que quelqu'un les récupère physiquement plus tard, probablement en frappant à votre porte.

Un nouvel ordinateur portable est en ordre, cependant je d garder l'ancien, peut-être même le mettre sur une DMZ pour qu'il ne puisse plus parler à d'autres appareils sur votre réseau domestique et il va sans dire qu'il ne pourra plus jamais être utilisé pour quelque chose de sensible.

Le principal problème est d'avoir un bon modèle de menace. Peut-être que les militaires ne font que des choses de routine. Peut-être leur a-t-on ordonné de consacrer beaucoup d'efforts spécifiques pour vous espionner.

Si vous supposez que l'armée fait des choses routinières (peu sophistiquées) (alors ils ont probablement installé des logiciels malveillants, probablement l'un des logiciels les plus courants) n'a pas détecté et a copié tout le contenu de votre ordinateur portable sur leurs serveurs), vous pourriez envisager de effacer tout le disque (c'est-à-dire de le reformater complètement) et de l'installer (par exemple) une distribution Linux sur votre ordinateur (cependant, cela pourrait vous rendre suspect, mais c'est un problème différent). Copier tout le contenu et ajouter un malware est, du point de vue militaire, très facile (cela peut prendre 5 minutes de travail humain, et 1 heure pour attendre que la copie soit terminée).

Comment faire effacer tout le disque est une autre affaire. Sur Linux, je dd if = / dev / zero of = / dev / sda bs = 4k par exemple qui remplit le disque sda avec zéro octet. Bien sûr, toutes les données sont perdues (sur les SSD, il peut rester quelque chose) et vous devez reformater (techniquement pour repartitionner) le disque. Et vous pouvez simplement remplacer le disque (cela coûte quelques dizaines d'euros et peut être facilement changé).

Comme commenté, vous devriez peut-être réinstaller le firmwarev (par exemple le BIOS) de votre ordinateur portable.

Si vous supposez que l'armée déploie des efforts spécifiques contre vous, elle pourrait avoir physiquement intégré un microphone, un GPS, un autre matériel à l'intérieur de l'ordinateur portable pour vous espionner (et aucune solution logicielle n'existe; et, à moins que vous ne soyez un expert en matériel , vous ne pourrez pas le remarquer). Changer le matériel est moins facile (cela peut prendre des heures ou des jours). Dans ce cas, vous feriez mieux de détruire l'ordinateur portable.

Installez un point d'accès dans votre cave ou placez l'ordinateur portable dans une boîte métallique. Le but est de rendre impossible la communication avec les signaux radio, à l'exception de l'AP que vous avez fourni.

À l'intérieur de cette boîte métallique, mettez votre propre AP. Ainsi, l'ordinateur portable devrait voir un silence radio total, son seul moyen de communiquer avec le monde externe devrait être votre AP.

La liaison montante de votre AP devrait être l'une de vos machines externes. Démarrez un écouteur et un analyseur de paquets réseau dessus.

Vous pouvez essayer de déclencher leur écoute clandestine en faisant des choses délicates. Par exemple, vous pouvez rechercher les ennemis politiques de votre État, ou vous devriez essayer de sembler essayer de les contacter.

Attention, ces personnes sont très paranoïaques et elles ne sont pas affectées par des arguments comme " Je n'ai pas essayé de contacter le pays X, j'ai seulement essayé de le regarder ainsi "ou" Si j'avais vraiment essayé de communiquer avec le pays X, je ne l'avais pas fait avec votre ordinateur portable buggé ". Ce sont de solides arguments pour vous, mais rien pour eux. Vous serez poursuivi pour avoir contacté le pays X et personne ne sera intéressé par vos arguments. Votre seul moyen d'éviter la punition si vous ne le faites pas. Considérez maintenant le cas où vous pouvez jouer avec eux.

L'ordinateur portable doit être continuellement en ligne, vous devez continuellement faire des choses dessus (bien sûr rien d'illégal).

Ensuite, vérifiez le trafic de votre AP, de votre propre AP, de ce qu'il a communiqué et où.

Malheureusement, il ne peut avoir qu'une réponse positive: si l'ordinateur portable ne communique pas, vous n'avez aucun moyen de savoir que c'est parce qu'il ne l'a pas été buggé, ou qu'il était buggé, mais pas actif. S'il communique, vous saurez combien de trafic il a généré et où.

Si vous avez suffisamment joué, remettez le disque dur à zéro et vendez l'ordinateur portable sur Internet.

Si vous leur parlera plus tard, vous ne savez rien, vous venez de vendre votre ordinateur portable parce que vous vouliez un matériel plus fort, et vous ne pensiez même pas qu'il pourrait être buggé.

Si l'ordinateur portable est un Windows 10 en raison d'un démarrage sécurisé, de la mémoire virtuelle Windows, de la signature du pilote, vous pouvez vous assurer que la machine est fiable. Cela n'exclut pas les applications malveillantes installées et configurées pour s'exécuter et accéder aux ressources de l'ordinateur, cependant, elles n'auraient pratiquement aucun moyen d'accéder à d'autres applications ou processus qui ne "se mettent pas là-bas".

L'adressage de la mémoire virtuelle Windows brouille essentiellement la mémoire des applications en mode utilisateur. Donc, si un virus tente d'accéder à la mémoire via des méthodes piratées, il ne peut pas discerner quoi. Ainsi, chaque processus a sa propre mémoire virtuelle d'environ 2 Go qu'il utilise, qui est traduite par Windows en espace d'adressage réel. La mémoire de processus est essentiellement privée pour ce processus. Ils peuvent partager la mémoire avec des poignées. Mais je pense que cela nécessiterait la coopération des deux processus.

De plus, les logiciels malveillants configurés pour s'exécuter peuvent voir le trafic réseau, mais qui peuvent être consultés par n'importe qui également une fois qu'ils sont diffusés sur un réseau.

Donc, fondamentalement, les applications écrites en toute sécurité ne peuvent pas être facilement supprimées. À moins que les «militaires» n'aient accès à OEM, Windows ou Intel / AMD et qu'ils mettent cette capacité à leur disposition, ou qu'ils aient réalisé des vulnérabilités dont l'existence n'est pas encore connue.