ATA Passwords and Firmware Area

Source

Almost all laptops and some modern desktop computers have the ability to lock a hard disk drive with an ATA password so that hard drive remains inaccessible until correct password is entered. Manufacturers call this technology different ways, for example, HP calls it DriveLock, but it is all the same. The password is stored inside of the hard drive's Firmware Area (on the surface). Since the password is stored on the surface, it cannot be removed by swapping circuit boards. And, since the Firmware Area cannot be read with any widely available software, the password cannot be easily read or removed.

Repair Station has the ability to access the Firmware Area and reset the password, thus making your hard drive unlocked. Unlocking process is done automatically and takes just a few minutes.

Since Repair Station does not alter partitions or file systems, it is absolutely safe to your data.

What is Firmware Area

Firmware Area (or System Area) is a reserved space dedicated to hard drive's own needs, such as: storing SMART logs, defect reallocation tables, program code (overlays) and so on. Flash EEPROM chip contains only a little part of the Firmware; its primary role is to spin up the spindle and unpark heads so that the drive can read the rest of the firmware from surface.

Firmware Area is inaccessible with generic ATA commands; it cannot be read or written with any software since the fact that the protocol is vendor-unique, and hard drive vendors do not disclose any information about their hard drive Firmware area structure or even about how to access it. We put more than four years of research and development into Repair Station, and we've made it able to access and recover the Firmware area.

Firmware Area failures

More than half of hard disk drive failures are caused by firmware area damage. Just a little damage is enough to render a hard drive totally unusable. In such cases hard drive becomes inaccessible and sometimes can completely disappear from the system.

For example, a hard drive can lose its parameters such as device model number and capacity. When it happens, there is no access to partitions and files. In most cases the problem is caused by firmware area damage and can be fixed with Repair Station.

Repair Station reads the Firmware Area, extracts and analyzes all firmware structures, rebuilds damaged parts and writes the firmware back to the drive. The process is absolutely safe to the data (partitions and files) and takes no more than 20 minutes.

If you have an issue with a hard drive, please feel free to download Repair Station and run diagnostics (which is free). Repair Station diagnoses the Firmware Area and hard drive mechanics and displays a short summary of hard drive's health.

HDD Security System

Source

BIOS password was the first method widely used to protect the computer from unsolicited use. The idea was that your computer won’t boot until the correct password entered.

This type of protection was rather weak and was primarily intended to protect from intruders who have no access to the hardware itself. To bypass such protection, one could take the drive off the computer, attach it to another computer and all the data can be copied.

At that time, to protect the data on the drive, one had to create additional layers of security by using special software for data encryption.

The idea to protect data by setting the password not only to the BIOS but to the drive itself was proposed a decade ago, but only now the technology has spread enough to be widely used.
Nowadays all modern notebook computers set a password to the drive simultaneously with setting it to the BIOS. That is why it is important to understand how the disk drive security works.

HDD Passwords

The possibility to restrict access to the data exists on almost all modern drives. This restriction is implemented by the security system of the drive itself. Thus, it makes the attachment of the drive to another computer meaningless as the password is physically stored on the drive.

Every drive which supports security features can contain simultaneously two passwords: User and Master.

User Password

User Password is the password that you use to restrict the access to the data on the drive. When User password is set the drive becomes Locked. When the drive is locked, no data can be read or written to it.

So the drive is locked when, and only when the User password is set.

When locking the drive (i.e. setting User password), you can choose how the drive can be unlocked. Either only User password can unlock the drive or both User and Master passwords can be used. This is done by setting Security level flag. This flag can be modified only while setting User password. Security level can be either ‘High’ or ‘Maximum’.
Master Password

Master password is intended to be used in case User password is lost or forgotten.

Every hard drive has some predefined Master password set. Unfortunately it is not standardized. Usually it contains just 32 spaces, but it may vary depending on the hard drive manufacturer and model number. Master password can be easily changed if the hard drive is not in the locked state.

The capability of Master password (what you can do with it) depends on Security level flag which is set during locking the drive (as described in the previous section):

• If the Security level is ‘High’, Master password can be used in place of User password.
• If Security level is ‘Maximum’, the drive can be unlocked using Master password only with the erasing of all data on the drive.

By the way, the term “Security Level” will be substituted in the future versions of ATA Standards by the better one: “Master Password Capability”.
Back to BIOS

So, when you set a password on a notebook computer, BIOS will do the following:
• Store the password in the BIOS itself.
• Change Master Password of the HDD to protect the user from using manufacturer’s default.
• Change User Password of the HDD. This operation will lock the drive.

Si un día

te roban el portátil y queremos tener alguna posibilidad de recuperarlo, inspirándonos en la noticia aparecida hace unos meses del ladrón que se hizo una foto con la webcam integrada y que se subió automáticamente a Internet, podemos implementar una solución similar usando DynDNS.

DynDNS es una empresa que permite asociar hostnames/dominios en el DNS de Internet a nodos con una IP dinámica que cambia frecuentemente. Para ello, la máquina monitoriza su propia IP y cuando cambia le pide al servidor de DynDNS que modifique los registros del servidor DNS asociado. Esto permite, entre otras cosas, ofrecer servicios de Internet desde máquinas conectadas a Internet con ISPs que sólo ofrecen IPs dinámicas. DynDNS vive de vender dominios y asociarlos a IPs dinámicas, pero también ofrece una serie de dominios (p.e. homelinux.org, dyndns.org o homeip.net) en los que es gratis tener hasta 5 hostnames registrados. Hay otras empresas que dan este servicio, como no-ip.com, pero sin duda alguna, DynDNS es la más conocida y, en mi opinión, el servicio que dan es de gran calidad.

Pues bien, la idea es que el ladrón encienda el portátil robado y cometa la imprudencia de conectarlo a Internet. El cliente de DynDNS se conectará a los servidores de DynDNS y actualizará la IP para el hostname que hayamos asociado a la máquina. Nosotros, simplemente mirando a qué resuelve dicha IP y viendo si cambia, podremos estar al tanto de si alguien se ha conectad a Internet con nuestro portátil y desde qué IP. Con dicha información, el paso siguiente es ir con una factura de compra en la que aparezca el número de serie del portátil y la IP obtenida a la comisaría más cercana a poner una denuncia. Si la policía hace bien su trabajo, contactará con el ISP asociado a la IP para pedirle información sobre quién ha tenido dicha IP en el día tal a la hora cual. El ISP debería ser capaz de asociar una IP en un instante de tiempo con una localización física. El problema que podemos tener es que la conexión se haya hecho, no desde un hogar, sino desde un lugar público como un hotel, un Ciber Café o una red WiFi pública. Esa es la teoría pero, ¿funcionará en la práctica? ¿se tomará la policía la molestia de contactar con el ISP por recuperar un portátil valorado en algo más o algo menos de 1000€?

Como mínimo, aunque no podamos recuperar el portátil, siempre podríamos haber tenido la precaución de dejar un servidor SSH abierto (en Windows lo podemos hacer con Cygwin: Servicios en Cygwin (syslogd, sshd, telnetd, ftpd, nfsd, etc.)) que nos permita investigar sobre quién es el ladrón o incluso para recuperar o borrar la información que podamos tener en el portátil. Si la nueva IP se registra correctamente al hostname que le hayamos asignado podríamos simplemente hacer un “ssh miportatil.dyndns.org” para entrar en el portátil… siempre que el portátil no esté tras un router que esté haciendo NAT. Al menos deberíamos haber configurado previamente el firewall integrado de Windows para que permita tráfico entrante al puerto 22.

Hay varios factores que facilitan que esto funcione:

• Que el sistema operativo por defecto sea Windows. Si sólo tenemos Linux o tenemos ambos sistemas pero el sistema por defecto es Linux, es posible que el intruso, ante el desconocimiento del sistema que se le presenta no vuelva a intentar arrancar el portátil y/o lo reinstale.
• Que se pueda entrar al sistema operativo sin contraseña (lo que implica no poner contraseña de arranque en la BIOS también). En caso contrario, el intruso tal vez sólo lo pruebe una vez y ya no lo intente más veces. Si vamos a permitir eso, no hay que olvidar que la información sensible ha de almacenarse cifrada.
• Tener bien configurado el sistema para que se conecte a Internet sin restricciones (por ejemplo, los firewalls personales instalados en el sistema podrían impedir la conexión del cliente de DynDNS).

En realidad, esta idea no es muy novedosa y hay multitud de aplicaciones pensadas precisamente con este fin: Laptop tracking software. Sin embargo, la solución con DynDNS nos permite hacer prácticamente lo mismo sis tener que pagar una suscripción. Al fin y al cabo, tampoco podemos hacer nada sin contar con la policía.

El cliente de DynDNS oficial para Windows es el DynDNS Updater. Para sistemas Linux hay varios clientes, siendo el ddclient uno de los clientes más populares y de hecho, ya viene en muchas distribuciones como Debian.

El primer paso es crear una cuenta en DynDNS. A continuación, vamos a añadir nuevo hostname donde elegiremos un dominio y un hostname que no estén usados (en mi caso miportatil.dyndns.org) y crearemos el dominio:

A los pocos segundos de crear el hostname, ya podremos comprobar que su resolución funciona:

$ nslookup miportatil.dyndns.org
Server:         80.58.61.250
Address:        80.58.61.250#53

Non-authoritative answer:
Name:   miportatil.dyndns.org
Address: 83.34.128.243

y además, podemos ver en la lista de hosts que hemos creado la hora de la última actualización, dato importantísimo para nuestro propósito:

Ahora es cuestión de configurar los clientes de actualización de DynDNS. El DynDNS Updater es bastante sencillo de usar, y tenemos una buena guía de su uso en DynDNS Updater Installation Guide. Para nuestro propósito, lo más importante es instalarlo como servicio de Windows, de forma que si tenemos pantalla de login, la actualización la haga incluso sin registrarnos en el sistema siempre que el portátil esté conectado a Internet.

Para usar el ddclient en Debian sólo tenemos que hacer un “apt-get install ddclient” y responder a las preguntas que nos van saliendo:

Tras esto, introducimos el usuario y el password de DynDNS y finalmente, especificamos el interfaz conectado a Internet con una IP dinámica:

Esto nos dejará una configuración en el /etc/ddclient.conf como esta:

pid=/var/run/ddclient.pid
protocol=dyndns2
use=if, if=eth0
server=members.dyndns.org
login=XXXXXX
password='XXXXXX'
miportatil.dyndns.org

Si el interfaz especificado no está realmente conectado a Internet sino a un router que hace NAT, tendremos que especificarle que la IP usada actualmente es la que devuelve la página web http://checkip.dyndns.org/ cambiando la línea del use=if por esta:

use=web, web=checkip.dyndns.org/, web-skip='IP Address'

Tras esto, la máquina chequeará, cada 5 minutos (configuración del demonio en /etc/default/ddclient) la IP pública y actualizará con ella el hostname de DynDNS si ha cambiado.

Para comprobar el buen funcionamiento del cliente, nuestro mejor amigo es el comando “ddclient -v“.

Conclusiones

Con esta entrada sólo pretendo hacer reflexionar sobre qué podemos hacer de antemano pensando en si un día nos roban el portátil. En forma de resumen, aquí tenemos los pasos más importantes:

• Tener siempre backup de la información importante (por ejemplo con rsync).
• Cifrar la información sensible que almacenemos en el disco (por ejemplo con TrueCrypt).
• Leer bien la documentación del portátil para entender qué características de seguridad nos proporciona de fábrica y poder hacer un uso correcto de ellas sin correr riesgos de pérdida de datos.

Tras estos pasos fundamentales, podemos querer seguir dos caminos:

• Bloquear el acceso físico al portátil con contraseña en la BIOS para el arranque y para el disco duro.

ó

• Permitir que la máquina arranque en la esperanza de que sea conectada a Internet y por medio del cliente de DynDNS que se actualice la IP de forma que podamos, o conectarnos a la máquina, o al menos, poner una denuncia que facilite la localización efectiva de la misma.

Páginas de geolocalización de una IP

• ARIN WHOIS Database Search
• IP2Location
• GeoBytes IP Address Locator Tool
• IP Location Finder
• IP Address Location

Documentación de fabricantes sobre seguridad física de sus portátiles

• HP ProtectTools security suite
• HP Security solutions – data security
• Dell Client Security Solutions
• Lenovo Security Solutions

Enlaces a las páginas que me han sugerido la entrada

• DynDNS Newsletter: Issue 4: Laptop LoJack
• El Catalejo: El ordenador que se la jugó a su ladrón

 - Poner acceso a la partición Win Xp por defecto (con poco tiempo para elegir sería perfecto para no asustar al ladrón)
- Crear una cuenta sin contraseña por defecto (si no es administrador mejor que mejor)
- Quitar el arranque desde cd por defecto del BIOS (complicar la reinstalación del S.O.)
- Contraseña para modificar los parámetros del BIOS

A Secure Laptop on the Go

Source
By PAOLA SINGER

Problem: Keeping a laptop's information private on the road.
Solution: Hackers can easily monitor a public Wi-Fi connection, which means using a hot spot can be unsafe. Even wired connections in hotel rooms may be vulnerable.
To protect your laptop's data, subscribe to a service that encrypts the information sent over the Internet by creating a virtual private network, or VPN. HS Shield is a free download that employs VPN technology to prevent others from viewing email, instant messages or credit-card information. The ad-supported service works with Windows and Mac computers. With Publicvpn.com, you can create a safe "tunnel" between a computer and the site's server. There's nothing to download; the service is set up through your built-in network connections interface (Windows or Mac), using a password.
HotSpotVPN (hotspotvpn.com) It supports Windows and Mac PCs, as well as iPhones and other mobile devices.
Caveat: HotSpotvpn, HotSpot Shield and Publicvpn work with both wired and wireless Internet connections. But other VPN services may work only with wireless.

Read