Comment sécuriser mon ordinateur portable afin d'empêcher tout piratage par accès physique ?

À mon avis, seul le cryptage complet du disque à l'aide d'un algorithme puissant et, surtout, d'un bon mot de passe, peut sécuriser vos données stockées localement. Cela vous donne probablement une sécurité de 99,99 %. Veuillez consulter l'un des nombreux guides sur la manière de procéder.

En plus de cela, c'est PAS possible pour protéger votre machine contre un pirate expérimenté ayant un accès physique.

• Les mots de passe des utilisateurs et des comptes :
  Il est facile de créer un nouvel utilisateur administrateur si vous démarrez en mode récupération, comme vous l'avez décrit vous-même, car vous obtenez un Shell root sans qu'on vous demande de mots de passe de cette façon.
  Cela pourrait ressembler à un problème de sécurité accidentel, mais il est destiné (qui l'aurait cru ?) aux cas de récupération, lorsque vous avez par exemple perdu votre mot de passe d'administrateur ou que vous vous êtes trompé dans l'enregistrement de l'adresse IP. sudo ou d'autres éléments essentiels.

• mot de passe root :
  Ubuntu n'a pas défini de mot de passe pour l'utilisateur root par défaut. Cependant, vous pouvez en définir un et il vous sera demandé si vous démarrez en mode récupération. Cela semble assez sûr, mais ce n'est pas encore une solution définitive. Vous pouvez toujours ajouter le paramètre du noyau single init=/bin/bash par Grub avant de démarrer Ubuntu qui le lance en mode mono-utilisateur - qui est en fait un Grub root sans mot de passe aussi.

• Sécuriser le menu Grub avec un mot de passe :
  Vous pouvez sécuriser vos entrées de menu Grub pour qu'elles ne soient accessibles qu'après authentification, c'est-à-dire que vous pouvez refuser le démarrage du mode récupération sans mot de passe. Cela empêche également de manipuler les paramètres du noyau. Pour plus d'informations, consultez le Site Grub2/Mots de passe sur help.ubuntu.com . Cela ne peut être contourné que si vous démarrez à partir d'un support externe ou si vous connectez directement le disque dur à une autre machine.

• Désactiver le démarrage à partir d'un support externe dans le BIOS :
  Vous pouvez définir l'ordre de démarrage et généralement exclure des périphériques du démarrage dans de nombreuses versions actuelles du BIOS/UEFI. Ces paramètres ne sont cependant pas sécurisés, car tout le monde peut accéder au menu de configuration. Vous devez définir un mot de passe ici aussi, mais...

• Mots de passe du BIOS :
  Vous pouvez généralement contourner les mots de passe du BIOS également. Il existe plusieurs méthodes :

  • Réinitialisez la mémoire CMOS (où sont stockés les paramètres du BIOS) en ouvrant le boîtier de l'ordinateur et en retirant physiquement la pile CMOS ou en activant temporairement un cavalier "Clear CMOS".
  • Réinitialiser les paramètres du BIOS avec une combinaison de touches de service. La plupart des fabricants de cartes mères décrivent dans leur manuel d'entretien des combinaisons de touches permettant de réinitialiser les paramètres du BIOS aux valeurs par défaut, y compris le mot de passe. Un exemple serait de tenir ScreenUp tout en allumant l'alimentation, ce qui, si je me souviens bien, a débloqué une fois pour moi une carte mère Acer avec BIOS AMI après que j'ai foiré mes réglages d'overclocking.
  • Enfin, il existe un ensemble de mots de passe par défaut du BIOS qui semblent toujours fonctionner, indépendamment du mot de passe réel. Je ne l'ai pas testé, mais ce site en propose une liste, classée par fabricant.
    Merci à Rinzwind pour cette information et ce lien !

• Verrouillez le boîtier de l'ordinateur/interdisez l'accès physique à la carte mère et au disque dur :
  Même si tout le reste échoue, un voleur de données peut toujours ouvrir votre ordinateur portable/ordinateur, sortir le disque dur et le connecter à son propre ordinateur. À partir de là, le monter et accéder à tous les fichiers non cryptés est un jeu d'enfant. Vous devez le placer dans une mallette fermée à clé où vous pouvez être sûr que personne ne pourra ouvrir l'ordinateur. Ceci est cependant impossible pour les ordinateurs portables et difficile pour les ordinateurs de bureau. Vous pouvez peut-être envisager de posséder un dispositif d'autodestruction semblable à celui d'un film d'action, qui fait sauter des explosifs à l'intérieur si quelqu'un essaie de l'ouvrir ;-) Mais assurez-vous de ne jamais avoir à l'ouvrir vous-même pour la maintenance !

• Cryptage complet du disque :
  Je sais que j'ai conseillé cette méthode comme étant sûre, mais elle n'est pas non plus sûre à 100% si vous perdez votre ordinateur portable alors qu'il est allumé. Il existe une attaque dite de "démarrage à froid" qui permet à l'attaquant de lire les clés de chiffrement dans votre mémoire vive après avoir réinitialisé la machine en cours d'exécution. Cela décharge le système, mais n'efface pas le contenu de la RAM si le temps d'inactivité est suffisamment court.
  Merci à kos pour son commentaire sur cette attaque !
  Je vais également citer son deuxième commentaire ici :

  Il s'agit d'une vieille vidéo, mais elle explique bien le concept : "Lest We Remember : Cold Boot Attacks on Encryption Keys" sur YouTube ; si vous avez défini un mot de passe pour le BIOS, l'attaquant peut toujours retirer la batterie du CMOS alors que l'ordinateur portable est encore allumé pour permettre au disque personnalisé de démarrer sans perdre une seconde cruciale ; cela est encore plus effrayant aujourd'hui en raison des SSD, car un SSD personnalisé sera probablement capable de vider même 8 Go en moins d'une minute, compte tenu d'une vitesse d'écriture de ~150 Mo/s.

  Question connexe, mais toujours sans réponse, sur la façon de prévenir les attaques de démarrage à froid : Comment faire pour qu'Ubuntu (qui utilise le chiffrement complet du disque) appelle LUKSsupend avant de dormir/se mettre en veille en RAM ?

Pour conclure : Actuellement, rien ne protège vraiment votre ordinateur portable contre son utilisation par une personne ayant un accès physique et des intentions malveillantes. Vous ne pouvez chiffrer complètement toutes vos données que si vous êtes suffisamment paranoïaque pour risquer de tout perdre en oubliant votre mot de passe ou en cas de panne. Le cryptage rend donc les sauvegardes encore plus importantes qu'elles ne le sont déjà. Cependant, elles doivent également être cryptées et placées dans un endroit très sûr.
Ou alors, ne donnez pas votre ordinateur portable en espérant ne jamais le perdre ;-)

Si vous vous souciez moins de vos données que de votre matériel, vous pouvez acheter et installer un émetteur GPS dans votre valise, mais cela est réservé aux vrais paranoïaques ou aux agents fédéraux.