Увага

Цей матеріал створено виключно в освітніх цілях та для розуміння операційної безпеки (OpSec). Автор не несе відповідальності за можливі дії третіх осіб.

У комп'ютерній криміналістиці та інформаційній безпеці існує метод, який доводить: оперативна пам'ять (RAM) не очищується миттєво після вимкнення живлення. Дані в ній зникають поступово — цей процес називається деградацією даних.

Як працює Cold Boot Attack

Суть методу полягає у використанні фізичних властивостей напівпровідників. За кімнатної температури дані в RAM можуть зберігатися від кількох секунд до хвилини після вимкнення пристрою. Однак, якщо планку пам'яті різко охолодити (наприклад, за допомогою звичайного стисненого повітря, перевернувши балончик), час «пам'яті» зростає до десятків хвилин.

Замороження оперативної пам'яті балончиком
Охолодження RAM балончиком зі стисненим повітрям

Це дозволяє криміналісту або зловмиснику діяти за простим алгоритмом:

  • Фізично витягнути планку пам'яті з пристрою.
  • Вставити її в інший (підготовлений) комп'ютер.
  • Зробити повний дамп (зліпок) даних для подальшого аналізу.

Що можна знайти в дампі оперативної пам'яті?

Оскільки RAM зберігає все, з чим працює система в реальному часі, там найчастіше залишаються найкритичніші дані:

  • Ключі шифрування (наприклад, від VeraCrypt, BitLocker або LUKS).
  • Паролі у відкритому вигляді.
  • Залишки листування, сесій браузера та відкритих документів.

Режим сну проти Повного вимкнення: Питання OpSec

Багато користувачів плутають стан пристрою, вважаючи «Сплячий режим» (Sleep/Standby) безпечним, оскільки екран заблоковано паролем. З точки зору операційної безпеки (OpSec), різниця між цими режимами критична:

  • Сплячий режим: Система залишається «напівзашифрованою». Ключі для дешифрування диска продовжують знаходитися в оперативній пам'яті, щоб комп'ютер міг швидко «прокинутися». Це робить пристрій ідеальною мішенню для атаки через RAM.
  • Повне вимкнення (Shutdown): Це єдиний стан, коли дані стають реально зашифрованими. Після припинення живлення ключі дешифрування стираються (хоча й не миттєво).

Головне правило безпеки: якщо виникає загроза фізичного доступу сторонніх осіб до вашого обладнання, єдиний надійний захист — це повне вимкнення живлення, а не переведення ноутбука в режим сну.