Шифрование данных на диске

[Anhel]

Ребят,
есть такая задача: есть сервак (linux\BSD, склоняюсь в к FreeBSD). Его могут унести маски-шоу...
В этом случае надо, чтобы они ничего с него не смогли прочитать.

1) Думаю сделать шифрование и периодические бекапить данные куда-нибудь подальше

Как грамотно организовать шифрование, например, на FreeBSD?
Нашёл тут 17.16. Шифрование дисковых разделов, там пример шифрования отдельного раздела, но корневая ф.с. не шифруется.
доступ к /etc/gbde (а так же к /etc/passwd) - это угроза реальная?

2) Может есть более интересные варианты?

[Ленивая Бестолочь]

1. корневую ФС вообще редко шифруют. складируете все свои секреты на отдельный раздел и шифруете только его.
шифрование вещь ресурсоёмкая. чем меньше зашифрjвать, тем меньше сервер лагает.
плюс не зная ключ он всё же включится, что иногда бывает самому полезно. только раздел доступен не будет. а если корень зашифровать, то не включится.
2. другой вариант - расположить сервер географически удалённо, может быть даже в другой стране.
3. дело конечно хозяйское, но, на всякий случай предупреждаю, что впаяют за сокрытие вещественных доказательств лично Вам. не директору, который "приказал", не бухгалтерии, чьи секреты, а тому, кто своими руками нарушил закон.
так что, когда дойдёт до дела, вас просто вежливо попросят набрать пароль от зашифрованного раздела. и если вы скажете, что вы его не знаете, вам это сойдёт с рук только, если все кругом будут утверждать, что эту систему ставили не вы. такие дела.

[BIgAndy]

2) Может есть более интересные варианты?

Есть. Есть различные методы дознания, которые позволят вытащить из вас лично содержание террабайтного винта побитно, минуя систему шифрования...

[Xandry]

Ну там написано
"Создайте каталог для размещения файлов блокировок GBDE

# mkdir /etc/gbde
Файл блокировки gbde содержит информацию, которая нужна gbde для доступа к зашифрованному разделу. Не имея доступа к файлу блокировки, gbde не сможет расшифровать данные, хранимые в зашифрованном разделе, без значительного ручного вмешательства, что программно не поддерживается."

По моему отсюда можно сделать вывод, что жёсткий диск с файлами блокировки для gbde отдавать в таком случае нельзя. Не знаю, можно ли их хранить, например, на флешке, ведь в определённый момент при загрузке системе нужен будет доступ к файлам блокировки, а неизвестно, будет ли доступен в это время флешьк. Думаю, вы ведь не собираетесь его вручную монтировать вместе с зашифрованным разделом. Тут нужны уточнения от вас.

И всё-таки linux или bsd?

[Anhel]

Ну, есть плюс - я там официально не числюсь (и бываю редко), так что вариант с дознанием не прокатит
Поскольку вещь ресурсоёмкая, то, наверное, лучше FreeBSD с пересобранным под железо ядром.

Xandry, в том-то и дело, что будет доступ к /etc/gbde (а так же к /etc/passwd) - это угроза реальная?
надо, чтобы никто не добрался до данных
Вручную не хотелось бы, лучше всё автоматизировать...

[SLEDopit]

вас просто вежливо попросят набрать пароль от зашифрованного раздела

Даешь криптоконтейнер со скрытой областью! (howto)

[allez]

Ну, есть плюс - я там официально не числюсь, так что вариант с дознанием не прокатит

Как пусть и бывший, но все-таки мент, доверительно сообщу: следствию (а не дознанию - эти занимаются административными, но не уголовными делами) абсолютно по барабану, какие отношения связывают преступника и организацию, для пользы которой он совершает свое преступление. Если начнут шить дело, то вы получите самых больших и толстых люлей, как непосредственный исполнитель, а вот руководству могут ничего и не вменить - ни соучастия, ни даже подстрекательства. Директор скажет на голубом глазу: "Я не отдавал распоряжения это делать и даже не просил. Я просто спросил у гражданина из чисто академического интереса, возможно ли шифрование дисков с данными и не более того. А все остальное он наворотил по собственной инициативе, мне об этом не докладывая". Вот и все, он весь в белом, а в чем при этом окажетесь вы, думаю, говорить не надо. ;)

Кстати, то, что вы там официально не числитесь - совсем не плюс, а вовсе даже минус: вы не сможете прикрыть свой тыл, потребовав от руководителя письменное распоряжение на выполнение этой работы. Дело в том, что даже будучи написано, оно будет филькиной грамотой, не имеющей юридической силы, так как вы официально не являетесь сотрудником организации и подчиненным лицом, а значит, командовать вами никто не может и все ваши действия могут трактоваться, как совершенные по собственной воле. Как-то вот так.

[Anhel]

SLEDopit, truecrypt вещица интересная, благодарю!

allez, ок, учту. Скажу, что сокрытие было для воров (хотя в этой конторе сильных разборок я с паяльниками не будет)

[Ленивая Бестолочь]

i	Уведомление от модератора Ленивая Бестолочь
	господа (и дамы), дабы предупредить дальнейший оффтопик, предлагаю считать, что автору темы всё достаточно рассказали про паяльники. думаю более детально объяснять, чем это сделал уважаемый allez смысла нет.

[SLEDopit]

было для воров

:s/для/от/

чем это сделал уважаемый Anhel смысла нет.

:s/Anhel/allez/
:wq

поправил, спс. ЛБ.

[Xandry]

Xandry, в том-то и дело, что будет доступ к /etc/gbde (а так же к /etc/passwd) - это угроза реальная?
надо, чтобы никто не добрался до данных

Ну реальнее некуда. В вашем случае это всё равно, что дать вору ключ от квартиры.

[Ленивая Бестолочь]

Ну реальнее некуда. В вашем случае это всё равно, что дать вору ключ от квартиры.

ээээм.
чет я не понял.
ну получит вор хеши паролей. ну, допустим, даже он их подберёт. и что?
данные то зашифрованы на отдельном разделе. они от этого не расшифруются.

[drBatty]

есть такая задача: есть сервак (linux\BSD, склоняюсь в к FreeBSD). Его могут унести маски-шоу...
В этом случае надо, чтобы они ничего с него не смогли прочитать.

вам следует полностью перенести всю ОС в оперативную память. Она вообще не должна использовать диск для хранения временных файлов.

Саму систему шифровать НЕ нужно.

Используйте следующую схему:

1) зашифруйте разделы /var/ /home/ программой gpg, с асимметричным ключом.
2) сохраните секретный ключ на двух флешках.
3) уничтожьте оригинал ключа везде, кроме этих флешек.
4) проверьте, что система полностью грузится в память, и во время работы НЕ использует диск.
5) организуйте следующую схему включения:
5.1) после загрузки выскакивает меню для вставки флешки с секретным ключём
5.2) после получения секретного ключа и ввода пассфразы разделы /home и /var расшифровываютс, и распаковываются с диска, в память
5.3) после этого система стартует в обычно режиме.
6) организуйте следующую схему отключения/бекапа:
6.1) на сервере есть публичный ключ, потому разделы /home/ /var/ сервер может зашифровать и скинуть на диск
6.2) именно это он и делает перед выключением и по расписанию (для бекапа).
7) при масках шоу просто отключите сервер от питания любым способом.
8) предусмотрите возможность экстренного удалённого отключения без создания бекапа.
9) теперь ваш сервер никто не вскроет. Если у них нет флешек. В том числе и вы сами.
10) если флешки уничтожены, а система отключена - NoWay. В том числе и для вас.

PS: правила простые:
1) никогда не держите на дисках секретный ключ. его можно хранить на флешках, которые легко спрятать/уничтожить.
2) на дисках должны быть только зашифрованные бекапы, программы и OS.

[Nazyvaemykh]

кстати, как быстро и просто уничтожить флешку?

[BIgAndy]

кстати, как быстро и просто уничтожить флешку?

man H₂SO₄+HNO₃

[Nazyvaemykh]

Разве это растворяет кремний?

[BIgAndy]

Разве это растворяет кремний?

При чём тут кремний? До крмния еще много чего придётся разрушить.
Кстати, кремний тоже разрушит. Оксидирует его при нагревании.

[Xandry]

Ну реальнее некуда. В вашем случае это всё равно, что дать вору ключ от квартиры.

ээээм.
чет я не понял.
ну получит вор хеши паролей. ну, допустим, даже он их подберёт. и что?
данные то зашифрованы на отдельном разделе. они от этого не расшифруются.

Я всё про файлы блокировок gbde, а не про пароли. Судя по описанию, только они нужны для расшифровки, а если они будут лежать на том же диске что и шифрованные данные, то толку при изымании жд от шифрования будет уже мало.

[drBatty]

кстати, как быстро и просто уничтожить флешку?

man кувалда.

[Anhel]

Ну реальнее некуда. В вашем случае это всё равно, что дать вору ключ от квартиры.

Т.е. мануал фряхи бессовестно брешет?

Вне зависимости от того, как атакующий завладел выключенным компьютером, технологии gbde и криптографическая подсистема geli FreeBSD могут защитить данные файловой системы компьютера даже против очень заинтересованной атакующей стороны с достаточными ресурсами.

Да там есть ещё и GELI есть, оно поскоростнее в несколько раз будет судя по этим тестам

[drBatty]

Т.е. мануал фряхи бессовестно брешет?

напротив:

Однако права доступа, контролируемые операционной системой, не имеют значения, если нападающий получает физический доступ к компьютеру и может просто перенести жёсткий диск на другую машину для копирования и дальнейшего анализа важных данных.

[eddy]

man кувалда.

Помните забавную картинку "убийца локальных сетей"? На том же принципе можно сделать "убийцу флешек"

[Anhel]

drBatty, что значит напротив?
Сначала речь идёт про то, что если стащили комп, то права доступа не имеют значения.
А потом говориться, что если использоваться шифрование, то похер на то, что стащили комп.

Но Xandry, говорит, что даже при шифровании остаётся огромная брешь.
Вот и получается, что маниул вводит в заблуждение?

[eddy]

Да, манулы вводят в заблуждение. А потом, исподтишка, нападают...

А шифрованные разделы ФСБ задолбается взламывать - поэтому и придумали закон (?), запрещающий применение стойких криптоалгоритмов.

[Anhel]

я сам люблю поржать, но ребят, дело горит, скажите прямо - так является ли шифрование по мануалу фряхи уязвимым или нет?
и тему можно закрывать

[eddy]

является ли шифрование по мануалу фряхи уязвимым или нет?

Судя по мануалу, шифрование вполне стойкое. Так что, ФСБ его не одобрит
Слабым местом может быть только пароль.

Да, если маски-шоу обнаружат подобное шифрование, методов терморектального криптоанализа вам не избежать...

[Anhel]

Судя по мануалу, шифрование вполне стойкое. Так что, ФСБ его не одобрит
Слабым местом может быть только пароль.

Да, если маски-шоу обнаружат подобное шифрование, методов терморектального криптоанализа вам не избежать...

ха-ха, анализ блин
благодарю.
тему можно закрывать.

[eddy]

ха-ха, анализ блин

Это вам сейчас ха-ха, а как паяльник достанут, по-другому заговорите
И все пароли всмомните.

[drBatty]

Сначала речь идёт про то, что если стащили комп, то права доступа не имеют значения.
А потом говориться, что если использоваться шифрование, то похер на то, что стащили комп.

всё верно.
1. права доступа НЕ защищают от локальной атаки.
2. шифрование при отсутствии секретного ключа - защищают от локальной атаки.

Но Xandry, говорит, что даже при шифровании остаётся огромная брешь.
Вот и получается, что маниул вводит в заблуждение?

всё зависит от задач, которые стоят перед вами. Вы можете использовать множество средств, причём чем удобнее и прозрачнее защита, тем она менее устойчива.

Да, если маски-шоу обнаружат подобное шифрование, методов терморектального криптоанализа вам не избежать...

секретный ключ на уничтоженной флешке как раз и является защитой от РК.

И все пароли всмомните.

вы сможете вспомнить свой секретный ключ на 2048 бит? Вы его хоть раз видели?

[eddy]

вы сможете вспомнить свой секретный ключ на 2048 бит? Вы его хоть раз видели?

Я про passphrase, а не секретный ключ.

Ну, а уничтожение улик и препятствие следствию приведет лишь к еще худшим последствиям (как минимум - "повесят" пару-тройку дел).