Шифрование и уничтожение данных (посоветуйте решения)

[BaBL]

Есть HDD (сейчас ставлю туда Debian Lenny), на этом жестком диске будет раздел с приватными данными, которые не должны попасть в чужие руки. Фактически необходима схема:

нажал кнопку (по сети, ssh это будет или мож еще что)
данные потеряны и уничтожены

и это все должно происходить очень быстро

в общем-то есть вариант килять раздел fdisk'ом, но надежным он мне не кажется совсем. Смотрю описание DBAN, но особо не впечатляет, закатывать все это дело рандомом оно будет долго.

пока собираюсь зашифровать раздел через dm-crypt (кстати можно ли как-то вынести ключ на usb накопитель? Подключена флешка - система стартует и монтирует, не подключена - сервер с пустым разделом), но хотелось бы с полным киллингом.

[Kasper_WPS]

Есть HDD (сейчас ставлю туда Debian Lenny), на этом жестком диске будет раздел с приватными данными, которые не должны попасть в чужие руки. Фактически необходима схема:

нажал кнопку (по сети, ssh это будет или мож еще что)
данные потеряны и уничтожены

и это все должно происходить очень быстро

в общем-то есть вариант килять раздел fdisk'ом, но надежным он мне не кажется совсем. Смотрю описание DBAN, но особо не впечатляет, закатывать все это дело рандомом оно будет долго.

пока собираюсь зашифровать раздел через dm-crypt (кстати можно ли как-то вынести ключ на usb накопитель? Подключена флешка - система стартует и монтирует, не подключена - сервер с пустым разделом), но хотелось бы с полным киллингом.

Быстро и надежно данные уничтожить не удастся. Если вы сделаете контейнер шифрованный задача упростится, реализовывается с помощью pam_usb на сколько я помню или просто вход по флэхе.
P.S.: Для уничтожения данных используются специальные устройства похожие на печи, мощное ЭМ излучение в один момент делает непригодным винт для чтения. Использование программных методов уничтожения затратно, в основном из-за времени. Если вы делаете какой-то серьезный проект, то Вам необходимо будет получать сертификат ФСТЭК. Для работы со средствами шифрования сертификат и лицензию от ФСБ на деятельность связанную с криптографическими системами, т.е. если Вы работаете в гос. учреждении, то желательно приобрести готовое, сертифицированное решение.

[rm_]

BaBL
Физически нельзя за секунды перезаписать нулями или рандомом весь диск. Это займёт как минимум час, а то и два.
Как вариант - подумайте о том, чтобы уничтожать/перезаписывать не данные, а ключ (он-то очень маленький).
Если ключ уничтожен, никто, даже Вы, не сможет диск расшифровать при всём желании.
Либо, можно обратить внимание на специализированные убивалки мощным магнитным полем, вот например:
http://www.ixbt.com/storage/hddterminator.shtml

[Kasper_WPS]

Опять же, Вам необходимо определить риски, стоимость потери информации, т.е. попадания в чужие руки и т.д. Исходя из этого следует подбирать решения.

[BaBL]

Опять же, Вам необходимо определить риски, стоимость потери информации, т.е. попадания в чужие руки и т.д. Исходя из этого следует подбирать решения.

компания коммерческая, не гос, сертификации не требуются. Информация потеряна на будет, как минимум есть суточный бекап в другом месте, пока остановился на решении dm-crypt aes с ключом на usb флешке. Что-нибудь из серии cryptsetup --key-file /media/flash/var.key

[Kasper_WPS]

Опять же, Вам необходимо определить риски, стоимость потери информации, т.е. попадания в чужие руки и т.д. Исходя из этого следует подбирать решения.

компания коммерческая, не гос, сертификации не требуются. Информация потеряна на будет, как минимум есть суточный бекап в другом месте, пока остановился на решении dm-crypt aes с ключом на usb флешке. Что-нибудь из серии cryptsetup --key-file /media/flash/var.key

Вам хорошо ))) Вот думаю ПРИБОЙ купить. Интересный прибор. Благодарю за ссылку, rm_

[BaBL]

В общем создал зашифрованный раздел, в rc.local загнал /usr/local/bin/private с содержимым:

#!/bin/bash
mount /dev/sdb1 /etc/key/ && cryptsetup --key-file /etc/key/3dl.key luksOpen /dev/sda8 private && mount /dev/mapper/private /mnt

в /etc/key/3dl.key (без флешки) загнал еще рандому, чтоб не пусто было, мало ли что случилось... был ключик и при ребуте побился там...

проверил, без флешки в /mnt пусто и private не срабатывает, с флешкой все ОК и отдельно выполняя и при загрузке.



Мож еще что посоветуете? Или решения поизящнее?

[sirocco]

Простите за оффтоп...
http://www.xkcd.ru/538/

[rm_]

Или решения поизящнее?

О.о
Конечно есть.
man crypttab

[BaBL]

Или решения поизящнее?

О.о
Конечно есть.
man crypttab

хм... век живи, век учись. Спасибо! а слона то я и не приметил.

[Doublespace]

Или решения поизящнее?

О.о
Конечно есть.
man crypttab

хм... век живи, век учись. Спасибо! а слона то я и не приметил.

Если не надо шифровать целиком раздел, encfs бывает поудобнее. А размонтирование можно повесить на горячую клавишу

[pelmen]

есть интересная статья про шифрование. Ищи в гугле "Продвинутый способ шифрования разделов в Linux, или мной овладела паранойя."