“При входе в сеанс /home/.ecryptfs/имя_пользователя/.Private монтируется в домашнюю директорию. Для этого используется зашифрованный пользовательским паролем ключ: /home/.ecryptfs/имя_пользователя/.ecryptfs/wrapped-passphrase. Дальше происходят синхронизация профиля пользователя и настройка его при необходимости.”
1) Тоесть после того как ты зашел в систему (Ввел логин и пароль) то автоматически происходит синхронизация и домашняя директория становится доступной для просмотра? Если так то получается что злоумышленник зная пароль пользователя без труда просмотрит нужную ему информацию. Если я правильно понял то можно ли использовать другой пароль? после того как залогинился в систему, еще запрашивал пароль на монтирования? Или вынести ключ на внешний носитель?
2) Если у пользователя зашифрована домашняя папка, то может ли рут просмотреть эту папку?
1) Используйте стойкие пароли. Это единственный способ защититься.
Даже если паролей будет десять - их все нужно вводить при каждом входе. Только дополнительное усложнеие процедуры логина и абсолютно бессмысленное.
2) Только если пользователь авторизовался в системе. Пока пользователь не авторизован, получить доступ к данным без пароля невозможно.
Если пользовательские данные хранятся на контроллере домена - они доступны админу, т. к. синхронизируются с сервером в незашифрованном виде. В таком случае, если, что оооочень странно, админу их видеть тоже не положено, было бы целесообразно синхронизацию отключить совсем - иначе шифрование опять же теряет смысл.
Если же синхронизация необходима, тогда теряют смысл все дополнительные пароли. Злоумышленник входит под паролем пользователя, но примонтировать контейнер не может. Система сравнивает файлы с сервером - они отличаются и синхронизирует их. Вуаля - у злоумышленника копия пользовательских данных.
Отсюда вывод - см. п.1
Если пользовательские данные хранятся на контроллере домена - они доступны админу, т. к. синхронизируются с сервером в незашифрованном виде.
Можно хранить данные на сервере в зашифрованном виде, и синхронизировать ДО локальной расшифровки. При этом: 1. Скорее всего синхронизировать придется гораздо большие объёмы. 2. Имея права root-а на сервере, или на клиенте (только на клиенте, если для шифрования используется пароль отличный от пароля аутентификации) можно настроить pam так, чтоб пароль открытым текстом ложился в лог или еще куда.
Так что от локального root-а это не спасет, но сложностей восстановления данных при потере пароля существенно добавит.
Хотя с другой стороны защитит данные пользователя при компроментации сервера
Насчет синхронизации зашифрованного контейнера в целом согласен. Это может быть решением но за счёт передачи потенциально большого объёма данных при синхронизации - а на обычных сетях в 100МБит даже пара ГБ превращается в проблему.
Имея рута на хосте с тем же успехом легко можно логировать и любую кастомную систему авторизации. Ту, что синхронизирует зашифрованный контейнер и монтирует его.
Хотя, не уверен, что такое возможно с тем же truecrypt.
НО! Что мешает, имея рут, запустить в крон простенький скрипт, который будет проверять, а не примонтировали ли чего в домашний каталог и всё, что примонтировано, куда-нибудь копировать?
Поэтому решением является только сильный пароль как рута, так и пользователя, а так же пароль на BIOS и пароль в GRUB - и никак иначе. Кроме того необходимо предотвратить физический доступ к жесткому диску ПК (опечатать, повесить замок на корпус, закрыть системник в сейф и т. п.).
А Ваша идея с двумя паролями лишь немного затруднит доступ к данным, но сильно затруднит реализацию самоей себя.
Чем сложнее система, тем она потенциально дырявее.
Значит особого смысла нету в шифровании с помощью eCryptfs.Узнают пароль от рута и вся информация открыта. А что подскажете для шифрования диска?
А что мешает установить руту достаточно стойкий пароль?
Ну и вообще какая стоит задача? На сколько важные данные?
Например можно просто создать в домашнем каталоге файловый контейнер truecrypt и монтировать его только тогда, когда он действительно нужен, а можно шифровать домашний каталог целиком.
Им же можно и диск целиком зашифровать.
Тут главный вопрос - насколько секретны ваши данные? Сколько усилий вы готовы приложить для сохранения их в секрете?
Потому что абсолютно любой вариант, допускающий физический доступ злоумышленника к машине, сводит все пляски с шифрованием на нет. Разве что полностью зашифрованный диск поможет.
Ну и абсолютной защиты нет. В крайнем случае терморектальный криптоанализ не подведёт тех, кому ваши данные поднадобились во что бы то ни стало
Александр, как я понял объяснения Артема по п.2 - то смысл в шифровании хомяка есть.
как минимум - при утере ноутбука в выключенном состоянии - все содержимое хомяка невозможно прочитать (при наличии более менее адекватного по сложности пароля).
а для командировочного ноутбука (читай - ноутбука в отпуске при переездах) - это очень хороший фэн-шуй.
п с:
если уж так припекло - можете работать с информацией с лайвсиди, загрузив его в ram, уж его то не модифицируют (загрузившись - можно проверить md5 образа и сравнить его с эталонной суммой md5 в уме (последние 3-5 цифр уж запомните)).
излишне говорить, что лайвсиди с необходимым набором программ можно легко собрать под свои нужды.
даже можете запускать образ лайвсиди через груб2 допустим с отдельного раздела жесткого диска, чем то это напомнит “встроенные” неубиваемые решения )))
а весь диск зашифровать подчистую и использовать как файлохранилище (truecrypt, LUKS, прочее).
Этот вариант достаточно просто реализуем даже обычному не-гуру юзеру.
А уж опытный юзер может такого наворотить… обычно параноики смотрят в сторону LUKS, ктото шифрует группу томов LVM, у кого то иные фантазии… интернет полон решений под любую модель угрозы с реализацией на любых популярных дистрибутивах.
в некоторых “искоропки” прямо в инсталяторе доступна опция полного шифрования диска - на память скажу, что это новые ubuntu (помоему уже два релиза прошло с этой фишкой), opensuse, debian.
изучите интернет, ответ на ваш вопрос шире, чем данный топик)
Ну не то что я параноик) в общем ситуация такая, в связи принятий новых законов и думаю в дальнейшем будет еще хуже, хочется обезопасить себя. Допустим если ноутбук изъяли правоохранительные органы, а ты не хочешь чтобы они капались там где им не положено. Или максимально им испортить настроние. Как то так. На работе сменилось начальство и неизвестно как новое себя поведет при проверках)
А что если вынести /root/ на флешку, можно ли будет без этого раздела залогиниться под root?
При включенном ноутбуке с закрытой крышкой так же проблематично будет что-то считать, потребуется пароль. Ещё можно добавить случай с масками шоу с изъятием железа или кражей компов. Да получат root, но толку-то.
Допустим если ноутбук изъяли правоохранительные органы, а ты не хочешь чтобы они капались там где им не положено. Или максимально им испортить настроние.
Это может только усугубить ваше положение, если у них найдется шарящий специалист, который сможет обнаружить ваш контейнер.
У вас обязательно потребуют от него пароль. Не дать пароль - препятствование следствию со всеми вытекающими.
А на сколько мне известно, их очень активно обучают. По крайней мере пиратскую винду от лицензионной они отличать умеют не только по наклейкам
Есть ещё один момент. Когда технику изымают, по правилам, положено сохранять её состояние на момент изъятия - т. е. если ноут включен, его нельзя выключать. Компы не выключать, как правило, не выйдет, но в общем и целом, вам никто не позволит размонтировать ваш контейнер, если к вам пришли в тот момент, когда он уже был примонтирован (разве что у вас под задом большая красная кнопка, которая вырубает всё при вставании :))
Хотя я таких продвинутых полицаев в нашеё деревне пока не встречал.
Самым действенным способом может быть разве что территориально удалённый контейнер (сервер, замурованный в стену, в машине в подвале по WiFi, в облаке). Выдернули сеть, - данные недоступны.
А что если вынести /root/ на флешку, можно ли будет без этого раздела залогиниться под root?
Вот поздно я спохватился, маски шоу изъяли ноутбук и телефон!
Хотя я по сути просто фрилансером был, просто был не в том месте не в то время. Очень жалею что не зашифровал ни домашку ни телефон. Правда спасибо googl и android т.к. как сказал Артем, они ничего не выключили и я удаленно стер все с телефона. Ничего собственно сушественного у меня там не было но: во-первых сам факт меня очень напрягает, делают что хотят, это в конце концов мои личные данные и плевал я на их заказные дела, во-вторых знаю я этих созданий в погонах и без них (особенно наши), для них был бы человек а статья найдется, с ними нет права на ошибку найдут какую нибудь картинку или еще что и доказывай что ты не лось! В общим мое мнение ни грамма им информации ни при каком раскладе!!!
На счет не имеешь права им говорить - я не сказал и ни чего не было, пригрозили тем что будут долго и нудно ковырять а так бы быстро отдали (думаю не правда хоть и похоже, врать он мостаки).
Я так понял по этому методу что факт входа в систему является ключем для дешифратора, верно? Было бы здорово если бы он хранил аналогичный ключ у себя т.е. сверял из в момент запуска, тогда chroot не помог бы злоумышленникам.
Относительную безопасности, для себя вижу так:
а) шифровать весь диск или раздел не считаю приемлемым в силу уменьшения скорости и лишней нагрузки на систему. Шифровать домашнюю самое оно для обычных людей, там весь кеш и т.д. а на исполняемые файлы плевать. В итоге разница в производительности практически не заметна. Думаю если человек привык уже к отзывчивости системы, то шифруя весь диск он сразу заметит разницу и это будет его напрягать.
б) Маленький тайм аут блокировки экрана и привычка локировать хоткеями его.(можно привязать всякие приблуды типа как у Apple Microsoft с телефоном, отошел на метр все заблокировалось).
Если все прям совсем серьезно, то можно вынести ядро с ключем на флешку или удаленный адрес. Вставил флешку, система запустилась положил в карман, ни кто не догадается. Кстати таким макаром можно настроить две домашних директории одна фейковая для дефолтного запуска а вторая рабочая зашифрованная с ядра на флешке. По моему truecryp шифрует так что раздел похож на пустой, ни кто и пытать не будет! Так же я думаю можно накидать скрип на 2-3 не верных ввода пароля который запустит стирание если вы боитесь пытки паяльником. В общем варианты есть.
Вот поздно я спохватился, маски шоу изъяли ноутбук и телефон!
Сочувствую. Для изъятия повод всегда найдётся, это факт, тоже через это успели пройти. Ноутбуки интересуют больше чем ПК, их и вынести проще и стоят как правило дороже. Шифрования /home поддерживаемое в CL должно быть достаточно.
Классная идея сереть удалённо с телефона Ещё один плюс переводить нутбук в ждущий, а не в спящий режим. Блокировка должна наступать при закрытии крышки, параллельно экономя заряд батареи. Ну а если нужно отойти, то по клавише, в кальке для этого преднастроена везде Scroll Lock.
P.S. Поменяйте пароли к сайтам, sim карту я думаю вы уже заблокировали.
