1.В Винде есть программа Predator, которая позволяет использовать флэшку в качестве ключа для запуска системы на компютере. Полночи гуглил, но ничего не нашел подобного для Линукс. М.б. подскажет кто-нибудь - есть ли подбные фичи для Линукс?
2. "Криптономикон" Н.Стивенсон (написан в 1999году) : Герой шифрует компьютер 4096-битным ключем. Я слышал только о максимально 256-битном ключе. Такое реально? И если да, то как и чем он реализовывается?
:|
LinuxForum.Fans
Флэшка-ключ
Автор: Oleg65
28 сообщений
2566 просмотров
diablopc, про это уже гуглил, это не совсем то (здесь сеанс пользователя, если нет флэшки, то просит ввести пароль), надо, что бы ОС грузилась только при вставленной флэшке, а без нее - никак не грузилась.
Oleg65, снести загрузчик с диска и установить его на флешку. Загружаться с флешки.
2. "Криптономикон" Н.Стивенсон (написан в 1999году) : Герой шифрует компьютер 4096-битным ключем. Я слышал только о максимально 256-битном ключе. Такое реально? И если да, то как и чем он реализовывается?
:|
Вполне реально. Вот только длинные ключи (точнее, прогаммы их поддерживающие) подпадают под различного рода "экспортные" ограничения. Большой брат должен иметь возможность прочитать то, что ты зашифровал. Так что для "гражданского" примения - ключи короткие. Ну а для серьезных систем, для всякого рода гостайны - там реализована поддержка уже и более длинных ключей.
снести загрузчик с диска и установить его на флешку. Загружаться с флешки.
тогда я приду не просто с флешкой с загрузчиком на борту, а с лайв флешкой. :D и все тайны ваши идут лесом.
и не слова о защите через БИОС от несанкционированной загрузки. :D
в чем собственно идея такой флешки?
вот это почитай, или вот ещё интересная штука не могу вспомнить сейчас, но есть свободная реализация этой технологии. А так уже сказали загрузчик на флешку
[quote="Rizado"]снести загрузчик с диска и установить его на флешку. Загружаться с флешки.
тогда я приду не просто с флешкой с загрузчиком на борту, а с лайв флешкой. :D и все тайны ваши идут лесом.
и не слова о защите через БИОС от несанкционированной загрузки. :D
в чем собственно идея такой флешки?[/quote]
Ну я, как бы, представляю себе запуск POST, а потом тормоз, пока не вставишь флэшку-ключ для загрузки Граба. Ведь теряется весь смысл, если Граб загрузился (войдя в Граб можно изменить пароль входа)
Oleg65, снести загрузчик с диска и установить его на флешку. Загружаться с флешки.
Ну что-то типа того, загрузчик на флэш, а ОС - на харде. Или запороленая загрузка Граб(ключ на флэшке)
Ну здесь будет видно, что ОС загрузилась и дело в пароле, т.е. принципиально то же самое, что и предлагал diablopc,или вот ещё интересная штука
Oleg65, стоит оставить бредовые фантазии такого даже под маздаем я не припомню. Какова цель ? Перекрыть несанкционированный доступ к машине? Тогда возьми куб из брони 30-3000 мм помести в него системник, залей эпоксидной смолой, закопай на глубину 18 метров, сверху построй 30-ти этажный дом и отдай его прокуратуре или фсб и главное никогда его не включай!
А по теме уже все сказали:
1. LVM с шифрованием на ФС.
2. Загрузчик на флешку+ какой нибудь донгл(они все коммерческие продукты если чё)
3. Пароль на биос.
Всё!
Больше вариантов для домашнего рукоблудия не существует в природе. Всё остальное это коммерческие решения за тучу убитых енотов.
P.S. и да, что это за тайны которые нужно так защищать? Не проще ли пристрелить живых свидетелей а комп для надежности сжечь в мартене? Паранойя кстати не излечима, но есть препараты снижающие негативные последствия этого заболевания, имеет смысл обратится к соответствующим специалистам *HI*
Если у тебя паранойя, то это не значит, что за тобой не следят. :DПаранойя кстати не излечима, но есть препараты снижающие негативные последствия этого заболевания, имеет смысл обратится к соответствующим специалистам *HI*
Не просто LVM с зашифрованной ФС, а корень на LVM, /tmp в память, /boot на флешку (тоже можно зашифровать, лишь бы загрузчик умел шифрованные разделы. Ну и да, загрузчик тоже под пароль, плюс из EFI все лишние ключи повыкидывать, разрешив загрузку только с данной флешки. И чем нестандартнее метод шифрования и файловые системы, тем сложнее будет разобраться.
Я как то так делал. Создал шифрованный lvm том и внутри него разметил корень со свопом, а /boot установил на флешку. В итоге без флешки система не грузилась, а если бы кто полез проверять жесткий диск, то увидел бы просто бессвязный набор нулей и единичек. Имеет смысл также на компе рядом держать винду, что бы не так подозрителен был пустой жесткий диск.
diablopc, про это уже гуглил, это не совсем то (здесь сеанс пользователя, если нет флэшки, то просит ввести пароль), надо, что бы ОС грузилась только при вставленной флэшке, а без нее - никак не грузилась.
просто пишешь в /etc/pam.d/common-auth required вместо sufficient и не будет пускать, пока флешку не вставишь...
Ну здесь будет видно, что ОС загрузилась и дело в пароле, т.е. принципиально то же самое, что и предлагал diablopc,
читай, что напсал gramozeka + раздел ещё можно шифровать по ключу, и расположить его на флешке...
2. "Криптономикон" Н.Стивенсон (написан в 1999году) : Герой шифрует компьютер 4096-битным ключем. Я слышал только о максимально 256-битном ключе. Такое реально? И если да, то как и чем он реализовывается?
не стоит черпать знания из художки... в одном фильме так сервер ping'ом взломали... в зависимости от контекста, для блочных шифров 256-битного AES'а хватит ещё лет на 20-30... для асимметричных схем 1024-бита сейчас считаются минимальным безопасным, 2048-битный ключ — рекомендуемым...
. В итоге без флешки система не грузилась, а если бы кто полез проверять жесткий диск, то увидел бы просто бессвязный набор нулей и единичек.
то что на диске luks-раздел он то увидел бы...
GnuPG с RSA нет? Там максимальная длинна ключа 4096 бит.Герой шифрует компьютер 4096-битным ключем. Я слышал только о максимально 256-битном ключе. Такое реально? И если да, то как и чем он реализовывается?
Спасибо всем, будет о чем почитать и с чем поэксперементировать на зимних "каникулах". Дело не в паранойе, просто подумал: если украдут ноут? Ладно, у меня ничего секретного, но у кого-то какие-то проекты в ноуте, ноут украли, а проекты где-то всплыли (ну чуть измененные). Обидно ведь. o_O
Ладно, у меня ничего секретного, но у кого-то какие-то проекты в ноуте, ноут украли
А я-то уж подумал "хакиры!" Тут хватит и EncFS.
Гггг, да просто поставить систему на флэху и таскать ее за собой, а если серьезно, то сомневаюсь что та же мастдайка в безопасном режиме тоже не загрузится при установленом предаторе.... Но, блин, ставить винду ради "проверить" не буду)Не просто LVM с зашифрованной ФС, а корень на LVM, /tmp в память, /boot на флешку (тоже можно зашифровать, лишь бы загрузчик умел шифрованные разделы. Ну и да, загрузчик тоже под пароль, плюс из EFI все лишние ключи повыкидывать, разрешив загрузку только с данной флешки. И чем нестандартнее метод шифрования и файловые системы, тем сложнее будет разобраться.
в чем собственно идея такой флешки?
Здесь терминологической подход и ничего более. Обычным порядком работать на компьютере может тот, кто "знает" (как правило, пароль доступа). В системх защиты от несанкционированного доступа принято считать, что этого маловато будет и концепция "я знаю" дополняется концепцией "я имею". Иметь можно что угодно, флешку, e-token, таблетку от DallasLock, смарт-карту какую... Неважчно что, но только владелец этого нечта будет допущен к процедуре регистрации в системе. То есть, происзодит то, что в узких кругах "специалистов" по этой теме называется усиленной аутентификацией. На этом усилении аутентификации внешними приблудами построен рынок отечественных сертифицированных средств защиты информации от несанкционированного доступа (СЗИ от НСД). Потому как убери эту доп-таблетку юзерскую, от ихних СЗИ останется то, что забесплатно делает любая операционная система в части разграничения доступа.
Войдите или зарегистрируйтесь, чтобы ответить.
