Šifrovaný disk a webkamera Microdia s Kubuntu Hardy

20.9.2008 17:03 | Přečteno: 1172× | Postřehy

Včera jsem se odhodlal k radikálnímu kroku - po dvou letech jsem na svém notebooku nechal celý disk přepsat náhodnými daty a nainstaloval systém úplně odčerstva. Kubuntu 6.06, které jsem tu doteď měl, fungovalo skvěle a absolutně spolehlivě, faktem ale je, že za dva roky vývoj trošku pokročil a i v Kubuntu jsou běžné věci, které mi v Dapperovi chybějí. Navíc jsem během dvou let přišel na to, že by mi vyhovovalo trochu jiné rozdělení disku atd.

Aby to nevypadalo tak moc radikálně - mám zazálohovaný celý původní kořenový oddíl a všechny skryté soubory a adresáře z homediru. Nakolik jsem si s Hardym zatím hrál, zjistil jsem, že obsahuje taky některé "super extra" novinky, na které si budu asi dlouho zvykat (čtěte: "hledat, jak se toho ksindlu zbavit"). Jeden relativně malý .tar soubor je celkem příjemná pojistka klidných nervů.

Při instalaci jsem narazil na dvě zajímavé drobnosti týkající se šifrování disku. Když jsem vyzkoušel zabezpečení přístupu pomocí náhodného klíče (tzn. ne pomocí fráze - nevzpomínám si teď z hlavy jak se ta volba jmenuje), nástroj pro rozdělení disku nedokázal nastartovat. Možná by bylo stačilo si pohrát s ostatními parametry, těžko říct, neměl jsem zase tolik času, abych se tím zabýval důkladně.

Druhá věc, která mě už mírně překvapila, byla instalace zavaděče. Použil jsem celý disk jako šifrovaný svazek a v něm jsem pomocí LVM vyrobil filesystémy. Protože jsem zašifroval všechno, přichází v úvahu jedině instalace LILO a instalátor mi GRUB z expertní nabídky dokonce schoval, abych to ani nezkoušel. Vtipné ovšem bylo, že zatímco instalátor tvrdil, že instaluje LILO a že při tom dochází k neočekávané chybě, na čtvrté konzoli se vypisovala hlášení ve smyslu "grub-install: /boot is in LVM, cannot install". Jsem hloupý já, nebo je bug v instalátoru?

Ať tak nebo tak, opětovná instalace se samostatným a nezašifrovaným /boot byla v daný okamžik nejrychlejším řešením problému, i když teď ten paranoik někde uvnitř mé hlavy ječí, že jsem nemusel šifrovat vůbec a že teď stačí, aby mi někdo zlý s liveCD v ruce v nestřežené chvíli nahradil jádro upravenou verzí, která zachytí a bůhvikam pošle moji frázi k šifrovanému disku.

Zprovozněná webkamera

Největším úspěchem dnešního dne je ale něco jiného - konečně mi funguje vestavěná webkamera Microdia. Před dvěma lety k ní ovladač k sehnání nebyl a dneska už jsem to taky chtěl vzdát, protože jsem nejdřív našel jen uzavřený ovladač, který stojí 5 euro, autor ho posílá emailem poté, co si všimne, že mu na PayPal přistála platba a za zmíněnou cenu získáte binární verzi ovladače pro jednu konkrétní architekturu a jednu konkrétní verzi jádra.

Nic proti tomu, že někdo chce za svoji práci dostat zaplaceno, 5 euro není tak moc, ale fakt, že pouhá aktualizace jádra by pro mě znamenala nutnost zaplatit znova, se mi dost příčí. Nechat si za práci zaplatit, to považuji za autorovo základní právo; snažit se nechat si za jednu věc zaplatit víckrát, to považuji za špínu a radši budu bez webkamery, než abych přistoupil na takové podmínky. Nehledě na to, že distribuci placené verze prostřednictvím emailu poté, co si autor všimne, necítím jako dostatečně spolehlivé řešení.

Naštěstí jsem ale ještě chvíli hledal, a k mé velké radosti také našel. Na Zero Dogg's blog jsem se dozvěděl, že existuje svobodné řešení, které si každý může zkompilovat přesně pro ten kernel, který právě používá.

K instalaci stačí na čistém Kubuntu 8.04 provést tuhle sekvenci příkazů:

# Příprava
sudo apt-get install git-core curl ctags
git clone http://repo.or.cz/r/microdia.git
cd microdia

# Kompilace
make

# Okamžité zprovoznění
# sudo insmod ./microdia.ko

# Instalace do systému
sudo install -d /lib/modules/`uname -r`/misc
sudo install microdia.ko /lib/modules/`uname -r`/misc
sudo depmod -a
sudo modprobe videodev
sudo modprobe compat_ioctl32 # Pouze na 64-bitových systémech
sudo modprobe microdia

# Odstranění aplikací potřebných ke zprovoznění
# sudo apt-get remove --purge git-core libdigest-sha1-perl liberror-perl curl ctags

Pokud chcete zkompilovaný modul zavést z místa kompilace, neprovádějte část označenou, jako instalace, ale odkomentujte si řádek pro okamžité znovuzprovoznění. Podobně poslední příkaz berte jen jako inspiraci, ať mi pak nikdo nepíše, že mu po použití mého postupu něco přestalo fungovat. A ještě upozorňuji na příkaz sudo modprobe compat_ioctl32 - ten je potřeba provést jen na 64-bitových systémech.

Po zavedení modulu se vytvoří zařízení /dev/video0, které je normálně přístupné přes V4L, tzn. třeba takové Kopete nebo VLC si s ním poradí.

       

Komentáře

[Käyttäjä 11133]

Ať tak nebo tak, opětovná instalace se samostatným a nezašifrovaným /boot byla v daný okamžik nejrychlejším řešením problému, i když teď ten paranoik někde uvnitř mé hlavy ječí, že jsem nemusel šifrovat vůbec a že teď stačí, aby mi někdo zlý s liveCD v ruce v nestřežené chvíli nahradil jádro upravenou verzí, která zachytí a bůhvikam pošle moji frázi k šifrovanému disku.

Jenže podobně zběsilé řešení by mohl udělat i kdyby si měl šifrovaný celý root... jediná situace kdy by něco takového nešlo udělat je, že by si si nosil svůj /boot na flashce a zavaděč by si měl taktéž na té flashce, protože kdyby si měl zavaďěč na disku, tak by mohl k tomu disku přijít, zavaděč opatchovat tak, aby ve skutečnosti bootoval jiný kernel, než říká, že bootuje a tenhle patchnutý kernel by to heslo zaznamenal a v nestřežený okamžik při připojené síti by to heslo poslal tam kam útočník chce. A pak opět celá ta bezpečnost spoléhá na tom, že se nikdo nedokáže dostat k té flashce, která obsahuje kernel se zavaděčem. Ale přecijen tahat sebou všude flashku je o poznání jednodušší, než sebou tahat všude notebook, že

[Vojtěch Trefný]

Co takhle před odchodem z domova zavřít počítač do trezoru?

[Käyttäjä 11133]

A ten trezor se snad nedá otevřít v poměrně krátké době (v porovnání s prolomením kvalitního šifrovacího algoritmu je to opravdu krátká doba)?

[Ladicek]

Sebekvalitnější šifra je k ničemu, když útočník získá klíč, který je za běhu systému k disposici v paměti, jejíž obsah lze rekonstruovat i minuty a hodiny po vypnutí počítače, ne? Těžký dnes život paranoika

[Eregon]

Aby si dneska člověk pořídil ještě jedny oči, aby viděl i za sebe a mohl je mít otevřený, když spí

[Eregon]

Hmmm, paranoik tam uvnitř má o věc víc, se kterou na mě může řvát

[Käyttäjä 11133]

?

[Eregon]

No že mám mít zavaděč na flashce, tu můžu mít u sebe třeba i ve sprše, což se o mém notebooku říct nedá

[RapMan]

No kdyz jsi to vydrzel 2 roky, proc jsi nepockal jste mesic do Kubuntu 8.10?

[Eregon]

Protože

1. mimo jiné toto byla po dvou letech zhruba první příležitost, kdy to udělat, netroufám si odhadnout, kdy bude další
2. 8.10 nebude LTS *) a já s ohledem na bod 1. musím tak trochu počítat s tím, že ten systém mi bude sloužit další dva roky, možná i víc
3. možná je to jen můj dojem, ale v každé nové verzi *ubuntu se ještě tak měsíc až dva po vydání vychytávají všelijaké nepohodlné potíže, které by mě zbytečně zdržovaly, tzn. odteď bych měl čekat ještě necelý čtvrtrok - to bohužel nemám k dispozici

*) vím, že Kubuntu 8.04 LTS není, ale vzhledem k tomu, že Kubuntu = minimální instalace Ubuntu + kubuntu-desktop, Ubuntu 8.04 je LTS a KDE 3.5.9 se už nijak zvlášť nevyvíjí, je to pro mě dostatečně LTS

[belisarivs]

Pouzivam 8.10 uz od 4. alfy a jsem spokojen.

[Eregon]

Já mám rád svoji jistotu, že to prostě funguje - pokusy dělám radši na počítaích, se kterými netrávím tak velkou část své existence :) Každopádně ale, je v té 8.10 něco, co podle Tebe stojí za ten přechod?

[Jendа]

Protože jsem zašifroval všechno, přichází v úvahu jedině instalace LILO

Pochopil jsem to tak, že LILO by mělo umět natáhnout jádro a initrd ze šifrovaného oddílu? Jak to dělá?

[Käyttäjä 11133]

:D

[Jendа]

Takže nepochopil

Použil jsem celý disk jako šifrovaný svazek a v něm jsem pomocí LVM vyrobil filesystémy. Protože jsem zašifroval všechno, přichází v úvahu jedině instalace LILO a instalátor mi GRUB z expertní nabídky dokonce schoval, abych to ani nezkoušel.

Ono to z té věty docela vyplývá, tak mě to překvapilo.

Jinak já mám malý flashdisk s jádrem a GRUBem.

[RapMan]

A proc takova paranoia?

[Jendа]

Ále, zčásti proto, že jsem při instalaci nemyslel na zvláštní /boot (systém jsem šifroval až dodatečně).

[Eregon]

Já vážně nevím, jak jsi to pochopil, to se ptáš na nesprávném místě Podstatou věci bylo to, co je o pár vět dál - jednak že instalátor dělá něco jiného (GRUB), než co říká (LILO), jednak že to chce oddělený /boot. Pokud má někdo návod, jak zařídit šifrovaný disk včetně /boot, může to považovat za popíchnutí k jeho zveřejnění.

K té myšlence: třeba by LILO mohlo mít vlastní podporu šifrovaných disků? Fakt nevím, LILO jsem používal naposledy v Madrake 9.2, takže netuším, co umí dneska. Bylo to myšleno tak, že LILO se spouští komplet z MBR, tudíž se může aspoň spustit, zatímco GRUB se bez přístupného filesystému neobejde vůbec - pletu se?

Že by se podpora šifrování vlezla do MBR, to se mi taky nepozdává, na druhou stranu toto fakt není můj koníček - právě proto jsem instalaci prostě provedl znova s GRUB a s odděleným /boot a neřeším, jak to udělat jinak. Je to prostě jen takové konstatování, že ten instalátor by se v tomto směru dal vylepšit - když už umí zařídit šifrování i LVM, mohl by taky být schopný poznat, jestli bude ten systém jak zavést.

[abc]

A co takhle tahat sebou na flešce jen nějaký livecd s nějakým skriptíkem, který by otestoval důvěryhodnost(nezměněný oddíl, nezměněné soubory, nějaký ty md5sumy) oddílu /boot v případě záchvatu paranoi?

[Käyttäjä 11133]

To sebou rovnou můžeš tahat ten boot, ne?