Šifrovací nástroje na flash disk - dotaz (diskuse)

[Miso]

Už nějakou dobu přemýšlím o tom, že by bylo vhodné (pokud možno dokud to ještě není nelegální) vytvořit nebo najít nějakou sadu bezpečnostních nástrojů, která by se dala nosit neustále u sebe na flash disku. Tenhle koncept podle mého názoru vyžaduje, aby nástroje byly buď multiplatformní, nebo aby na disku byl separátní operační systém.

Uz dlhsiu dobu planujem na toto napisat HOW TO ale prakticky ani netreba - staci na USB disk nakopirovat extrahovanu verziu Truecrypt (win) a konzolovu verziu Truecrypt pre Linux (%usbdisk/bin/windows, /bin/linux/32 a /bin/linux/64) a vytvorit si subory mount(32/64).sh/mount.bat a umount(32/64).sh/umount.bat podla toho v ktorom som prostredi a jeden kontajner napr. data.tc a prisposobit si tie skripty napr. takto:
mount.bat

/bin/windows/truecrypt /q /v data.tc

umount.bat

truecrypt /q /dx

ale musel by som nad tym sadnut a nahodit parametre pre linux aj windows skripty

[Jendа]

Chtěla bych se zeptat jestli nevíte zda něco takového již neexistuje (při zběžném hledání jsem nic nenašla)

TrueCrypt, ale vyžaduje to admina/roota. Zajímavější by bylo něco, co dokáže běžet i pod neprivilegovaným uživatelem a vyrobí to třeba WebDAV server. Technicky to možné je, ale nevím o tom, že by někdo něco takového vytvořil.

Samozřejmě se jedná jenom o ochranu před ztrátou flashky a jejím náhodném nalezení cizím útočníkem na ulici - žádná vyšší bezpečnost takhle zajistit nejde, protože to budeš připojovat na nedůvěryhodných počítačích. Trochu by pomohlo nosit si vlastní systém (live distro), ale ne všude se dá nabootovat.

nebo co za progamy byste doporučili pro takový projekt a kde bych mohla začít

GPG + cokoli, v čem půjde implementovat custom WebDAV.

Nakolik je vhodné mluvit o složitějším šifrování s dětmi ve věku 11 - 18 let na letním táboře.

Pokud je to generický tábor, asi bych NEpopisoval, jak funguje RSA :). Nějaké vzdělání v této oblasti (z uživatelského hlediska) je ale samozřejmě více než záhodno. Akorát netuším, jestli budou dávat pozor, budou to chtít pochopit („jsme na táboře, ne ve škole“) a dokážou to v rozumném čase pochopit. (téměř určitě ne, alespoň co vidím u spolužáků)

Je trochu extrém jít až k tomu, že se jim rozdají nástroje, pomocí kterých si mohou zajistit jistou bezpečnost?

Je, v době, kdy má snad každý přístup k Internetu, je nějaké rozdávání nesmysl.

[Jendа]

Přidal jsem to do challengí. Feel free to pick one ;)

[Miso]

To je super vec take nieco si pisat co treba spravit. Asi nejake moje projekty tiez zverejnim. :D

[masožravá palma]

Jde mi třeba o to aby se kdekoliv dal zašifrovat nějaký dokument. Operační systém s vlastním bootem mi pijde z hlediska bezpečnosti také lepší.

Na GPG jsem myslela také. je to podle mě velmi dobrý nástroj.

Technický popis fungování RSA jsem rozhodně na mysli neměla, vzhledem k šifrování na počítačích podle mě není ani tak důležité vědět jak konkrétní algoritmy přesně fungují, ale spíš vědět a osvojit si zíkladní návyky, které v důsledku vedou k větší bezpečnosti u jakékoliv šifry. Rozhodně bych to nechtěla prezentovat formou přednášky, ale spíš pomocí her a názorných příkladů. Proto také ten flash disk.

Flash disky jsou docela levné a fyzická věc mi vždycky přišla jako dobrá připomínka užitečných zvyků. Když jim řeknu je vhodné být paranoidní, ověřovat certifikáty, důležité věci šifrovat, nástroje si můžete stáhnout tam a tam - i kdyby to bylo jen jedno místo, kde jsou všechny nástroje pohormadě, tak jestli si to stáhne jeden a vyzkouší to tak to bude docela úspěch, když ale něco dostanou tak se na to kouknou skoro všichni a možná si dva tři lidi zapamatují i vhodné chování.

[Jinan Dvoulalocny]

Osobně bych příliš neuvažoval o šifrování, nemám-li zajištěnou bezpečnost stroje, se kterým pracuji. Keylogger, rootkit, spyware, atd., takže bych se spíše vydal cestou live systému na flešce než nástrojů, které lze spustit v potenciálně kompromitovaném systému.

Asi by šlo remastrovat Ubuntu live CD, přidat tam potřebné nástroje a hodit to na flešku. Nebo zkusit Tails - https://tails.boum.org/, což je live CD s Torem a prý i šifrovacími nástroji... to ale asi nebude v češtině.

Co se týče výuky, hodně bych se asi zaměřil na obecné a základní bezpečnostní návyky (když někam zadávám osobní údaje, ověřit HTTPS, tvorba bezpečných a zároveň zapamatovatelných hesel, nikomu nepůjčovat přihlašovací údaje, nepřihlašovat se ke službám z nezabezpečeného počítače, dávat si pozor, s kým komunikuji a co o sobě publikuji na webu, atd.).

Něco málo o šifrování se dá taky přihodit. Ale jen samotný výčet problémů (leaky do swapu, recent documents, leaky do temp files, u diskového šifrování navíc cold boot attack, evil maid attack, atd.) bude asi komplikovaný a ne úplně jednoduše stravitelný.

[Miriam]

Podle mě to taky nemá cenu, pokud nejsou děti jako tady Jenda, ten se chtěl kdysi ve 12 dívat na porno, našel jedno pěkný dětský, ale zároveň zjistil, že je to nelegální obsah, tak se naučil šifrovat disk. Kdo to potřebuje, naučí se to sám - možná by pomohlo navedení typu: "Jsem tady pro vás, jsem paranoidní a všechno šifruju, pokud se chcete zbavit mrtvoly, ráda pomůžu."

[#Tom]

Qemu podporuje síťovou komunikaci, a lze v něm pustit systém obsahující šifrovací nástroje. Novější verze dle dokumentace umí vytvořit obraz disku nad zadaným adresářem (asi jen pro čtení), a emulovat systému uvnitř SMB server nad zadaným adresářem. To by mohlo posloužit jako téměř hotové řešení, i když s nevalným výkonem.

[Jendа]

Takže místo WebDAVu budeme rovnou emulovat celý operační systém? A jak je to se sítí, když nemám roota? Já nevím, ale přijde mi to takové suboptimální :).

[#Tom]

Qemu běží jako běžný uživatelský proces. Síť funguje s omezeními, která jsou vztažena na běžného uživatele, takže třeba nefunguje plnohodnotně ping. Ve výchozím nastavení se síť chová jako NAT, takže na server spuštěný v emulátoru se zvnějšku nedá připojit přímo, šifrované soubory by tak bylo potřeba používat v emulátoru.

[gtz]

existují přece flash disky které mají nativní šifrování od výrobce? apps jsou jen pro widle ale fungují.

[Jendа]

Najdi si 26c3-3703-en-exposing_crypto_bugs_through_reverse_engineering.mp4

[gtz]

Já vím, že tyto disky mají své bezpečnostní mezery, ale je to jak psal pro děcka. Tedy pro ně by to mělo stačit. Jistě jsou i nativní disky s AES256, ale ty nejsou za pár korun.

[xm]

Děcka by se právě v prvé řadě měla naučit, že nemohou důvěřovat uzavřenému proprietárnímu šifrování, protože je víc než vysoká pravděpodobnost, že tam firma bude mít zadní vrátka (příkladem budiž třeba BlackBerry, kde se šifruje komunikace, ale firma k ní má stejně hlavní klíč a některé státy už si pokud vím vymohli rozšifrování).

[regine]

How to use TrueCrypt®-encrypted Windows system drives on Linux

[Jendа]

To je nějaké zvrácené, ne? Nebo čeho se to týká? TrueCryptu je jedno, jestli byl svazek vyrobený na Linuxu nebo na Windows.

[Kvakor]

Pamatuju na Incognito, což bylo linuxové live CD zaměřené na bezpečnost a anonymitu. Bohužel už neexistuje (web není dostupný), ale podle Wikipedie jsem dohledal jeho nástupce - The Amnesic Incognito Live System. Případně, pokud vám nevadí, že to mají na svědomí američtí třípísmenkoví hoší (v tomto případě DoD), tak je tu Lightweight Portable Security, které je navržené jako bezpečný síťový klient (resp. koncový šíťový uzel).

To, jak budou mladí brát věci jako šifrování a bezpečnost obecně, by mně taky zajímalo. Většinou jsem byl během rozhovoru na podobné téma označen za paranoika, ale zaprvé to bylo spíš od osob 18+ (s dětmi 11-18 moc do styku nepřijdu) a za druhé to téměř vždy byly Facebook-happy osoby.

PS: Mám silný pocit, že ten poslední odstavec (nebo velmi podobného) jem už někde četl, ale místo šifrování a nástrojů zajišťujících bezpečnost se tam mluvilo o jistých biologických záležistech a ony nástroje na ochranu byly čistě hardwarové povahy

[loki]

Urcite by se jim hodilo vysvetlit alespon zaklady, ktere bezne vyuziji bezne na webu: certifikaty, certifikacni autorita, verejny a privatni klic... Dobre by bylo jim take osvetlit zasady tvorby bezpecneho hesla, rozdil mezi http a https, vysvetlit jim pojem email phishing a spyware.

[lorenzo]

Nakolik je vhodné mluvit o složitějším šifrování s dětmi ve věku 11 - 18 let na letním táboře.

Je to letní tábor, takže se účastníci nejspíš chtějí v první řadě bavit. Pokud to není tábor pro lidi s velkým zájmem o danou problematiku, tak bych to vůbec nezmiňoval, protože si k tomu tak maximálně vytvoří odpor, že je s tím někdo otravuje o prázdninách.

[xkucf03]

Záleží, jak to uvedeš – důležité je k tomu dát příběh a praktické dopady – např. si chceš koupit něco přes Internet, kdyby se nešifrovalo, útočník odposlechne heslo nebo číslo kreditky a bude nakupovat za tvoje peníze. Nebo firma, která se chystá uvést nový produkt/službu a posílá si o tom e-maily mezi pobočkami, konkurence to odposlechne…, nebo něco osobního – řešíš nějaké důvěrnosti s kamarádkou po e-mailu/IM a nějaký umaštěný znuděný ajťák pracující u poskytovatele se nad tím náramně baví a pak to ještě hodí do nějaké diskuse, aby se nad tím mohli zasmát i ostatní, to jistě nechceš. Příkladů se dá najít spousta.

I kdyby šifrování zachránilo soukromí jediného člověka, má smysl

Důležité také je, že šifrování prakticky nic nestojí, výkon počítačů je víc než dostatečný*, všechen potřebný software je k dispozici zdarma a jako svobodný SW, používání je celkem jednoduché… jediné, co chybí, jsou znalosti – jednak vědět, co všechno se může stát a proti čemu se vlastně člověk chrání a jednak jak na to, včetně takových banalit, jako že druhé straně máš dát svůj veřejný nikoli soukromý klíč nebo že Base64 není šifra, přestože je na první pohled nečitelný. Proto je důležitá ta osvěta a vzdělávání.

Určitě je dobré dětem vysvětlit rozdíl mezi symetrickou a asymetrickou kryptografií, vysvětlit soukromé a veřejné klíče – z uživatelského hlediska, ne algoritmy. A věřím, že je to bude i bavit – jen je potřeba vysvětlit tu motivaci, proč to vlastně děláme (viz první odstavec) a ne jenom říct: budeme šifrovat, protože proto, a cpát do nich nějaké teorie a bloková schémata.

*) pokud tedy nepotřebuješ šifrovat gigabitovou nebo rychlejší linku s nepřetržitým provozem

[Jendа]

Už jsi někdy učit šifrovat naprostého BFU, ale ne tak, že bys mu to sám nakonfiguroval, s jeho komunikačními partnery ručně vyměnil klíče a jemu to pak „samo fungovalo“, ale tak, že by si to musel sám nasetupovat? Pak nemůžeš prohlásit, že je to „celkem jednoduché“.

[xkucf03]

Např. podle tohohle mého článku začalo pár BFU používat SSH klíče. Jinak to (třeba GPG) ale bylo s mojí asistencí, to je pravda. Asi by to chtělo nějaký obrázkový návod i pro vygenerování GPG* klíčů (Seahorse, Kleopatra) a používání poštovního klienta. Před tím by ale uživatel měl mít ty základní teoretické znalosti – ne algoritmy, ale symetrická vs. asymetrická kryptografie, soukromý vs. veřejný klíč, smysl hashovacích funkcí atd. – aby věděl, proč si generuje pár klíčů a nestačí jeden nebo proč a jak má kontrolovat to ošklivé divné číslo jestli odpovídá…

A třeba takové šifrování disku tím, že zatrhneš jednu volbu a zadáš heslo při instalaci nějaké té GNU/Linuxové distribuce, celkem jednoduché je, ne?

*) pro S/MIME už je, akorát tam je generování klíče na příkazové řádce – on se může generovat i v prohlížeči…

[lorenzo]

Tady mi něco nesedí. Asi žiju v jiném světě než ty, ale podle mě BFU neví co je SSH, nepoužívá GPG, ty teoretické znalosti neví, klíče si negeneruje a ošklivé číslo nekontroluje. A nic z toho ani nechce dělat nebo vědět. Tohle všechno už musí být integrované v aplikaci a nastavené od někoho jiného.

[xkucf03]

podle mě BFU neví co je SSH

Třeba nepoužívá příkazovou řádku, ale potřebuje kopírovat soubory. A jelikož FTP nedostane, použije SCP/SFTP – když si nainstaluje WinSCP, má to skoro stejné, jako FTP klient, na kterého byl zvyklý. A v Linuxu obvykle ani nic neinstaluje a jen zadá patřičné URL třeba do Konqueroru.

[kotyz]

To se pořád všechno točí kolem toho jak si definujem BFU. Takový BFU jak ho asi většina lidí chápe ani neví co je FTP, SCP, URL a sou rádi že umí zapnout PC, otevřít "internet", do vyhledávacího políčka na seznamu naklepat adresu, dvojkliknout na tlačítko hledat a tak se dostat až tam kam potřebujou. Přesně jako muj otec ...

[Voransky]

asi tak..."a můžeš mi zas jako internet zadat seznam?"

ale právě proto by bylo dobrý to učit už "mladý", kteří jsou zvídavý a "novým" věcem se tolik nebrání, resp. snáze si osvojí jiné návyky...

[kotyz]

Snadno a rychle si osvojí špatný návyky a pak už se blbě přeučujou. A kdo je to jako má učit? Když rodičové sou BFUčka a ve škole to je kolikrát stejně blbý nebo i horší (učí tam starý struktury ms office stylem teď si klikněte na tu třetí ikonku zleva). Čest vyjímkám (nebo výjimkám?).

[Jendа]

ale právě proto by bylo dobrý to učit už "mladý", kteří jsou zvídavý a "novým" věcem se tolik nebrání, resp. snáze si osvojí jiné návyky...

Já ti nevím, ale vrstevníci umí používat fejbůčik a na mobilu Angry Birds a king je ten, kdo umí cracknout Office.

[Šest]

No já myslím, že už takovéto "jiné heslo na email a jiné heslo na ostatní služby" a proč bude pro ně nadstandardní osvěta. Nechci tím snižovat tvoje ambice, ale rozhodně doporučuji vysvětlit spíše základy a důkladně než vysvětlit všechno možné ale jen tak letmo.

[masožravá palma]

Je to tábor takového typu, že když dětem chceme dát zprávu, která není latinkou, ale třeba jen pitomou morseovkou, tak je nejdříve tu morseovku naučit musíme. Poslední dva roky jsem jim víceméně úspěšně vysvětlovala frekvenční analýzu (Ten list textu bez klíče rozluštili loni dokonce dříve než měli. Počítali jsme s tím, že jim klíč budeme muset dát, ale oni ho nakonec nepotřebovali ).

Jiné heslo do různých služeb je něco k čemu můžu v rámci vysvětlování jednoduchých šifer dojít těžko jinak než právě přes složitější šifry. I když přesně tohle je v podstatě minimum, které bych jim chtěla předat.

[Bystroushaak]

Dost mě překvapuje, že nikdo zatím nezmínil Backtrack. Jedná se o live security distribuci, na které toho člověk najde 10x víc, než kdy pravděpodobně bude potřebovat. Jedná se o všemožné průnikové nástroje, diagnostiky atp..

[masožravá palma]

Tohle vypadá dobře, ale asi by se to muselo projít a pročistit základ od věcí, které jsou příliš složité, i když ono se toho zase na flash disk vejde docela dost. Ještě se na to kouknu.

[Neneko]

Na podobne veci uz leta spokojene pouzivam flash disk, sifrovany pres LUKS s nainstalovanym Gentoo. Nosim stale u sebe a mam s sebou kdykoliv a kdekoliv zabezpeceny live system, se vsemi nastroji co potrebuji a bez obavy z kompromitace dat pri ztrate. Instalace uplne standardni, jen je nutne si pripravit vlastni initrd (otazka par minut). Muzu jen doporucit :)