Správa několika šifrovaných disků v praxi (diskuse)

[Filip Jirsák]

To by mne zajímalo, kolik vašich kolegů to řeší tak, že má ta hesla prostě v nějakém textovém souboru, který může číst každý. Není nad to postavit bezpečnostní politiku na tom, že si uživatel bude pamatovat spoustu různých dlouhých hesel, která se navíc musí často měnit. To vyjde skoro nastejno, jako vydat doporučení, že si uživatelé mají hesla na lístečcích nalepit na monitor.

To vaše řešení samozřejmě taky snižuje bezpečnost (ale je to nesrovnatelně lepší, než hesla v souboru čitelném pro kohokoli), ale ten, kdo navrhl bezpečnost zvýšit tím, že se veškeré „náklady“ s tím spojené přesunou jen na uživatele, si nic jiného nezaslouží.

[chearius]

Hesla generujeme pomocí programu KeePass a taky jsou v KeePass databázi uložené (hesla jsou ukládána v zašifrované podobě).

Jinak jsem si vědom, že moje řešení jistým způsobem snižuje bezpečnost; na druhou stranu si nemyslím, že by jí to snižovalo nějakým podstatným způsobem ... hesla jsou (ale nemusí být) sice uložena v textových souborech, ovšem na zašifrovaném oddílu a nečitelná pro jiného uživatele, než root ... při ztrátě notebooku se nikdo k datům nedostane.

[Marián Kyral]

Díky za inspiraci, dostal jsem teď v práci nový NB, tak možná něco využiji. Tu SD kartu tam necháváš, nebo ji pokaždé vytáhneš?

[chearius]

SD kartu po vypnutí notebooku vždycky vytáhnu. Většinu času ji nosím v pouzdře v kapse, aby nebyla u notebooku.

[Roger]

Co si poridit nejaky regulerni (USB?) token?

[chearius]

I o této možnosti jsem uvažoval. Nakonec jsem tuto možnost nezvolil jednak kvůli pořizovací ceně tokenu (SD kartu jsem měl k dispozici) a druhak z důvodu velikosti tokenu. Často pracuju s notebookem i na cestách a zastrčený token v notebooku (podobně jako USB flash disk) mi prostě překáží.

[chearius]

Ještě jedna poznámka: docela by mne zajímalo, o kolik je odbobné řešení za použití regulérního tokenu bezpečnější oproti mnou zvolenému řešení. Největší rozdíl oproti tokenu je asi ten, že moje SD karta je připojená po celou dobu běhu systému (ale přístup k ní má pouze root). Jinak mě další velké rozdíly v bezpečnosti nenapadají ... Ale rád se nechám poučit od někoho, kdo této problematice lépe rozumí.

[Filip Jirsák]

SD kartu si může přečíst každý bez problémů, šifrovací token by měl fungovat tak, že má privátní klíč uložen „v sobě“ a nejde z něj běžnými prostředky získat, tj. nejde softwarově přečíst; samozřejmě fyzickému rozebrání tokenu a přečtení vnitřní paměti zabránit nejde.

[Roger]

Samozrejme jde, ale tady uz zalezi na urovni daneho cipu. Pochopitelne, pokud si koupite blbou eepromku, tak si moc nepomuzete, ale rozumna cipova karta je navrzena i s ohledem na fyzickou bezpecnost (treba rozbrouseni atp.).

[Filip Jirsák]

Vzhledem k tomu, že drtivá většina karet i tokenů nemá vlastní vstup hesla/PINu, ale spoléhá na vstup z počítače, nebude to s tou bezpečností běžně dostupných zařízení tak slavné. Pokud s tokenem/kartou komunikuje oprávněná aplikace způsobem „tady máš PIN a data a zašifruj mi to“, může úplně to samé udělat i záškodnická aplikace. Rozdíl je v tom, že nezíská privátní klíč, pouze si – v době, kdy je token/karta k dispozici – může nechat něco zašifrovat. Což pro přístup k souboru chráněnému takovou kartou bohatě stačí.

[petr_p]

Ono je to hlavně rychlejší. Protože výpočetní schopnosti čipových karet a podobných tokenů jsou žalostné. Pokud by se to mělo dělat bezpečněji a výkoněji, bylo by asi třeba hardwarové šifrovací udělátko mezi disk a řadič a TPM modul na desce pro uložení klíčů. V levnějším případě se nechá přes TPM ověřit integrita softwaru a šifrovat se bude na CPU. V ještě levnějším případě se zašifruje úplně celý disk a člověk si s sebou bude tahat jádro se zavaděčem.

[Vašek Lorenc]

 S TPM je to taky tak, že jeho bezpečnost byla v mnoha případech zpochybněna.. Je to celé otázka toho, co ještě je a co není pro daného člověka bezpečné. Co se výkonu čipových karet týče, tak jejich výkon není až tak žalostný, ale problém bývá s rozhraním. Nicméně i to se řeší -- Remotely Keyed Encryption je něco, co by se dalo použít. U TrueCryptu ale stačí mít na kartě uloženou třeba jen hlavičku šifrovaného svazku, protože bez ní se případný útočník stejně moc daleko nedostane..

[petr_p]

S TPM je to taky tak, že jeho bezpečnost byla v mnoha případech zpochybněna..

Tomu bych i věřil. Ale ještě jsem se o to nezajímal, neb takový stroj nevlastním. Máte tip na zajímavé čtení?

U TrueCryptu ale stačí mít na kartě uloženou třeba jen hlavičku šifrovaného svazku, protože bez ní se případný útočník stejně moc daleko nedostane..

Myslím, že smyslem karty je, že ji klíč neopustí. Nikoliv, že si tam odložím klíč, který pak za běhu vrátím do systému.

[Vašek Lorenc]

Na to čtení o TPM se podívám během příštího týdne, bude-li to stačit. Někde ty prameny mám..

A ke smyslu karty -- ono to tak pochopitelně má být, ale ještě dost záleží na tom, co o útočníkovi předpokládáme. Problém s TrueCryptem je v tom, že když už se útočník dostane k počítači tak, že tam má vlastní proces, nejlépe na úrovní oprávnění kernelu, tak stejně může přečíst celý disk -- heslo/data mu poskytne ať už karta, nebo sám uživatel. K tomu, aby se to záškodníkovi nepodařilo (nebo to měl alespoň stížené a uživatel začal tušit nějakou nepravost), by každou operaci se souborem v TrueCryptu musel uživatel nějak explicitně potvrzovat, a to nejlépe na té čipové kartě nebo krypto tokenu (tedy v zařízení, které útočník nemůže jednoduše dostat pod svoji kontrolu).. A to zase nebude úplně pohodlné.

Takže v tomhle ohledu je asi lepší předpokládat, že obrana je proti takovému útočníkovi, který se dostane ke svazku nebo čipovce, možná k obojímu, ale určitě není schopen zjistit PIN a tedy ani vyčíst data z čipovky.

(uff, snad jsem se do toho moc nezamotal)

[Filip Jirsák]

Právě že ke zjištění PINu zadávaného v počítači není vůbec potřeba práva roota. Úplně stačí zobrazit stejné okno, kterým žádá o PIN „systém“, případně jiná aplikace, a to můžete zvládnout možná i s flashem vloženým na webové stránce.

[petr_p]

Jistě, požadavek karty coby tokenu je v tomto případě zbytečně silný (nepočítáme-li remotely keyed encryption). Úplně stejně dobře poslouží jádro a zašifrovaný klíč na USB mass storage.

[Libor Tvrdík]

Pokud jsou pro vás komerční tokeny moc drahé, doporučuji "Výroba levného tokenu" od Rudolfa Marka: Slide, patch, kontakt na autora video záznam.

[Roger]

Slo by neco udelat s tim "probýhá"? Diky.

[chearius]

Díky, opraveno.