Už vím jak. aneb jak cryptovat data na disku.

7.10.2007 12:15 | Přečteno: 1320× | blbinky

Několikrát za rok potkám někde na netu návod jak cryptovat data na disku a protože jsem lehce paranoidní tak mne to téma zaujalo. Buď mne vyplašila případná ztráta dat nebo jsem návody ne zrovna správně pochopil ale výsledek byl dost ubohý, zkrátka nedařilo se.

Včera se zadařilo a to dokonce trošku omylem, ale jak píše klasik náhoda přeje připraveným. Stáhl jsem pro kamaráda SUSE 10.3 a protože se už jednou povedla taková drobná ostuda a dal jsem mu DVD které v polovině instalace zkolabovalo raději jsem je nechal ověřit a pro jistotu spustil instalaci když už mám ty dva oddíly prázdné. Mám normálně mandrivu 2008 a chodí jak hodinky tak jsem pořádně četl když se dělí disky abych si něco nepochroumal a najednou koukám jedna z voleb u formátování disku byla cryptovat oddíl. Pak už to šlo jak po másle, naklikat šifrování, nějaké heslo a ono to fungovalo.

Když to umí Suse tak musí Mandriva taky a ono opravdu, trošku jsem přesunul data abych měl oddíl prázdný a tu volbu jsem v control centru ve správě disků našel taky. Jediný rozdíl je, že suse se zastaví a dokud nedostane heslo tak se nehne a Mandriva to přejde za 5 vteřin a potom zkrátka nejdou data z toho kousku číst. Nejspíš to bude tím, že v Suse tam byl /home který potřebuje připojit a v Mandrivě mám houmík normální a zašifrovaný disk který je navíc.

Zase se mi něco povedlo, nic jsem nerozbil a mám z toho radost. Jestli to někomu připadá triviální má samozřejmě pravdu ale doma si se mnou nikdo o linuxu nepovídá, kamarádi někam odjeli a potřeboval jsem se někomu svěřit.

       

Komentáře

[Käyttäjä 11133]

Hmm lepší je šifrovat celý root...

[Michal Čihař]

Co je na tom ukládání dat do krypty tak úžasného? Proč radši nepoužít slovo šifrovat?

[Cohen]

Tak tak. Zrovna jsem to chtěl napsat. Cryptování a podobné patvary mně trhají uši. (A za jejich používání bych proto zase uši trhal já. )

[Jan Drábek]

proč?

[Zdenek.Z]

Data se šifrují nebo dešifrují. V angličtině encrypt/decrypt. Slova jako enkryptovat mi sice trhají uši, ale aspoň chápu, kde se vzala. Ale kdo a jak přišel na kryptovat, to fakt nechápu. Nějaký milovník hrobek?

[freshmouse]

I když bych tomto případě jednoznačně použil "šifrovat", chtěl bych jen upozornit, že slov s "krypto" (nikoli "crypto") je víc a běžně se používají, např.: kryptozoolog, kryptokomunista. "Krypto" vyjadřuje něco skrytého.

[Zdenek.Z]

To samozřejmě jo. Však máme i krypto{logii,grafii}, že? Ale nikde se nepoužívá kryptování.

[frEon]

zapomel jsi na kryptofasistu

[jarda]

Dobře a chápu. S tím C jsem to přehnal ale vzhledem k tomu, že Google vyhodí 14000 odkazů na dotaz "kryptování dat" počítám s tím, že až všechny obejdeš a utrhneš jim uši stavíš se i u mne a srovnáme to.

[kavol]

a na "šifování dat" vrátí 256000 výsledků ... že 5% čekých mluvčích (píšících o daném tématu) neovládá češtinu je důvodem dělat z chyby standard?

btw, Google mi našel i dva odkazy na "šifrvání", začneme to slovo používat?

[Vašek Lorenc]

Ano, já jsem pro! ;) Smutné je, že i studenti vysokých škol, do kterých člověk semestr lije správnou terminologii, se neštítí na závěr semestru napsat dlouhé pojednání o autentifikaci, které završí pasáží o kryptování. A pak se ještě diví..

[Cohen]

Nesmutněte. Jak vidíte, alespoň na některých z nás to pozitivní následky zanechalo. Vidíte tedy, že vaše snaha není tak úplně marná.

[Käyttäjä 11133]

Protože cryptoloop

[kavol]

i što takóje "cryptovat"? eto pogrebiť?

[SAF]

Právě se rozhoduju co nainstalovat mezi Mandrivou 2008 a Opensuse 10.3. Co je podle tebe lepší volba a případně proč?

[freshmouse]

Zkus obojí a uvidíš. Na takové věci se nikdy neptej, jen se strhne nenávistná diskuze na téma "co používám a co nenávidím".

[jarda]

Mandrivu , připadá mi přehlednější jak instalace tak použití. Do suse přidali dost věcí které jsou na domácí použití divné a ubrali co se dalo z multimédií. Jde to jistě přidat a moc práce to nedá ale do mandrivy přidáš zdroje a urpmi cokoli a naskáče to tam samo.

[Lu-Tze]

Paranoidní, hmm. No já se spíš bojim ztráty dat. A zálohy na na dvd bych asi nešifroval nikdy. Takže nemá smysl šifrovat ani disk. Nic moc nelegálního stejně nedělám.

Spíš problémy než užitek.

[michich]

Takže nemá smysl šifrovat ani disk. Nic moc nelegálního stejně nedělám.

Zakrytí nelegální činnosti není zdaleka jediným důvodem pro šifrování.

[Lu-Tze]

Tak to jistě. Ale zase jinak než policie může ta data získat v podstatě jenom zloděj. A u něj bych spíš předpokládal, že se jich spíš zbaví, jinak by to mohlo napomoct jeho odhalení. Největší nebezpečí bych stejně viděl v tom, že mi komp někdo hackne přes net a pak je šifrovaný oddíl k ničemu.

[Zdenek.Z]

Ale data můžou mít i větší hodnotu než notebook. Nebo jejich ztráta může způsobit větší škodu. Pokud ten zloděj tohle ví, tak nepředpokládám, že se s nima půjde bonznout na policii. A pochybuji, že policie bude k odhalení jednoho notebooku dělat o moc víc než že sepíše protokol.

[Lu-Tze]

Případ notebooku už jsem rozebral v jiném komentáři Pokud někdo jde cíleně za datama, má i lepšejší možnosti než mi ukrást komp a jsou to takové, že si toho ani nemusím všimnout. Pokud je někdo prostě zlodějíček, tak bych se nebál.

[Zdenek.Z]

No u některých dat můžu zneužití zabránit, když si jejich odcizení všimnu, u některých mi to bude k ničemu. A dovolím si tvrdit, že vytrhnout někomu na ulici brašnu z ruky nebo vymlátit okno z auta je řádově jednodušší než cracknout počítač (pokud není naprosto nezabezpečený).

[brk]

Tak to já právě uvažuji, že minimálně /home bych šifrovat měl. Nikdy nevíš, kdy tě kdo "obohatí svojí kulturou" a notebook ti odcizí. Procesor se stejně většinu času fláká, takže nevidím problém.

[jarda]

Kopíroval jsem zkušebně soubory kolem 100 MB a zátěž na 2800 sempronu z oddílu na oddíl na stejném disku žralo kolem 15% procíku s AES 256. Zkrátka nějak moc vidět to není jenom to zaplnilo Ramku ale mám jenom 512 MB tak není divu.

[Lu-Tze]

No, ani jsem neuvažoval o tom, že na notebooku bych mohl mít nějaká citlivá data. Když mi může šlohnout notebook, tak mi může šlohnout i klíč, odkouknout heslo atd. Nemám notebooky moc rád.

[Vašek Lorenc]

K tomu je dobré používat čipovou kartu a nepsat si na ní PIN.. Někdo by mohl tvrdit, že TPM uvnitř notebooku je taky dobrá ochrana tajemství, ale v reálu tomu tak prý moc není.

[jan.xxx]

Máte nějakou praktickou zkušenost s čipovou kartou? Nebo nějaký odkaz?

[petr_p]

Na není třeba odkaz. V zásadě existují tři druhy:

Karta uchovává jen klíč, který je chráněn heslem. Počítač si přečte zašifrovaný klíč, uživatel počítači prozradí heslo a počítač provádí veškeré kryptografické operace. Tento způsob je ekvivalentí obyčejné flashové paměti s USB rozhraním.

Druhá možnost je, že karta uchovává klíč chráněný heslem, heslo kartě dodá uživatel prostřednictvím počítače, karta sama provádí kryptografické operace. Toto je v současnosti nejpoužívanější druh. Karta ručí, že ji klíč nikdy neopustí (takže funkce průkazu – tokenu je splněna), ale heslo zná i počítač, tudíž nelze zabránit zneužití karty při kompromitaci počítače.

Třetí možnost je, že karta má vlastní klávesnici pro zadání hesla. Toto provedení je bezpečné z hlediska podvržení totožnosti, ale stále neřeší případ, kdy kompromitovaný počítač podvrhne podepisovaná data.

Bohužel reprezentace podepisovaných dat je natolik náročná a specifická operace, že neexistuje jiné řešení, než rozšířit důvěru i na počítač (stejně uživatel musí věřit kartě).

[xkesh]

Jediný rozdíl je, že suse se zastaví a dokud nedostane heslo tak se nehne a Mandriva to přejde za 5 vteřin a potom zkrátka nejdou data z toho kousku číst.

Pokud je to stejné jako ve verzi 10.2, tak se openSUSE zachová stejně jako Mandriva, ovšem po poněkud delším čase (minuta?).

[koffr]

Mandriva se tak zachová i při /home, bo ho ke startu nepotřebuje. Pak je to možno napravit v ovládacím centru a nebo v konzoli příkazem mount -a.

[Josef Kufner]

Jen tak mimochodem, jak moc už swsusp umí šifrovat swap na který se uspává ?

[michich]

uswsusp to umí.

[petr_p]

Silně doporučuji zjistit si přesný algoritumus, kterým šifrujete data a z hesla vyrábíte klíč. Pamatuji dobu, kdy se měnil losetup z util-linux a tak doteď živím dva losetupy kvůli šifrovaným zálohám na CD.

[Cohen]

A ještě horší to je s hardwarovými prostředky. Svůj názor jsem na to už psal v jednom komentáři pod (mimochodem pěkným) článkem na Root.cz.