Už vím jak. aneb jak cryptovat data na disku. (diskuse)

[Käyttäjä 11133]

Hmm lepší je šifrovat celý root...

[Michal Čihař]

Co je na tom ukládání dat do krypty tak úžasného? Proč radši nepoužít slovo šifrovat?

[Cohen]

Tak tak. Zrovna jsem to chtěl napsat. Cryptování a podobné patvary mně trhají uši. (A za jejich používání bych proto zase uši trhal já. )

[Jan Drábek]

proč?

[Zdenek.Z]

Data se šifrují nebo dešifrují. V angličtině encrypt/decrypt. Slova jako enkryptovat mi sice trhají uši, ale aspoň chápu, kde se vzala. Ale kdo a jak přišel na kryptovat, to fakt nechápu. Nějaký milovník hrobek?

[freshmouse]

I když bych tomto případě jednoznačně použil "šifrovat", chtěl bych jen upozornit, že slov s "krypto" (nikoli "crypto") je víc a běžně se používají, např.: kryptozoolog, kryptokomunista. "Krypto" vyjadřuje něco skrytého.

[Zdenek.Z]

To samozřejmě jo. Však máme i krypto{logii,grafii}, že? Ale nikde se nepoužívá kryptování.

[frEon]

zapomel jsi na kryptofasistu

[jarda]

Dobře a chápu. S tím C jsem to přehnal ale vzhledem k tomu, že Google vyhodí 14000 odkazů na dotaz "kryptování dat" počítám s tím, že až všechny obejdeš a utrhneš jim uši stavíš se i u mne a srovnáme to.

[kavol]

a na "šifování dat" vrátí 256000 výsledků ... že 5% čekých mluvčích (píšících o daném tématu) neovládá češtinu je důvodem dělat z chyby standard?

btw, Google mi našel i dva odkazy na "šifrvání", začneme to slovo používat?

[Vašek Lorenc]

Ano, já jsem pro! ;) Smutné je, že i studenti vysokých škol, do kterých člověk semestr lije správnou terminologii, se neštítí na závěr semestru napsat dlouhé pojednání o autentifikaci, které završí pasáží o kryptování. A pak se ještě diví..

[Cohen]

Nesmutněte. Jak vidíte, alespoň na některých z nás to pozitivní následky zanechalo. Vidíte tedy, že vaše snaha není tak úplně marná.

[Käyttäjä 11133]

Protože cryptoloop

[kavol]

i što takóje "cryptovat"? eto pogrebiť?

[SAF]

Právě se rozhoduju co nainstalovat mezi Mandrivou 2008 a Opensuse 10.3. Co je podle tebe lepší volba a případně proč?

[freshmouse]

Zkus obojí a uvidíš. Na takové věci se nikdy neptej, jen se strhne nenávistná diskuze na téma "co používám a co nenávidím".

[jarda]

Mandrivu , připadá mi přehlednější jak instalace tak použití. Do suse přidali dost věcí které jsou na domácí použití divné a ubrali co se dalo z multimédií. Jde to jistě přidat a moc práce to nedá ale do mandrivy přidáš zdroje a urpmi cokoli a naskáče to tam samo.

[Lu-Tze]

Paranoidní, hmm. No já se spíš bojim ztráty dat. A zálohy na na dvd bych asi nešifroval nikdy. Takže nemá smysl šifrovat ani disk. Nic moc nelegálního stejně nedělám.

Spíš problémy než užitek.

[michich]

Takže nemá smysl šifrovat ani disk. Nic moc nelegálního stejně nedělám.

Zakrytí nelegální činnosti není zdaleka jediným důvodem pro šifrování.

[Lu-Tze]

Tak to jistě. Ale zase jinak než policie může ta data získat v podstatě jenom zloděj. A u něj bych spíš předpokládal, že se jich spíš zbaví, jinak by to mohlo napomoct jeho odhalení. Největší nebezpečí bych stejně viděl v tom, že mi komp někdo hackne přes net a pak je šifrovaný oddíl k ničemu.

[Zdenek.Z]

Ale data můžou mít i větší hodnotu než notebook. Nebo jejich ztráta může způsobit větší škodu. Pokud ten zloděj tohle ví, tak nepředpokládám, že se s nima půjde bonznout na policii. A pochybuji, že policie bude k odhalení jednoho notebooku dělat o moc víc než že sepíše protokol.

[Lu-Tze]

Případ notebooku už jsem rozebral v jiném komentáři Pokud někdo jde cíleně za datama, má i lepšejší možnosti než mi ukrást komp a jsou to takové, že si toho ani nemusím všimnout. Pokud je někdo prostě zlodějíček, tak bych se nebál.

[Zdenek.Z]

No u některých dat můžu zneužití zabránit, když si jejich odcizení všimnu, u některých mi to bude k ničemu. A dovolím si tvrdit, že vytrhnout někomu na ulici brašnu z ruky nebo vymlátit okno z auta je řádově jednodušší než cracknout počítač (pokud není naprosto nezabezpečený).

[brk]

Tak to já právě uvažuji, že minimálně /home bych šifrovat měl. Nikdy nevíš, kdy tě kdo "obohatí svojí kulturou" a notebook ti odcizí. Procesor se stejně většinu času fláká, takže nevidím problém.

[jarda]

Kopíroval jsem zkušebně soubory kolem 100 MB a zátěž na 2800 sempronu z oddílu na oddíl na stejném disku žralo kolem 15% procíku s AES 256. Zkrátka nějak moc vidět to není jenom to zaplnilo Ramku ale mám jenom 512 MB tak není divu.

[Lu-Tze]

No, ani jsem neuvažoval o tom, že na notebooku bych mohl mít nějaká citlivá data. Když mi může šlohnout notebook, tak mi může šlohnout i klíč, odkouknout heslo atd. Nemám notebooky moc rád.

[Vašek Lorenc]

K tomu je dobré používat čipovou kartu a nepsat si na ní PIN.. Někdo by mohl tvrdit, že TPM uvnitř notebooku je taky dobrá ochrana tajemství, ale v reálu tomu tak prý moc není.

[jan.xxx]

Máte nějakou praktickou zkušenost s čipovou kartou? Nebo nějaký odkaz?

[petr_p]

Na není třeba odkaz. V zásadě existují tři druhy:

Karta uchovává jen klíč, který je chráněn heslem. Počítač si přečte zašifrovaný klíč, uživatel počítači prozradí heslo a počítač provádí veškeré kryptografické operace. Tento způsob je ekvivalentí obyčejné flashové paměti s USB rozhraním.

Druhá možnost je, že karta uchovává klíč chráněný heslem, heslo kartě dodá uživatel prostřednictvím počítače, karta sama provádí kryptografické operace. Toto je v současnosti nejpoužívanější druh. Karta ručí, že ji klíč nikdy neopustí (takže funkce průkazu – tokenu je splněna), ale heslo zná i počítač, tudíž nelze zabránit zneužití karty při kompromitaci počítače.

Třetí možnost je, že karta má vlastní klávesnici pro zadání hesla. Toto provedení je bezpečné z hlediska podvržení totožnosti, ale stále neřeší případ, kdy kompromitovaný počítač podvrhne podepisovaná data.

Bohužel reprezentace podepisovaných dat je natolik náročná a specifická operace, že neexistuje jiné řešení, než rozšířit důvěru i na počítač (stejně uživatel musí věřit kartě).

[xkesh]

Jediný rozdíl je, že suse se zastaví a dokud nedostane heslo tak se nehne a Mandriva to přejde za 5 vteřin a potom zkrátka nejdou data z toho kousku číst.

Pokud je to stejné jako ve verzi 10.2, tak se openSUSE zachová stejně jako Mandriva, ovšem po poněkud delším čase (minuta?).

[koffr]

Mandriva se tak zachová i při /home, bo ho ke startu nepotřebuje. Pak je to možno napravit v ovládacím centru a nebo v konzoli příkazem mount -a.

[Josef Kufner]

Jen tak mimochodem, jak moc už swsusp umí šifrovat swap na který se uspává ?

[michich]

uswsusp to umí.

[petr_p]

Silně doporučuji zjistit si přesný algoritumus, kterým šifrujete data a z hesla vyrábíte klíč. Pamatuji dobu, kdy se měnil losetup z util-linux a tak doteď živím dva losetupy kvůli šifrovaným zálohám na CD.

[Cohen]

A ještě horší to je s hardwarovými prostředky. Svůj názor jsem na to už psal v jednom komentáři pod (mimochodem pěkným) článkem na Root.cz.