Portál AbcLinuxu, 10. července 2025 10:07
9.1.2011 13:28
| Přečteno: 1957×
| Linux - readonly debian pro routery
|
mount -t nfs 10.10.18.24:/mnt/space2 /mnt/nfsDále si vytvořím soubor, který bude pak obsahovat šifrovaný filesystém, o velikosti 500GB.
dd if=/dev/zero of=/mnt/space2/fs_backup.lks bs=1M count=500000Problém je, že pro šiforvání je vhodné, aby soubor obsahoval co možná nejnáhodnější data. Bylo by lepší sahat do /dev/random, ten je ale ukrutně pomalý, eventuelně do /dev/urandom který je rychlejší, méně kvalitní z hlediska náhody, nicméně pro vytvoření takto velkého souboru zase nevhodný. Můj postup který volím je vytvořit soubor obsahující samé nuly, dále soubor převedu do luks formátu a připojím. Pak toto šifrované zařízení přepíšu přes shread 1x náhodnýmy daty. Data nemusejí být podle mě nějak kvalitní protože po zašifrování už se bude jednat o kvalitní bordel. Dále odpojím přes cryptsetup luksClose šifrovaný kontainer a ještě přepíšu hlavičku, prvních 32mb mého souboru, tentokrát si na /dev/urandom počkám. Teď mám tedy soubor obsahující, doufejme, kvalitní náhodná data a bylo to o poznání rychlejší než čekat na /dev/urandom.
losetup /dev/loop0 /mnt/nfs/fs_backup.lksDále je třeba /dev/loop0 naformátovat do luks formátu. Dosáhnu toho pomocí příkazu.
cryptsetup -y luksFormat -c blowfish -s 256 /dev/loop0Zde bych se zase rád zeptal na názory, je vhodné použít blowfish? nebo raději aes? vzhledem k přístupu přes síť není třeba rychlost. Můžete doporučit nějaké dobré nastavení při formátu do luks? Jde mi zejména o bezpečnost.
cryptsetup luksOpen /dev/loop0 loop0Dál je třeba kontainer naformátovat do nějakého rozumného souborového systému
mkfs.ext3 /dev/mapper/loop0Nakonec připojit...
mount /dev/mapper/loop0 /mnt/zalohaTeď syncnout, rozhodl jsem se přes rsync...
rsync -av --delete /home/ /mnt/zaloha/Po skončení odpojit fs, zavřít šifrovaný kontainer, odpojit loop zařízení a odmountovat nfs
umount /mnt/zaloha cryptsetup luksClose loop0 losetup -d /dev/loop0 umount /mnt/nfsSamozřejmě že pro zálohování se pojede už jenom následující sekvence, s heslem v texťáku (zabijte mě! nevím jak jinak, neinteraktivně).
mount -t nfs 10.10.18.24:/mnt/space2 /mnt/nfs losetup /dev/loop0 /mnt/nfs/fs_backup.lks echo heslokterejetajne | cryptsetup luksOpen /dev/loop0 loop0 - mount /dev/mapper/loop0 /mnt/zaloha rsync -av --delete /home/ /mnt/zaloha/ umount /mnt/zaloha cryptsetup luksClose loop0 losetup -d /dev/loop0 umount /mnt/nfsCelé toto hodím do cronu a nastavím noční hodinu, třeba 2 hodiny v noci. Pak mi stačí notebook na noc nevypínat a ráno budu mít zálohy.
Tiskni
Sdílej:
9.1.2011 14:00
Petr Tomášek | skóre: 39
| blog: Vejšplechty
Táák, nějaké nápady, připomínky?Mno, imho, kdybys šifroval asymetricky (klidně pomocí gpg, nebo tak) tak budeš mít jeden klíč na zašifrování a druhý na dešifrování, tak se nemusíš sypat strachy, že ti někdo ukradne heslo
9.1.2011 14:03
Johny z Podoli | skóre: 26
| blog: rocfdebian
9.1.2011 14:11
Petr Tomášek | skóre: 39
| blog: Vejšplechty
Pak bych ovšem nemohl šifrovat na úrovni fs, přišel bych o rsync. Což by pro mě bylo komplikované.Mno, zřejmě jo...
Navíc, ztráta hesla... když přijdu o heslo které mém jen na mém notebooku, pak nejspíš "jako bych přišel o vše". Ale děkuji za zajímavý podnět.Vytisknout klíč na papír a nechat uschovat u notáře? :-P
9.1.2011 14:52
Jendа | skóre: 78
| blog: Jenda
| JO70FB
Mno, zřejmě jo...Bylo. Pořád čekám, jestli někdo napíše „distribuovanou P2P zálohovací síť“, kdy si vyhradíš třeba 30 GB pro cizí zálohy a za to si budeš moct zálohovat k někomu jinému (=geograficky odděleně).
Vytisknout klíč na papír a nechat uschovat u notáře? :-PK tomu podle mě např. policie může (řeknutí hesla by byla výpověď, ale tohle by bylo jen vydání věci).
9.1.2011 15:25
Jakub Lucký | skóre: 40
| Praha
(1) Každý má právo odepřít výpověď, jestliže by jí způsobil nebezpečí trestního stíhání sobě nebo osobě blízké.A co když to dáš "někomu" a policii neřekneš kde to je? A optimálně dotyčnému neřekneš, co v tom je...
9.1.2011 15:47
Jendа | skóre: 78
| blog: Jenda
| JO70FB
Lidé s čistým svědomím a s dobrými úmysly nevymýšlejí, jak být anonymní, aby se na ně nepřišlo. To obvykle dělají pouze zločinci a obecně lidé patřící do kriminálu. Už jen založení diskuze na podobné téma je podezřelé a mělo by se prošetřit.
Taková činnost ale maří vyšetřování policejním institucím. Nedávno dávali ve zprávách, že právě šifrované hovory přes skype jim velmi ztěžují pachatele odhalit. Právě možnost sledování lidí na internetu umožní bojovat proti trestné činnosti a to právě chrání celou naši společnost a zajišťuje nám bezpečí.Zdroj; těžko říct, jak moc vážně je to myšleno.
9.1.2011 15:51
Jakub Lucký | skóre: 40
| Praha
...distribuovanou P2P zálohovací síť...Freenet?
9.1.2011 18:43
Petr Tomášek | skóre: 39
| blog: Vejšplechty
K tomu podle mě např. policie může (řeknutí hesla by byla výpověď, ale tohle by bylo jen vydání věci).Ty pácháš trestnou činnost?
9.1.2011 18:49
Jendа | skóre: 78
| blog: Jenda
| JO70FB
). Asi paranoia…
9.1.2011 19:04
Jendа | skóre: 78
| blog: Jenda
| JO70FB
9.1.2011 19:23
Jakub Lucký | skóre: 40
| Praha
Pak bych ovšem nemohl šifrovat na úrovni fs, přišel bych o rsync.o rsync jsi prisel i tak, jaky smysl ma pretahnout data po siti (nfs) pak je rsyncem zanalyzovat na zmeny a pripadne zmeny zapsat? rsync ma smysl pokud bezi primo na vzdalenem stroji, pak se opravdu prenasi jen zmeny ale takhle to muzes klidne natvrdo prekopirovat a budes na tom stejne ne-li lip..
9.1.2011 14:16
asfethan | skóre: 10
| blog: asfalatum
| Bratislava
9.1.2011 14:22
Josef Kufner | skóre: 70
9.1.2011 14:28
Nicky726 | skóre: 56
| blog: Nicky726
9.1.2011 14:44
Shadow | skóre: 25
| blog: Brainstorm
9.1.2011 14:54
Jendа | skóre: 78
| blog: Jenda
| JO70FB
9.1.2011 15:25
Shadow | skóre: 25
| blog: Brainstorm
9.1.2011 14:48
Jendа | skóre: 78
| blog: Jenda
| JO70FB
s heslem v texťáku (zabijte mě! nevím jak jinak, neinteraktivně)Google: luks keyfile Já zálohuji do encfs - výhodou je, že se záloha nafukuje nebo naopak zmenšuje podle toho, kolik dat v ní skutečně je. Musel jsem si patchnout rsync, protože v encfs je bug. encfs je buď na USB disku, nebo ho připojuji přes sshfs (pomalejší). Ta nejdůležitější data zálohuji do zvláštního encfs (má asi 4 GB) a ten pak rsyncuji po Internetu.
9.1.2011 14:53
Shadow | skóre: 25
| blog: Brainstorm
cbc-essiv s minimálně jednou známou zranitelností. Momentálně je asi nejvhodnější mód xts, nastavitelný třeba takto:
cryptsetup -c aes-xts-plain -y -s 512 luksFormat /dev/zarizeniAle v tomhle případě bych opravdu raději doporučil Duplicity...
9.1.2011 15:08
xkucf03 | skóre: 49
| blog: xkucf03
následující sekvence, s heslem v texťáku (zabijte mě! nevím jak jinak, neinteraktivně).Místo hesla můžeš použít klíč v souboru – takže klíč nebude na vzdáleném disku (zašifrovaný heslem), ale budeš ho mít hezky u sebe. Volba:
--key-file
A když už tam mít heslo, tak bych místo echo tajné_heslo | … dal alespoň cat soubor_s_heslem.txt | … (plus ošetřit práva k tomu souboru).
Nemáš možnost použít iSCSI? To by bylo pro sdílení blokového zařízení (nebo souboru) lepší než NFS.Ono by možná úplně stačilo i network block device (nbd), pomocí kterého jde v Linuxu přitupovat na libovolné blokové zářízení. Server navíc běží čistě v uživatelském prostoru, jen klient potřebuje modul v jádře.
9.1.2011 18:02
gtz | skóre: 27
| blog: gtz
| Brno
9.1.2011 18:20
Jendа | skóre: 78
| blog: Jenda
| JO70FB
Pokiaľ viem, z menej náhodných dát sa "náhodnejšie" spraviť nedajú bez použitia iných ešte "náhodnejších" dát, takže spôsob, akým sa ten súbor vytvára je naprd...
Nebolo by lepšie ťahať dáta z /dev/dsp (príp. /dev/audio) a do mikrofónu pustiť kvalitný šum z rádia? Prípadne ich ťahať z /dev/video0 a kameru namieriť na zrniacu TV... Alebo ešte lepšie použiť takto viac zdrojov a potom ich merge-núť (napr. bajty na striedačku) To by bola pravdepodobne oveľa kvalitnejšia náhoda...
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.