Dotaz: Debian a sifrovane LVM

[x]

Přílohy:

• DSC02264.JPG (376023 bytů)
• DSC02265.JPG (338363 bytů)
• DSC02266.JPG (309356 bytů)

DD, chtel bych zkusit nainstalovat debian 4 na sifrovane LVM. V instalatoru je moznost zvolit Zpusob sifrovani, typ sifry a velikost klice. Poradte nekdo, jake moznosti je nejlepsi zvolit. Dale by me zajimalo jestli je potreba sifrovat swap a jestli se vyplati sifrovat /, nebo jestli je lepsi sifrovat /home a / nechat nesifrovane. Dekuji za odpovedi.

Odpovědi

[Jendа]

Dal bych dm-crypt, aes a klíč 256 bitů (nejbezpečnější, ale trochu pomalejší).

Swap jednoznačně šifrovat, při běhu systému se tam můžou odložit citlivá data.

/ taky šifrovat, je tam /tmp a taky ti tam agenti můžou nasadit backdoora.

/boot nosit s sebou na flashdisku.

[frEon]

pri 256 bitovym klici bych pouzil sifru twofish

[x]

Proc zrovna twofish? V cem je lepsi?

[frEon]

twofish zatim nikdo neumi cracknout (stejne jako aes) a pri pouziti 256 bitovyho klice by mel bejt o neco rychlejsi nez aes (toto neplati pro klic o delce 128 bitu).

[artec]

+ PC nosit vzdy sebou a nikdy ho nespoustet z oci

[x]

Diky za radu, asi to udelam tak, jak radis. Jeste by me zajimalo, jak to nastavit, aby to bylo co nejrychlejsi (myslim typ sifrovani - / a swap necham zasifrovany)?

[Roger]

Swap se navic obvykle, pokud se nepouziva hibernace, sifruje pokazde novym klicem. U me (Etch) ten radek v crypttab vypada nejak takhle:

cswap /dev/mapper/lv-swap_1 /dev/random swap,timeout=30,precheck=vol_id

Doufam, ze tam nemam nejakou botu -- kdyztak klidne upozornete :) Tohle je varianta, kdy / (jediny oddil) tedy sifrovany neni, pouze ten swap.

[x]

Vyplati se pouzit pro swap nahodny klic?

[frEon]

no nema zadny smysl mit pro swap furt stejny klic. stejne vzdy po restartu stroje je snim nakoladano jako by byl prazdny.

[Jendа]

Já používám hibernaci a navíc u mě trvá generování klíče a formátování 1GB dost dlouho.

[frEon]

pravda, hibernaci nepouzivam, takze me to hned nenapadlo.

[Roger]

Swap se ale neformatuje. A jak jsem psal nahore, klic se taky negeneruje - proste se "vycuca z prstu".

[Jendа]

A jak se vycucá z prstu, když jádro najelo před chvílí a ještě nemá entropii?