Dotaz: Sifrovani disku

[ubuntak]

Zdravim panove, chci pouzit sifrovani na sda tzn primo primarni disk nesouci system-Linux CentOS. Problem je kdyz se server restartuje tak se mu nedostane hesla a tudiz nenabehne. Jde to nejak resit? Automatizovat zadani toho hesla nebo nejake vycteni z nekama?

Odpovědi

[hermelin]

S problemem ti bohuzel neporadim - se sifrovanim disku nemam zkusenost. Ale muzes mi prosim vysvetlit k cemu je pak takovy sifrovani dobry kdyz se ti tam bude heslo samo vkladat ? Mozna to resit pres flash disk ktery to zavede ale mit disk sifrovany a na nem mit udelano ze se sifrovana partisna zavede sama je asi o nicem. Mozna se pletu

[monn]

myslim, ze to nekdo resil tak, ze nejdriv nabehl (z nesifrovaneho oddilu) nejakej ssh daemon, uzivatel tak mohl zadat heslo po siti pro natahnuti sifrovanyho jadra a zbytku systemu.

[ubuntak]

zajimave a nevis kde by se to dalo najit nebo presneji na co se zeptat strycka googla?

[Rockfire]

http://gpl.coulmann.de/ssh_luks_unlock.html

[ubuntak]

diky kouknu na to kdyby jeste nekdo mel nejaky napad sem snim

[Jendа]

S tím SSH je to mnohem lepší než nic, ale pokud má útočník fyzický přístup k serveru, může provést man-in-the-middle útok.

[Sten]

Automatizované zadání jde udělat z jiného (pokud možno také šifrovaného a přes SSL) stroje ve stylu chain of trust (mám to tak udělané: stroje v initramdisku stáhnou přes HTTPS svoje klíče z routeru, routeru zadávám heslo ručně). Rozhodně ale nedoporučuji automatizované zadávání z nešifrovaných míst.

Druhá možnost je šifrovat jenom data. Není to sice tolik bezpečné, ale stroj alespoň naběhne a potom je potřeba přes SSH provést mount a zadat heslo. Může se ale stát, že data utečou mimo RAM (tmpfs, swap, nějaká jiná cache).

Třetí možnost je mít nešifrovaný stroj a v něm šifrované virtuály. Riziko úniku dešifrovaných dat je minimalizováno (cache jsou také šifrované), ale pořád mohou utéct do swapu nebo při uspání virtuálu.