Dotaz: usb s hw, alebo sw sifrovanim

[jany2]

Potreboval by som si na usb kluci zasifrovat zopar dolezitych suborov a uvazujem ci je lepsie kupit usb kluc, ktory ma hw sifrovanie, alebo mam pouzit bezny usb a sifrovat napr. truecryptom (resp. veracryptom).

Ake mate skusenosti ?

---

---

Odpovědi

[Jendа]

Úplně jednoznačně softwarové, a to nějakou známou otevřenou implementaci. V hardwarových jsou naprosto neuvěřitelné bezpečnostní díry.

[lertimir]

Souhlas. Softwarové je pod kontrolou. Pokud bych to realizoval nyní tak pro flash s vysokým zabezpečním, která se bude pohybovat čistě v linuxovém světě bych volil LUKS a f2fs filesystem, pro sdílenou flash mezi Lin a Win Veracrypt.

[k3dAR]

muzes snadno zasifrovat konkretni adresar pomoci encfs (pokud nevadi ze bude videt pocet souboru a +- jejich velikost)... instalace:

sudo apt-get install encfs

zalozeni sifrovaneho adresare .tajne (do nej se budou ukladat zasifrovane soubory) v aktualnim adresari, nasledne pripojeni jako tajne (tam se bude jen pripojovat a pouzivat na ukladani souboru, ktere se na pozadi sifruji prave do .tajne)

encfs $(pwd)/.tajne $(pwd)/tajne
y (ano vytvorit .tajne)
y (ano vytvorit tajne)
p (rezim paranoia)
heslo (zadani hesla)
heslo (opakovani zadani hesla)

odpojeni sifrovaneho adresare:

fusermount -u tajne

priste pripojeni je totozne jako zalozeni(ale uz se pta jen na heslo), v tom adresari kde si zakladal:

encfs $(pwd)/.tajne $(pwd)/tajne

nastroj encfs pozaduje celou cestu k adresari, misto pouziti vlozeneho prikazu pwd (ktery vpise aktaulni adresar), je mozne vypsat celou cestu rucne:

encfs /media/jany2/mojeflash/.tajne  /media/jany2/mojeflash/tajne

[jmk]

Na DEB distrech mám dobrou zkušenost s grafickým frontendem Gnome EncFS Manager. Není nutno si pamatovat příkazy a psát dlouhé cesty do terminálu. V Ubuntu je nutno si připojit PPA repo https://launchpad.net/~gencfsm/+archive/ubuntu/ppa

[Filip Jirsák]

Záleží na tom, k čemu a jak to chcete používat. Když použijete softwarové šifrování a zadáte heslo na kompromitovaném počítači, útočník ho může zjistit a přistupovat k šifrovaným datům i v budoucnosti, až do kontejneru nahrajete další soubory. Když použijete hardwarové šifrové, kde se klíč zadává přímo do zařízení, na kompromitovaném počítači může útočník přečíst aktuální stav, ale nedostane se k datům později. U softwarového šifrování může útočník heslo louskat donekonečna, což je pro vás nebezpečné, pokud budete mít slabé heslo. Hardwarové klíče by měly data po několikerém chybném zadání PINu/hesla data zničit. Hardwarový klíč můžete použít kdekoli, pro softwarové řešení musíte mít nainstalovaný potřebný program. Ale TrueCrypt/VeraCrypt je prověřený software, na který se můžete z bezpečnostního hlediska spolehnout. V případě hardwarového klíče je potřeba si přečíst nějaké bezpečnostní analýzy a vybrat takový, který skutečně chrání data a není to jen šidítko.