Dotaz: Šifrovaný disk s virtuální klávesnicí

[Pepa Kovařík]

Řeším teď takovou hloupost, dostal jsem o kámoše starší tablet kde je jen 128GB SSD, původně tam byli Win 7 teď tam chci dát Arch + XFCE4. Mít to na cesty na filmy, studium a obcas i připojit klávesnici a něco delšího psát. Řesím to kdybych ho někde zapoměl a pod aby se tam nikdo nedostal. Chápu možnost udělat separátní /home s LUKS ale vzhledem k velikosti disku se mi moc nechce odhadovat kolik budu potřebovat na systém a ostatní věci, raději bych to měl nerozdělené, což zahrnuje šifrovat vše kromě EFI. A k věci - kdybych jel bez klávesnice tak mi v textovým režimu prostě virtuální klávesnice nenaběhne, abych se mohl přihlásit. Je nějaké řešení?

Odpovědi

[Peter Golis]

Odomykanie disku bez klávesnice sa dá. Môžeš použiť nejaké bezpečnostné zariadenie ktoré je schopné uchovať token na odomknutie disku. Napríklad yubikey, alebo vstavané TPM (v čase Win7 asi nebolo povinné), či hocičo iné. Čo z toho máš k dispozícii?

[Pepa Kovařík]

TPM ale nepoužtelný nemůžu spravovat BIOS je zamčený a heslo nikdo neví.

[X]

Co to je za tablet?

[Pepa Kovařík]

Dell Venue 11 Pro 7130.

[lertimir]

Zatím to vypadá, že tablet má problém na WIFI a Bluetooth. Vzhledem k tomu, že je schopen bootovat s USB, tak na USB zřejmě může být initramfs nebo klíče k LUKSu.

[Pepa Kovařík]

Koupil jsem Wifi kartu a SSD: https://www.mamevsechno.cz/SD6SP1M-128G-1002-128GB-SSD-M-2-NGFF-2260-SSD-X110-Series-FW-X231202-d881.htm https://www.mamevsechno.cz/WiFi-modul-HP-Intel-Dual-Band-Wireless-AC-7265NGW-NGFF-M2-867Mbps-d2804.htm

Wifi i bluetooth fungují jak mají.

"Vzhledem k tomu, že je schopen bootovat s USB, tak na USB zřejmě může být initramfs nebo klíče k LUKSu." To zní skvěle musím dohledat jak na to, díky.

[lertimir]

co tohle

[Peter Golis]

Odkedy je TPM prístupný len z BIOSu? Prezraď, rád sa o tom niečo nového dozviem.

[Pepa Kovařík]

No nevím, v BIOSu je sekce TPM Security disabled/šedé neaktivní políčko/ a bez admin hesla to nejde změnit, tohle jsem myslel.

[Peter Golis]

Otázkou je čo znamená to zašednutie, presnejšie prečo tam je. S Admin heslom to nemusí mať nič spoločné. Môže to byť absencia nejakého nastavenia alebo aj napríklad kľúča vlastníka daného stroja (pri windowsoch je v tomto ponímani vlastníkom vždy MS, a nie ten kto daný produkt zakúpil).

Skúsil by som v Linuxe do toho TPM niečo nahrať. Ak to bolo podpísané MS kľúčmi (ktoré medzičasom neboli revokované, že áno), tak by sa do TPM malo dať pristupovať aj z OS podpísaného rovnakým výrobcom. A tak isto aj nahrať kľúč/heslo na odomknutie disku cez LUKS.

Inak namiesto cryptsetup sa dá použiť aj myslím že encfs s PAM mdulom ktorý ti odomkne zakryptovaný domovský priečinok pri prihlásení. Kedysi boli na také niečo aj voľby v sprievodcovi inštaláciou.

Ale to ťa ajtak neochráni pred krádežou údajov, ak ho necháš niekde voľne pohodený, naštartovaný a s odomknutou obrazovkou.

[Heron]

MS Windows 11 i Linux podporují i dotykové tablety, šifrovaní je dneska ve standardu, na Widlích Bitlocker, na Linuxu LUKS, takže není žádný problém. Každý tablet za 2000Kč má šifrované úložiště a bezdrátovou klávesnici. Jeden Asus mám doma.

[Pepa Kovařík]

LUKS znám, jde mi o to abych odemknul tablet, když zašifruju celý disk tak mi nenaběhne GUI a tedy ani virutální klávesnice. Jedině že by se klíč načetl s flashky jestli to jde takhle?

[lertimir]

A už jsi vyzkoušel, jestli tam linux pojede? je to na procesoru X86? ARM? Rozjel jsi tam nějaké live distro? Moje zkušenost je taková, že tablety mají tak specializovaný HW, že většinou jejich výrobce udělal konkrétní driver pro svůj HW na konkrétní Win a nic dalšího. A vzhledem, jak to mivá minoritní podíl v chipovém svétě, tak nikdo dalšího driver pro linux nedělá. Pokud nerozjedeš live distro a nezanalyzuješ, co jede a co ne, je předčasné se o disku bavit.

[Pepa Kovařík]

Ano, je tam Intel 5 procesor a Arch s flashky tam v pohodě naběhne.

[raven4]

Preji dobry den, nabizi se moznost pouzit ext flasku chranenou svou VLASTNI PIN klavesnici pr Kingston Datatraveler 2000 nebo patrne novejsi Kingston IronKey Keypad 200

Pote: grub+vmlinuz+iniramfs se nachazi na one flesce a tedy boot probiha z ni (po odemceni PINem), vse v tabletu uz muze byt zasifrovano cryptsetup+luks, neb z tabletu se fakticky nebootuje

Ony fleshky maji mnoho zajimavych ficurek: maji vlatni PIN klavesnici jsou HW sifrovane lze je prepinat mezi read-only a read-write rezimem maji pomerne vysoke certifikace kt. teoreticky splnuji standardy NATO

uzivam tento setup vsude uz leta, funguje dobre, jen fleska je kapicku drazsi nez jine obvykle flesky

BR, raven4

[Peter Golis]

To teoreticky je o tom, že sa prevalilo u rôznych modelov že PIN chráni len prístup ku peňaženke, a dá sa veľmi ľahko obísť?

Ostatne tablet alebo notebook by som neštartoval z ničoho čo trčí z šasi, a dá sa o to zavadiť. Človek si veľmi rýchlo vyvalí jak port (a zároveň poškodí motherboard), tak aj zlomí to externé pamäťové médium.