Dotaz: Přihlášení na server - zapomenuté heslo

[dnes]

Ahoj všem. Mám takový malý server který si léta žije vlastním životem. Chtěl jsem po hodně dlouhé době udělat aktualizace. Píše mi to, že jsem zadal neplatné heslo. Tady jsem našel návod jak na to. Nechám PC bez dozoru a trochu znalý se dostane na mé data? To jako fakt vážně?

Odpovědi

[X]

To plati univerzalne, jmenuje se to "fyzicky pristup". Kdyz se dostanu k tvemu serveru a rozmlatim ho o zem tak to bude taky fungovat. Muzes treba vyndat disk, nabootovat z USB etc.

[dnes]

Popravdě jsem myslel že Linux je z bezpečností někde úplně jinde.

[k3dAR]

Nebyl si to ty kdo nezvolil sifrovani celeho disku?
(pak by nepomohl ten tvuj postup, vyndani disku, boot, usb flash atd...)
(samozrejme ve spojeni se secureboot a pouze vlastnima klicema v efi, aby ti tam nikdo nemohl podvrhnout keyloger na nesifrovanej efi oddil)

[dnes]

Nebyl :)

Když jsme u toho šifrování, nainstaloval jsem desktop Ubuntu, při instalaci jsem zvolil "šifrovat domovskou složku" (user pavel), po instalaci vytvořil dalšího usera (jirka), přihlásil jsem se jako jirka a normálně jsem mohl číst veškerá data ve složce /home/pavel. Nechápu

[Jendа]

A jak by to jako mělo jinak fungovat? (jako můžeš to zkusit šifrovat přes klíč z TPM a doufat že to nikdo necrackne)

[dnes]

Tak vážně nikdo neví jak je možné, že vidím data jiného uživatele když zvolil šifrovat domovskou složku?

[Max]

Hele, je to takhle.
Ubuntu neznám, ale většinou se pro šifrování používá LUKS. LUKS oddíl pak můžeš dešifrovat několika způsoby. Jedním z nich je heslo. Pokud si vymyslíš dostatečné dlouhé a složité, tak je to bezpečné a nikdo to v reálném čase nepropálí. Heslo pak zadáváš při odemykání zašifrovaného zařízení (tedy minimálně při každém startu PC).
Další možnost je odemykat šifrovaný oddíl pomocí certifikátu, který tomu LUKS předhodíš a on se ti sám odemkne. To se většinou používá v případech, kdy chceš, aby ti stroj nabíhal automaticky a nevisela někde žádost o heslo. Certifikát pak můžeš mít uložený třeba bokem na flešce. Útočníka to nezastaví při fyzickém útoku, ale když třeba reklamuješ vadný disk, tak se nemusíš bát o data, nikdo ti je z toho reklamovaného disku nevyloví.

Pokud jde o Windows, ty mají bitlocker. Ten zašifruje oddíl a má celou posloupnost certifikátů, které odemykají ten další a další. Kvůli eliminaci útoků a zjednodušení hesla pak používají TPM2.0 čip. Při startu PC tedy zadáš krátký šestimístný PIN do TPM, ten ti pak zpřístupní certifikát, kterým odemkneš zašifrované Windows. PIN ale musíš zadávat při každém startu PC. TPM je podporováno i v Linuxu, takže i v něm si to můžeš zjednodušit a zadávat kratší heslo při bootu.

Sám by jsi tedy měl vědět, zda šifruješ, pokud ano, tak jakým nástrojem a jak máš nastaveno odemykání šifrované volume.
Jak se pracuje s LUKS atd., to jsem popsal v tomto zápisku:
U odemčeného LUKS si můžeš vypsat všechny možnosti odemykání atd., takže vše jde dohledat a nastavení si zjistit pomocí pár příkazů.
Zdar Max

[Max]

Ještě dodám, že jsem trochu pogooglil a "zašifrovat domovskou složku" v Ubuntu znamená, že se použije ecryptfs. Ten funguje ale tak, že všechna data vidíš, jen jsou nečitelná, dokud ten adresář neodemkneš (opět lze řešit automatické odemykání).
Pokud tedy používáš ecryptfs, ověř si, jak ho máš nastaven.
Zdar Max

[Radek]

Linux je bezpečnej tak, jak to zabezpečí člověk ;) tedy linux sám o sobě zabezpečený nebývá (až na vyjímky).

[Peter Golis]

Nejako nerozumiem. Vadí ti že tvoj predchodca vyklikal najlacnejšiu VM v Cloude, bez ochrany? Určite ponúkajú aj edície so Secure Boot (Sicherboot s vlastnými kľúčmi odolnými voči vzdialenému NSA ale nie voči lokálnemu Interpoolu s hasákom v ruke).

Alebo ti vadí že si videl metadáta súborov (názvy, časy, veľkosti) v zakryptovanom priečinku, ale do dát si sa už nepozrel? Vyzerali by ako rozsypaný čaj.

Skús byť presnejší. Bez toho to vyzerá ako veľmi slabá provokácia znudeného pubertiaka.