लिनक्स में पासवर्ड-कम प्रमाणीकरण के साथ पूर्ण डिस्क एन्क्रिप्शन

Question

मेरे पास डेबियन 5.0.5 में एक काफी मानक डिस्क एन्क्रिप्शन सेटअप है: अनएन्क्रिप्टेड /bootविभाजन, और एन्क्रिप्टेड sdaX_cryptजिसमें अन्य सभी विभाजन शामिल हैं।

अब, यह एक हेडलेस सर्वर इंस्टॉलेशन है और मैं इसे बिना कीबोर्ड के बूट करना चाहता हूं (अभी मैं इसे केवल कीबोर्ड और मॉनिटर से जुड़ा हुआ कर सकता हूं)।

अब तक मुझे /bootएक यूएसबी ड्राइव में पार्टीशन को स्थानांतरित करने का विचार है और कुंजी को ऑटो-एंटर करने के लिए थोड़ा संशोधन करें (मुझे लगता askpassहै कि बूट स्क्रिप्ट में कहीं न कहीं एक कॉल है)। इस तरह मैं बिना सिर के बूट कर सकता हूं, बस बूट समय पर फ्लैश ड्राइव की जरूरत है।

जैसा कि मैंने देखा है, इसके साथ समस्या यह है कि

1. मुझे यह काम करने के लिए सभी बिट्स और टुकड़ों का पता लगाने में समय लगाने की आवश्यकता है,
2. यदि कोई अपडेट है, जो पुन: उत्पन्न करता है initrd, तो मुझे USB पर बूट विभाजन को पुन: उत्पन्न करने की आवश्यकता है, जो थकाऊ लगता है।

प्रश्न: क्या मैं जो करना चाहता हूं उसके लिए एक मानक कम-अप उपाय उपलब्ध है? या मुझे कहीं और देखना चाहिए?

Answer 1

आप अपने सिस्टम को पासवर्ड के बजाय कुंजी की आवश्यकता के लिए सेटअप कर सकते हैं और इस कुंजी को USB स्टिक पर खोजने के लिए कुछ स्क्रिप्ट बदल सकते हैं। मुझे डेबियन लेन पर इस प्रक्रिया के लिए एक विस्तृत विवरण मिला । अंत में कुछ नोट हैं जो डेबियन के नए संस्करणों के लिए आवश्यक परिवर्तनों का वर्णन करते हैं।

Comments

लगता है कि मुझे क्या चाहिए। मुझे सबसे पहले यह देखने की आवश्यकता है कि उत्तर को स्वीकार करने से पहले अद्यतनों के बीच काम करने में कितना प्रयास है।

— एलेक्स बी

ठीक है, हालांकि "मानक" समाधान नहीं है, ऐसा लगता है कि काम किया है।

— एलेक्स बी

Answer 2

लेकिन फिर फुल डिस्क एन्क्रिप्शन होने का क्या मतलब है, अगर आप प्लेटेक्स्ट में चारों ओर कीज़ छोड़ रहे हैं?

उस काम के लिए, आपको कुछ इस तरह की आवश्यकता होगी जैसे कि Microsoft और बिग मीडिया द्वारा ट्रस्टेड कम्प्यूटिंग प्लेटफ़ॉर्म को माना जाता है जो इसे अपने स्वयं के दुष्ट उपयोगकर्ता-वश में करने के उद्देश्य से अपहरण कर लेता है।

इस विचार में एक चिप है जो मदरबोर्ड में कुंजियों को पकड़े हुए है, और इसे केवल तभी चाबियाँ दे सकती है जब यह सत्यापित हो जाए कि चल रहे सॉफ़्टवेयर को एक विश्वसनीय प्राधिकारी (आप) द्वारा ठीक से हस्ताक्षरित किया गया था। इस तरह आप सादे दृष्टि में चाबी नहीं छोड़ते हैं और आपको सर्वर को अंतःक्रियात्मक रूप से बूट करने की जरूरत नहीं है।

यह एक दया है जिसे मैंने कभी भी विश्वसनीय कम्प्यूटिंग को किसी अच्छे उपयोग के लिए नहीं देखा है , जो वास्तव में अंतिम उपयोगकर्ता के लिए उपयोगी हो सकता है ।

Comments

कुंजी आपके SSH कुंजी के बजाय सादे में चारों ओर बिछाने में प्लेनटेक्स्ट के आस-पास नहीं है ~/.ssh। मैं बस फुल डिस्क एन्क्रिप्शन के साथ एक हेडलेस सर्वर को बूट करने में सक्षम होना चाहता हूं और कुंजी को बाहर निकालना चाहता हूं। मुझे पता है कि हमलावर अनएन्क्रिप्टेड बूट पार्टीशन को संशोधित कर सकता है और चाबी चुरा सकता है (जैसे सॉफ्टवेयर-आधारित नियमित पासवर्ड संस्करण वैसे भी), लेकिन मैं सिर्फ आकस्मिक चोरी से बचाव कर रहा हूं।

— एलेक्स बी

वास्तव में टीपीएम डीआरएम से दूर हो गया है और सरकार और उद्यम हाल ही में उपयोग करते हैं। वहाँ बहुत सारे OS हैं जो इसे गुप्त कुंजियों को संग्रहीत करने के लिए उपयोग कर सकते हैं, मुझे ऐसी किसी भी चीज़ के बारे में नहीं पता है जो अखंडता सुरक्षा प्रदान करती है (यानी एक हमलावर को एक keylogger सम्मिलित करने की अनुमति नहीं देता है /boot)।

— गिल्स एसओ- बुराई को रोकना '

@ एलेक्स बी: क्या आपके सर्वर में टीपीएम है? यदि हां, तो आप शायद वही कर सकते हैं जो आप ट्रस्टेड ग्रब के साथ चाहते हैं ।

— गिल्स एसओ- बुराई को रोकना '

ध्यान दें कि प्लेनटेक्स्ट में चाबियाँ छोड़ने का एक लाभ है, जो यह होगा कि आप पूरी डिस्क को शून्य किए बिना डिस्क पर संवेदनशील डेटा को पूरी तरह से मिटा सकते हैं। हां, आप सुपरब्लॉक या विभाजन तालिका को शून्य कर सकते हैं, लेकिन जैसा कि हम सभी जानते हैं, डेटा अभी भी उन कार्यों से पुनर्प्राप्त करने योग्य है।

— 20

@strugee: यदि आप LUKS का उपयोग कर रहे हैं, तो LUKS हेडर को शून्य करने से पूरी मात्रा अप्राप्य हो जाती है। यदि आपका प्लेन हेडरलेस डीएम-क्रिप्ट का उपयोग कर रहा है, तो हाँ, यह अभी भी बाद में पासवर्ड के साथ पुनर्प्राप्त करने योग्य है।

— जे सुलिवन

Answer 3

मैंडोस (जो मैंने और अन्य ने लिखा है) इस समस्या का हल करता है:

मंडोस एन्क्रिप्टेड रूट फ़ाइल सिस्टम के साथ सर्वरों को अनुमति देने के लिए एक प्रणाली है जो बिना पहुंच के और / या दूर से रिबूट करने के लिए है। देखें परिचय पुस्तिका पेज एक पूछे जाने वाले प्रश्न सूची सहित अधिक जानकारी के लिए।

संक्षेप में, बूटिंग सर्वर को सुरक्षित फैशन में, नेटवर्क पर पासवर्ड प्राप्त होता है। विवरण के लिए README देखें।

Comments

यहां तक ​​कि अगर यह मुफ्त सॉफ्टवेयर, यह बताते हुए कि यह आपके उत्पाद की सराहना की जाएगी यदि वास्तव में आवश्यक नहीं है । एक अधिक पठनीय README / FAQ लिंक और एक छोटा स्पष्टीकरण कि कैसे मांडोस काम करता है, की भी सराहना की जाएगी।

— गिल्स एसओ- बुराई को रोकना '

@ गिल्स: अब हो गया।

— टेडी