Linux HDD teljes titkosítása + OpenVPN kulcs védelem?

Fórumok

Sziasztok!

Mit javasoltok, hogy lehet a legmagasabb fokú adatvédelmet elérni Linuxon?
Azt szeretném, hogy a teljes disk tartalma titkosítva legyen, lehetőleg valami komolyabb, Truecrypt jellegű titkosítással, vagy lehet egyszerűbbel, beépítettel is. AES használat például jó lenne, mert az a CPU által is támogatott.

A cél, hogy a gépet ha egy hozzáértőbb biztonsági szakember akarja feltörni, akkor nagyon ne legyen egyszerű dolga. Vegyük úgy, hogy meg akarok tenni mindent, hogy biztonságos legyen.Itt van 2 cikk:

http://www.howtogeek.com/203708/3-alternatives-to-the-now-defunct-truec…

http://alternativeto.net/software/windows-bitlocker/?license=free&platf…

1. Milyen fajta titkosítási megoldás nyújt legjobb védelmet?

Tehát jelszó után töltődne be az operációs rendszer, majd lenne a felhasználónak is valami egyedi jelszava természetesen, mint Linux user.

2. Jól gondolom, hogy ez nem zárja ki, ha használjak akár valami Thinkpad FDE jellegű titkosítást is, mint másik biztonsági szint?

https://support.lenovo.com/us/en/documents/migr-69621

Tehát bekapcsolom a gépet, megadom a disk olvasáshoz a jelszót (FDE), amit a BIOS kérdez, majd utána a Linux boot előtt/közben is kér jelszót, majd betöltődik az operációs rendszer és belépek a felhasználómmal.

3. Melyik distro támogatja alapból a lenti igényeket, amit szeretnék, melyiken nem lehetséges ezt megvalósítani, melyiken a legegyszerűbb?

Distro / szoftver (nem túl nagy) igények:
- legyen hozzá rendszeres biztonsági frissítés legalább 2 évig, és át lehessen állni majd az újabb verzióra, ha már nincs támogatás, egyszerűen
- chrome és firefox böngésző legyen benne a csomagjaik között
- openvpn támogatás
- valami grafikus gui

(ezt kb minden "nagy" distro tudja, de azért leírtam)

Distro, amiket választanék, sorrendben, kérnék éveket, ellenérveket, ha nem túl érzelmi alapúak:

A.: CentOS 6 (ezt ismerem legjobban, a célnak megfelelő lehet, van hozzá gui. Ellenérv? )
B.: Fedora 22 (ez frissebb, több a frissítés, amik néha nem működnek. Miért előnyösebb mint a CentOS?)
C.: Ubuntu 14 TLS (populáris, de kevésbé ismerem. Miért előnyösebb, mint az előző kettő, a célra?)

4. Melyiket javasoljátok a célra?

Felhasználási terület, VPN-en keresztül:
- böngészés
- levelezés
- privát állományok tárolása

(Számomra) érzékeny adatokkal.

5. Bármilyen javaslat az OpenVPN kulcs extra védelmére?

Külön Truecrypt konténerbe tenni, vagy ennél elegánsabb, automatizáltabb módja?
Jelszó az OpenVPN kulcs használatához? Vagy még valami?

6. Hogy tudom a Linuxot a leginkább paranoid módon biztonságossá tenni? Gondolok itt a leginkább zárt tűzfal/iptables beállításokra, root belépés letiltás, SSH-t más portra, stb?

Eleve egy külön, nem root felhasználó futtatná természetesen a böngészőt, stb.
7. Külön titkosítás minden Linux felhasználó adatának?

Tudnátok erről valami ajánlott leírást, cikket adni?

8. Milyen távmenedzsment programot lehetne ennek ellenére használni ezen a gépen? Spacewalk jellegűre gondoltam.

http://spacewalk.redhat.com/

Köszönöm előre is az észrevételeket, javaslatokat.

Tudom, ez így egyben sok(k)... :-)

Hozzászólások

Atlag biztonsagi problemas esetben (gep elveszett/elloptak ( nem kell tulkomplikalni a dolgokat keves Turing szintu ember kallodik a vilagban aki a te gepedet akarja feltorni )
Ha valamit rejtegetsz es hivatalbol erdeklodnek majd te magad fogod megadni a jelszot hidd el jobb lesz az neked. Nalunk (uk) ha nem kozremukodsz egy adat titkositasos ugy kapcsan megfeleloen siman sittrevagnak mert radhuzzak hogy terrorista vagy.

Nem ott lakok.
Ott pedig több évszázad precedense jelent kibúvót. Vagy ez "unless it is shown that the key was not in his possession after the giving of the notice and before the time by which he was required to disclose it."

Nem terrorizmusnál, ahol maguk a hatóságok is hajlamosak lazán kezelni a jogszabályokat, de teszem azt egy árnyékkönyvelés esetén ép elméjű ember nem fogja átadni ha kulcsot, jelszót ha korábban volt annyi esze, hogy titkosítva tárolja. Az ügyvédje pedig majd kitalál egy elfogadható okot arra miért nincs már meg a kulcs.

Diszk titkositas teren kb 3 szintet lehet megkulonboztetni:
- fizikailag diszkbe van epitve a hw-es titkositas, lasd emlitett Thinkpad, gep indulasakor bios betolteskor bekeri a kodot, oprendszer szempontjabol transzparens, teljesitmenyen nem valtoztat, 1 jelszot kezel, ha azt elfelejted akkor dobhatod ki a lemezt. Nemelyik gyartonal warm reboot eseten nem keri be ujra a jelszot, ezt mindenki dontse el maga, hogy bug vagy feature.

- Oprendszerrel titkositasz de block szinten (kozel teljes diszket) pl luks, kernel betolteskor bekeri a kodot, es utana lesz hozzaferheto kikodolt formaban is a tarhely, ezert erdemes tenni egy /boot particiot, maradekot letitkositani es pl lvm-et tenni ra hogy tovabb lehessen darabolni. tud jelszot vagy kulcsot is kezelni, tobbet is (talan 16-ot), kulcs szinte barmi lehet, teszem azt egy csaladi fenykep, bar kulcs betoltesre kesz automata megoldasok oprendszer indulaskor nem tudom mennyire vannak.

- filerendszeren belul csak adott mappat vagy file-okat titkositasz.

Ezeket akar mindegyiket is alkalmazhatod egyszerre, elso ketto eleg transzparans ahhoz hogy gep inditaskor megadod a jelszot es utana nem kell vele foglalkozni, harmadikat inkabb csak a tenyleg kritikus adatokra erdemes amit ritkan is hasznalsz hogy olyankor elerhetove teszed.

Openvpn kulcs vedelmere mire gondolsz, kliens oldalon vagy szerveren, illetve csak a kulcs vagy maga a vpn kapcsolat?
vpn kulcsra tehetsz egyebkent jelszot is, mint egy ssh kulcs eseten.

Maga a linux teljes vedelme mar eleg mas teszta, mert az hogy tarhelyed titkositva van meg az emberi tenyezoktol nem ved, ha valaki megnyitja a gyanus csatolmanyt vagy weboldalt.
Tuzfalat mindenkepp erdemes tenni, mellette apparmor, selinux jellegu megoldast is nehany rendszer defaultbol szallit. Amugy userek hozzaferesei legyenek lekorlatozva, ne legyen fenn felesleges program, ami fenn van legyen frissen tartva. Esetleg kulon chroot/zona/kontener/virtualis gep stb.-be zarni a usereket.
Csak kerdes mennyire van ennek valos szukseglete es mennyi nehezseget fog jelenteni a usereknek inkabb. Lehet egyszerubb azt mondani, hogy nem azt a gepet veded amit kozesen kell hasznalnod masokkal hanem a kritikus adataidat elkulonitve tarolod valami biztonsagos csatornan keresztul, amit csak a te usered er el amikor kell.

Köszönöm az összefoglalót és az áttekintést is. Sokat segítettél, hogy merre és hogyan induljak el.

Alapvetően az OpenVPN kulcs védelmére, mert azzal is hozzá lehet férni adatokhoz.

Felhasználók elkülönített védelmére mi a relatíve biztonságos és hatékony és egyszerű módja?

A luks-os védelem tűnik most hasznosnak:

https://wiki.centos.org/HowTos/EncryptTmpSwapHome

Sakk-matt,
KaTT :)

Openvpn kulcsra tehetsz jelszot, ahogy egy ssh kulcs eseten is, csak annyi hogy azt ne taroltasd le alkalmazas/rendszer szinten, ha titkositott tarhelyen is van akkor ettol tobbet nem erdemes foglalkozni vele, hacsak nem valami tenyleg kritikus dologrol van szo, de ott meg ugyis bejon a kepbe meg par titkositas es azonositasi reteg.
Felhasznalok elkulonitesere egyszeru megoldas hogy sima jogaik vannak es beallitod hogy file-jaikat ugy hozzak letre hogy csak ok maguk lassak. Persze lehet meg par elvetemult dolgot beletenni komolyabb szetvalasztasra, de szerintem neked ennyi is elegendo.

cryptsetup - Linux disztribúciók támogatják, többük telepítéskor fel is ajánlja.
A /boot partíciód kivételével mindened titkosított.

Sőt ha nem nem a kulcs feloldásához való > 20 karakteres jelszót kell beadnod, hanem magát a titkosító kulcsot kell odaadnod például a nálad levő pendrive-ról.
Esetleg hogy még a /boot-ba se kerülhessen huncutság, az is a nálad levő pendrive-n van.

Na ezt brute force-old meg.

HDD titkosításra LUKS vált be a legjobban eddig, a családi fényképet is simán behúzza pendriveról vagy bármi ilyesmiről (sőt akár szerverről tftpvel, ha jól emlékszem).

Külön hw titkosítással (is) menni fog.

Minden disztró támogatja az általad leírt követelményeket, legalábbis minden nagyobb, lehet openELEC-re nehéz lenne felhegeszteni mindent:D

A VPN kulcsot (miután az egész HDD titkosítva van) már nem igazán kell hova védeni. Azt tudom elképzelni még, hogy ahelyett, hogy a gépen tartod, mondjuk egy Yubikey 2. slotjába töltöd fel.

Ezekkel, meg SELinux/tripwire/stb. gyakorlatilag támadhatatlanná teheted a gépet, de nem is itt van az igazi probléma. A nagy baj ott jön, amikor erre GUI-t szeretnél tenni. Jelenleg Xorg-on kívül nem nagyon lehet mást használni Linuxon GUI-nak, az pedig (még ha esetleg rootless-re is állítod be) sajnos gyakorlatilag össszes ilyen irányú védelmedet kompromittálja. Erről többet a cubesOS.org-on tudhatsz meg leegyszerűbben.

FathoM

Hogyismondjam. Amikor az X-et elkezdték fejleszteni ez nagyon nem volt érdekes. Gyakorlatilag semmilyen védelem nincs benne, kb mindenki mindent lát és hall.
GUI védelem témakörben egyébként a Windows a legerősebb, de igazából az sincsen rendesen megcsinálva, szóval igazából az sem véd.

FathoM