Sziasztok!
Mit javasoltok, hogy lehet a legmagasabb fokú adatvédelmet elérni Linuxon?
Azt szeretném, hogy a teljes disk tartalma titkosítva legyen, lehetőleg valami komolyabb, Truecrypt jellegű titkosítással, vagy lehet egyszerűbbel, beépítettel is. AES használat például jó lenne, mert az a CPU által is támogatott.
A cél, hogy a gépet ha egy hozzáértőbb biztonsági szakember akarja feltörni, akkor nagyon ne legyen egyszerű dolga. Vegyük úgy, hogy meg akarok tenni mindent, hogy biztonságos legyen.Itt van 2 cikk:
http://www.howtogeek.com/203708/3-alternatives-to-the-now-defunct-truec…
http://alternativeto.net/software/windows-bitlocker/?license=free&platf…
1. Milyen fajta titkosítási megoldás nyújt legjobb védelmet?
Tehát jelszó után töltődne be az operációs rendszer, majd lenne a felhasználónak is valami egyedi jelszava természetesen, mint Linux user.
2. Jól gondolom, hogy ez nem zárja ki, ha használjak akár valami Thinkpad FDE jellegű titkosítást is, mint másik biztonsági szint?
https://support.lenovo.com/us/en/documents/migr-69621
Tehát bekapcsolom a gépet, megadom a disk olvasáshoz a jelszót (FDE), amit a BIOS kérdez, majd utána a Linux boot előtt/közben is kér jelszót, majd betöltődik az operációs rendszer és belépek a felhasználómmal.
3. Melyik distro támogatja alapból a lenti igényeket, amit szeretnék, melyiken nem lehetséges ezt megvalósítani, melyiken a legegyszerűbb?
Distro / szoftver (nem túl nagy) igények:
- legyen hozzá rendszeres biztonsági frissítés legalább 2 évig, és át lehessen állni majd az újabb verzióra, ha már nincs támogatás, egyszerűen
- chrome és firefox böngésző legyen benne a csomagjaik között
- openvpn támogatás
- valami grafikus gui
(ezt kb minden "nagy" distro tudja, de azért leírtam)
Distro, amiket választanék, sorrendben, kérnék éveket, ellenérveket, ha nem túl érzelmi alapúak:
A.: CentOS 6 (ezt ismerem legjobban, a célnak megfelelő lehet, van hozzá gui. Ellenérv? )
B.: Fedora 22 (ez frissebb, több a frissítés, amik néha nem működnek. Miért előnyösebb mint a CentOS?)
C.: Ubuntu 14 TLS (populáris, de kevésbé ismerem. Miért előnyösebb, mint az előző kettő, a célra?)
4. Melyiket javasoljátok a célra?
Felhasználási terület, VPN-en keresztül:
- böngészés
- levelezés
- privát állományok tárolása
(Számomra) érzékeny adatokkal.
5. Bármilyen javaslat az OpenVPN kulcs extra védelmére?
Külön Truecrypt konténerbe tenni, vagy ennél elegánsabb, automatizáltabb módja?
Jelszó az OpenVPN kulcs használatához? Vagy még valami?
6. Hogy tudom a Linuxot a leginkább paranoid módon biztonságossá tenni? Gondolok itt a leginkább zárt tűzfal/iptables beállításokra, root belépés letiltás, SSH-t más portra, stb?
Eleve egy külön, nem root felhasználó futtatná természetesen a böngészőt, stb.
7. Külön titkosítás minden Linux felhasználó adatának?
Tudnátok erről valami ajánlott leírást, cikket adni?
8. Milyen távmenedzsment programot lehetne ennek ellenére használni ezen a gépen? Spacewalk jellegűre gondoltam.
Köszönöm előre is az észrevételeket, javaslatokat.
Tudom, ez így egyben sok(k)... :-)
- 3216 megtekintés
Hozzászólások
Atlag biztonsagi problemas esetben (gep elveszett/elloptak ( nem kell tulkomplikalni a dolgokat keves Turing szintu ember kallodik a vilagban aki a te gepedet akarja feltorni )
Ha valamit rejtegetsz es hivatalbol erdeklodnek majd te magad fogod megadni a jelszot hidd el jobb lesz az neked. Nalunk (uk) ha nem kozremukodsz egy adat titkositasos ugy kapcsan megfeleloen siman sittrevagnak mert radhuzzak hogy terrorista vagy.
- A hozzászóláshoz be kell jelentkezni
Ezt a conspiracytheorytoday-en olvastad vagy Molnár F. Árpád blogján?
- A hozzászóláshoz be kell jelentkezni
Nem ott lakok.
Ott pedig több évszázad precedense jelent kibúvót. Vagy ez "unless it is shown that the key was not in his possession after the giving of the notice and before the time by which he was required to disclose it."
Nem terrorizmusnál, ahol maguk a hatóságok is hajlamosak lazán kezelni a jogszabályokat, de teszem azt egy árnyékkönyvelés esetén ép elméjű ember nem fogja átadni ha kulcsot, jelszót ha korábban volt annyi esze, hogy titkosítva tárolja. Az ügyvédje pedig majd kitalál egy elfogadható okot arra miért nincs már meg a kulcs.
- A hozzászóláshoz be kell jelentkezni
Szia!
Nincs olyan adat, ami a hatóságnak érdekes lenne.
Ez az egész arról szól, hogy megvédjem a gépet a nem megfelelő hozzáféréstől. Ha hatóság kérné, persze megadnám a hozzáférést, hiszen nincs mit titkolni előlük.
Sakk-matt,
KaTT :)
- A hozzászóláshoz be kell jelentkezni
Diszk titkositas teren kb 3 szintet lehet megkulonboztetni:
- fizikailag diszkbe van epitve a hw-es titkositas, lasd emlitett Thinkpad, gep indulasakor bios betolteskor bekeri a kodot, oprendszer szempontjabol transzparens, teljesitmenyen nem valtoztat, 1 jelszot kezel, ha azt elfelejted akkor dobhatod ki a lemezt. Nemelyik gyartonal warm reboot eseten nem keri be ujra a jelszot, ezt mindenki dontse el maga, hogy bug vagy feature.
- Oprendszerrel titkositasz de block szinten (kozel teljes diszket) pl luks, kernel betolteskor bekeri a kodot, es utana lesz hozzaferheto kikodolt formaban is a tarhely, ezert erdemes tenni egy /boot particiot, maradekot letitkositani es pl lvm-et tenni ra hogy tovabb lehessen darabolni. tud jelszot vagy kulcsot is kezelni, tobbet is (talan 16-ot), kulcs szinte barmi lehet, teszem azt egy csaladi fenykep, bar kulcs betoltesre kesz automata megoldasok oprendszer indulaskor nem tudom mennyire vannak.
- filerendszeren belul csak adott mappat vagy file-okat titkositasz.
Ezeket akar mindegyiket is alkalmazhatod egyszerre, elso ketto eleg transzparans ahhoz hogy gep inditaskor megadod a jelszot es utana nem kell vele foglalkozni, harmadikat inkabb csak a tenyleg kritikus adatokra erdemes amit ritkan is hasznalsz hogy olyankor elerhetove teszed.
Openvpn kulcs vedelmere mire gondolsz, kliens oldalon vagy szerveren, illetve csak a kulcs vagy maga a vpn kapcsolat?
vpn kulcsra tehetsz egyebkent jelszot is, mint egy ssh kulcs eseten.
Maga a linux teljes vedelme mar eleg mas teszta, mert az hogy tarhelyed titkositva van meg az emberi tenyezoktol nem ved, ha valaki megnyitja a gyanus csatolmanyt vagy weboldalt.
Tuzfalat mindenkepp erdemes tenni, mellette apparmor, selinux jellegu megoldast is nehany rendszer defaultbol szallit. Amugy userek hozzaferesei legyenek lekorlatozva, ne legyen fenn felesleges program, ami fenn van legyen frissen tartva. Esetleg kulon chroot/zona/kontener/virtualis gep stb.-be zarni a usereket.
Csak kerdes mennyire van ennek valos szukseglete es mennyi nehezseget fog jelenteni a usereknek inkabb. Lehet egyszerubb azt mondani, hogy nem azt a gepet veded amit kozesen kell hasznalnod masokkal hanem a kritikus adataidat elkulonitve tarolod valami biztonsagos csatornan keresztul, amit csak a te usered er el amikor kell.
- A hozzászóláshoz be kell jelentkezni
Encfs előnye, hogy mountolható felhős tárhelyen is működik és úgy a géphez sem kötődik csak Linux ajánlott azon a gépen ahova felmountolod. A telhős tárhelyen természetesen csak titkosított adat van.
- A hozzászóláshoz be kell jelentkezni
Köszönöm az összefoglalót és az áttekintést is. Sokat segítettél, hogy merre és hogyan induljak el.
Alapvetően az OpenVPN kulcs védelmére, mert azzal is hozzá lehet férni adatokhoz.
Felhasználók elkülönített védelmére mi a relatíve biztonságos és hatékony és egyszerű módja?
A luks-os védelem tűnik most hasznosnak:
https://wiki.centos.org/HowTos/EncryptTmpSwapHome
Sakk-matt,
KaTT :)
- A hozzászóláshoz be kell jelentkezni
Openvpn kulcsra tehetsz jelszot, ahogy egy ssh kulcs eseten is, csak annyi hogy azt ne taroltasd le alkalmazas/rendszer szinten, ha titkositott tarhelyen is van akkor ettol tobbet nem erdemes foglalkozni vele, hacsak nem valami tenyleg kritikus dologrol van szo, de ott meg ugyis bejon a kepbe meg par titkositas es azonositasi reteg.
Felhasznalok elkulonitesere egyszeru megoldas hogy sima jogaik vannak es beallitod hogy file-jaikat ugy hozzak letre hogy csak ok maguk lassak. Persze lehet meg par elvetemult dolgot beletenni komolyabb szetvalasztasra, de szerintem neked ennyi is elegendo.
- A hozzászóláshoz be kell jelentkezni
Szerintem hozzátehetünk még egy réteget a fizikai titkosítás és az OS kötet szintű titkosítása közé: szoftver alapú, szektor szintű teljes lemez titkosítás.
Lásd: Layering a Wikipedia Comparison of disk encryption software szócikkében.
- A hozzászóláshoz be kell jelentkezni
Ezt olyan esetben hogy arrol a diszkrol bootol a rendszer amit titkositani akarsz, eleg nehez megoldani hogy kozben toltse be rendszerbol a szoftvert hozza.
- A hozzászóláshoz be kell jelentkezni
cryptsetup - Linux disztribúciók támogatják, többük telepítéskor fel is ajánlja.
A /boot partíciód kivételével mindened titkosított.
- A hozzászóláshoz be kell jelentkezni
Ezt hogy lehet feltörni, ha nincs meg a jelszó brute force-on kívül? :)
Sakk-matt,
KaTT :)
- A hozzászóláshoz be kell jelentkezni
Sőt ha nem nem a kulcs feloldásához való > 20 karakteres jelszót kell beadnod, hanem magát a titkosító kulcsot kell odaadnod például a nálad levő pendrive-ról.
Esetleg hogy még a /boot-ba se kerülhessen huncutság, az is a nálad levő pendrive-n van.
Na ezt brute force-old meg.
- A hozzászóláshoz be kell jelentkezni
Ha csak a kulcs feloldásához való jelszót kell megadni boot-kor, a kulcs is ott van a default helyen, az is már egy egész jó védelem, ugye?
Mármint a semmihez képest.
Sakk-matt,
KaTT :)
- A hozzászóláshoz be kell jelentkezni
laptop vagy desktop?
- A hozzászóláshoz be kell jelentkezni
HDD titkosításra LUKS vált be a legjobban eddig, a családi fényképet is simán behúzza pendriveról vagy bármi ilyesmiről (sőt akár szerverről tftpvel, ha jól emlékszem).
Külön hw titkosítással (is) menni fog.
Minden disztró támogatja az általad leírt követelményeket, legalábbis minden nagyobb, lehet openELEC-re nehéz lenne felhegeszteni mindent:D
A VPN kulcsot (miután az egész HDD titkosítva van) már nem igazán kell hova védeni. Azt tudom elképzelni még, hogy ahelyett, hogy a gépen tartod, mondjuk egy Yubikey 2. slotjába töltöd fel.
Ezekkel, meg SELinux/tripwire/stb. gyakorlatilag támadhatatlanná teheted a gépet, de nem is itt van az igazi probléma. A nagy baj ott jön, amikor erre GUI-t szeretnél tenni. Jelenleg Xorg-on kívül nem nagyon lehet mást használni Linuxon GUI-nak, az pedig (még ha esetleg rootless-re is állítod be) sajnos gyakorlatilag össszes ilyen irányú védelmedet kompromittálja. Erről többet a cubesOS.org-on tudhatsz meg leegyszerűbben.
FathoM
- A hozzászóláshoz be kell jelentkezni
Köszönöm a válaszodat.
A GUI-s dolgot nem teljesen értem. amit mondtál domain név nekem nem működik.
Tehát kevésbé biztonságos a grafikus GUI-t futtató Linux? Kevésbé, mint egy Windows?
Sakk-matt,
KaTT :)
- A hozzászóláshoz be kell jelentkezni
Helyesen: https://www.qubes-os.org/
- A hozzászóláshoz be kell jelentkezni
Elnézést és köszi:)
FathoM
- A hozzászóláshoz be kell jelentkezni
Hogyismondjam. Amikor az X-et elkezdték fejleszteni ez nagyon nem volt érdekes. Gyakorlatilag semmilyen védelem nincs benne, kb mindenki mindent lát és hall.
GUI védelem témakörben egyébként a Windows a legerősebb, de igazából az sincsen rendesen megcsinálva, szóval igazából az sem véd.
FathoM
- A hozzászóláshoz be kell jelentkezni