Sziasztok, a következőt szeretném megvalósítani:
Adott egy céges notebook, amin win10 fut. Lehetőségem van beletenni +1 SSD-t, amire saját privát Linuxot szeretnék telepíteni majd a notebook bootjánál kiválasztani, melyik SSD-ről bootoljon (magyarán így használnám privát gépként IS). Vagy bootolhatok pl. egy kisméretú USB pendrive-ról is.
Az elvárásom az, hogy az adott SSD szoftveresen titkosított legyen, szóval ha cég domain adminje hozzáfér is a SSD-hez, ne tudja "elolvasni" (dekódolni) a tartalmát.
Ehhez szeretnék tanácsot kérni: hogyan szokás az ilyesmit megoldani? Magyarán: merre induljak el?
Köszi!
- 1714 megtekintés
Hozzászólások
- A hozzászóláshoz be kell jelentkezni
azt hiszem, ebbe belemerülök a hétvégén, köszi
- A hozzászóláshoz be kell jelentkezni
Ubuntu és társai esetén a telepítőben a partícionálásnál kiválaszthatod, hogy titkosítsa a teljes cuccot.
A /boot-ba csatolt partíció az egyetlen, amit nem tudsz titkosítani, a többit igen.
- A hozzászóláshoz be kell jelentkezni
Cserében a xenial installerben / systemd-ben valamit nagyon benéztek, mert a shutdown rossz sorrendben történik:
cryptfs/lvm hamarabb lezárul, mint egy másik service, ami emiatt systemd 90sec-es timeoutig szöszmöszöl. Még nem volt időm levadászni, mit csesztek el.
- A hozzászóláshoz be kell jelentkezni
Én leragadtam a TrueCrypt / VeraCryptnél, annak idején nekem bevált. Nagyon egyszerű használni
- A hozzászóláshoz be kell jelentkezni
Ha van egy már létező Linux telepítésem (ext4 foglalja a teljes disket, nincs LVM és nincs külön /boot partíció csak a /) akkor egy veracrypttel mennyire szívás helyben titkosítani? Vagy felejtsem el és rakhatom újra.
--
arch,ubuntu,windows,libreelec,omnirom,microg
zbook/elitebook/rpi3/motog4_athene
- A hozzászóláshoz be kell jelentkezni
En a boot-ot usb stick-re raknam, az ssd-t meg teljes disk titkositas. Igy hiaba fer hozza barmihez, nem tud vele mit kezdeni.
Ha az ssd-rol akarnal bootolni, akkor a /boot kulon, nem titkositott particion kellene tartanod, igy is, de mivel nem hagyod beugva ezert nem gond.
- A hozzászóláshoz be kell jelentkezni
Az összes normális SSD képes hw AES titkosításra ... ez miért nem jó?
- A hozzászóláshoz be kell jelentkezni
Ide kapcsolódik egy múlt havi hír: https://latesthackingnews.com/2018/11/08/vulnerabilities-in-major-self-…
- A hozzászóláshoz be kell jelentkezni
Nem igazán vagyok tisztában vele, hogy ez a HW titkosítás hogyan működik + hogy megfelel-e annak a követelménynek, amit vázoltam: hogy a gép tulaja (a cég, ahol dolgozom) ne tudja dekódolni az SSD tartalmát.
- A hozzászóláshoz be kell jelentkezni
Off, de mi lenne ha dolgoznal azon a gépen és akár bedobnal a táskába valami vékony notebookot? Chromebook és társai
Ps én még a céges wifire sem megyek saját eszközzel.
- A hozzászóláshoz be kell jelentkezni
esetleg private linux VM, az még kevesebb helyet foglal.
- A hozzászóláshoz be kell jelentkezni
Haha. Vm-hez a host-on futó vedelmi cuccok eléggé hozzáférnek.
- A hozzászóláshoz be kell jelentkezni
Mert az full disk encryption. Itt pedig partíció szintű titkosításra van szükség.
- A hozzászóláshoz be kell jelentkezni
Céges gépen nem tárolhatsz privát adatot, innen indul a dolog - ha nem így van nálatok, az baj. Egyébként meg pölö. egy CentOS telepítés next-next-finish módon tud neked titkosított /home kötetet csinálni, oszt' jónapot :-P
- A hozzászóláshoz be kell jelentkezni
+1 es vagy az onnantol nem a te privat adatod.
- A hozzászóláshoz be kell jelentkezni
Nem tudom elolvastad-e de elmagyarázom neked én is: a kollega szeretne egy plusz diszket betenni a gépbe, amire ő telepít oprendszert és azt szeretné titkosítani. Innentől kezdve az nem a céges gépen, hanem a kollega privát diszkjén levő adat, még akkor is ha kaszni céges.
Az hogy illik-e ilyet csinálni, ütközik-e a munkaszerződésbe vagy egyéb agreementekbe az már egy másik kérdés. :)
--
arch,ubuntu,windows,libreelec,omnirom,microg
zbook/elitebook/rpi3/motog4_athene
- A hozzászóláshoz be kell jelentkezni
Lehet mindent csavarni, vegsosoron ezt a helyi policy donti el. Azt is lehetne mondani hogy ceges gepet csak ceges ugyekre lehet hasznalni.
mar off de engem pl kurvara zavarna hogy a ceges levelezest vagy specialis programot nem figyeli, kezeli az alkalmazott es helyette megy rajta a doom3. Akkor inkabb hozza be a sajat eszkozet arra az idore amikor faszveres van.:)
- A hozzászóláshoz be kell jelentkezni
Ha megengedik neki, akkor ott k.nagy baj van. Adatvédelmi, és egyéb okokból is. Ugyanis ezzel megengedik neki, hogy tetszőleges adatokat kivigyen a cégtől, hiszen a munkáltató nem képes a diszk tartalmát ellenőrizni, miközben azt a dolgozó joggal akarja hazacipelni.
- A hozzászóláshoz be kell jelentkezni
> Innentől kezdve az nem a céges gépen, hanem a kollega privát diszkjén levő adat, még akkor is ha kaszni céges.
false
- A hozzászóláshoz be kell jelentkezni