Szegény ember biztonságos tárhelye

Címkék

Pawel Jakub Dawidek (jópár GEOM class fejlesztője) újabb ötletet valósított meg a FreeBSD GEOM keretrendszerében. A gshec (geom shared secret) megadott GEOM szolgáltatók között hoz létre egy "osztott titkot", amely bármelyik szolgáltató eltűnése esetén lehetetlenné teszi az értelmes adatokhoz való hozzáférést.

A megoldással lehetővé válik egy merevlemez-partíció és egy USB pendrive között létrehozni egy ilyen osztott titkot, majd az így létrejött eszközt leformázni és használni. Elméletben az így létrejött fájlrendszer csak mindkét eszköz, azaz a merevlemez és az USB pendrive jelenlétében használható, tehát ha az egyiket eltávolítjuk, az adatok használhatatlanok lesznek.

Egy példa, amely a fenti működést állítja elő:

gshsec label -v secret /dev/ad0s1 /dev/da0

newfs /dev/shsec/secret

A fenti példában a /dev/ad0s1 a merevlemez egyik partíciója, míg a /dev/da0 az USB pendrive.

A megoldás egyelőre csak a FreeBSD CVS HEAD-jében szerepel, de valószínűleg az 5.4-es kiadásban már benne lesz.

FreeBSD CVS commitlog

Hozzászólások

nevergone wrote:
> Szerintem nem vagyunk betegek, csak megnyílt elöttünk a tudomány kapuja,
> mely új távlatokat nyit meg.

Az az erzesem, hogy nem biztos, hogy mi a tudomany nyitott kapujan mentunk be...
Hanem inkabb a pszhichiatria zart ajtajan repultunk be... tokostul... :)))


IroNiQ
--
Member of Frugalware Developer Team
Web: http://www.ironiq.hu
LinuxCounter: #331532

Toma_ wrote:
> Szoval fogalmazasgatlot szedtem.. ;)
> Tehat szerintem a crypto egyszerubb, tisztabb, szarazabb. :)
Egyszerűbb? Kétlem. Ennél egyszerűbbet nem nagyon tudok elképzelni (egy
parancs)...

> Foleg a "tonkremegy gyorsan" markaju cucc eseteben.
Nem tudom miért jöttök ezzel. A merevlemezed is tönkremegy, nyilván ha
fontos a rajta lévő adat, mented is.

Akkor meg miről beszélünk?

A gvinum meg eroteljesen bugos, a fejlesztok szerint sem production-ready dolog. Raadasul latvanyos dokumentumok hianyaban szenved, mint ahogy ez az egesz geom-csalad. Van manpage, de nincs igazi howto pl. arra egyaltalan, hogyan lehet egy linuxos LVM2+RAID kombot FreeBSD-sse alakitani. LVM-ben egeszen jol meg van oldva a particiok meretenek valtoztatasa, (g)vinumnal ez annyira nem trivialis (growfs, gvinum es geom* egyutt, hogyan konfigoljak gvinumot, ha csak az atmeretezheto particiok lehetosege kell belole, a tobbi minden geom*-bol menne, vagy inkabb akkor hasznaljak gvinumot, egyaltalan lehet-e valtoztatni slice/particio meretet stb.).

A geom* cuccok remek talalmanyok, csak mintha a vinumot adhoc jelleggel atgeomositottak volna, lett belole gvinum, de ugyis a geom* szeria ajanlott, akkor meg minek van, doksi sincs rola. Szerintem inkabb az LVM-nek kellene vmi FreeBSD-specifikus valtozatat megcsinalni, aztan meg egy vinumszeruen konfigolhato feluletet a geom* csaladhoz, nem pedig egy olyan eszkozt fejleszteni (gvinum), amely ficsorjeinek jo reszet tudja vmelyik masik geom* tag.

>Egyszerűbb? Kétlem. Ennél egyszerűbbet nem nagyon >tudok elképzelni (egy parancs)...

Talan mert realistabban gondolkodom?

Ez olyan, mint a kulcs, telefon, irattarca esete.

Otthonhagyom, nem talalom, eltorik, vizbe esik...

Nem ertem hogyan lehet ez egyszerubb, mint egy db jelszo.

Raadasul 2 db mentes kell, ez pedig erdekes pl. 1 hdd 1 flashdrive eseteben titkositas nelkul... Arrol meg inkabb ne is beszeljunk, hogy mennyire megbizhatoak a flashek, onmagukert beszelnek a szerviz adatok + leesett raleptem, raultem, stb. esetek.

Ha meg a mentesrol beszelunk, akkor nincs egyszerubb a 4,4 GB-os encrypted file dvd-re irasatol.

Vagy csak en nem ertem jol az egeszet...

Én még elég diákkorban vagyok és azt tanítják hogy a centripetális erő sugárirányú, a centrifugális meg érintő irányú. Akkor van centrifugális erő, ha gyorsulva pörög a test. centripetális meg ha pörög. De arra, hogy befelé vagy kifelé hat-e, én 89%-os valószínűséggel azt mondanám hogy befelé.

A centripetális erő befelé hat, az tartja körpályán a kutyát. A kutyának úgy tűnik, mintha a centrifugális erő kifelé húzná. Akkor van érintőirányú erő, ha gyorsulva forog a test, de ezt meglepő módon érintőirányú erőnek hívják, nem centriakárminek.

Akkor nem vagyunk mi buták, csak nem néztük a kutya, vagy a pendrive szemszögéből a dolgot...

És azt is tudjuk, hogy ha nem gyorsul (ki a gene bírja mindig gyorsítani azt a fránya kutyát), akkor állandó nagyságú lesz a pendrive -ra ható erő. De ez szerintem már alap.

On 2005-01-12, Nagy Attila <bra@fsn.hu> wrote:
>
> Toma_ wrote:
>> Szoval fogalmazasgatlot szedtem.. ;)
>> Tehat szerintem a crypto egyszerubb, tisztabb, szarazabb. :)
> Egyszer?bb? Kétlem. Ennél egyszer?bbet nem nagyon tudok elképzelni (egy
> parancs)...

Egy parancs... ne viccelj. Az, hogy mi egy parancs, az disztributori
problema. Nyilvan barmi effelehez lehet wrapper scriptet irni. Tudod, Unix,
toolbox philosophy, satobbi.

A kerdes, hogy koncepcionalisabban melyik egyszerubb. En a tiszta kripto
dologra szavaznek... ne mondd, hogy brute force-szal feltorik az x bajtos
kulcsu titkositott faljrendszered. Ez a pendrive-os megoldas csak annak
lehet elonyos, aki szenilis, es elfelejti a passwordjet. Ill. annak sem,
mert az meginkabb elfelejti, hova tette a pendrive-ot.

A hardverkulcs ertelme szerintem a kovetkezo: ha tomegesen terjesztett
titkositott valami kulcsanak a tomeges terjeszteset akarod megakadalyozni.
Merthogy ugye digitalis adatot klonozni konnyu, targyakat mar nem annyira.
Tipikusan ha programot arulsz.

dzsekijo wrote:
> A kerdes, hogy koncepcionalisabban melyik egyszerubb. En a tiszta kripto
> dologra szavaznek... ne mondd, hogy brute force-szal feltorik az x bajtos
> kulcsu titkositott faljrendszered. Ez a pendrive-os megoldas csak annak
Minden attól függ, hogy mire kell. A jelszavad (akármit is használsz, de
gondolom amit fejben őrzöl nem nagyon hosszabb 8-12 karakternél, ha
pedig mégis, erősen megkérdőjelezhető a biztonsága) sokkal egyszerűbb
kitalálni, mint egy valódi, számítógép által generált "jelszót".

Egyszer csináltam egy tesztet egy 2800 felhasználós, valódi mintán. Egy
akkori géppel három nap alatt a 2800-ból szótáras és brute force
módszerrel kb. 2000 jelszót sikerült visszafejteni.
Egy hónap múlva már csak kb. 100-150 jelszó hiányzott.

Akármilyen biztonságos algoritmust is használ a kriptó fs-ed, a kulcs
akkor is a te egyszerű jelszavad hozzá...

a kurt kft. bovitette szolgaltatasait:

kutyabol pendrive / sd /md / stb memoria tarolo kiolvasasa:

- kutya funkcionalitasanak megmaradasabval: 5000 ft + áfa / mb

- funkcionalitasbeli elvesztessel: 2500 ft + áfa / mb

most az elso tiz ugyfelnek ill. nevergonenak kulon az otletert 50 %-os arengedmeny jar.

:)

On 2005-01-13, Nagy Attila <bra@fsn.hu> wrote:

> Akármilyen biztonságos algoritmust is használ a kriptó fs-ed, a kulcs
> akkor is a te egyszer? jelszavad hozzá...

Jo, de akkor trivialis megodlas, hogy generalsz egy x kb-os jelszot, es
kirakod a pendrive-odra. (Vagy van ennek valami technikai akadalya?)

Ehhez nem kell kernelt hekkelni...

dzsekijo wrote:
> Jo, de akkor trivialis megodlas, hogy generalsz egy x kb-os jelszot, es
> kirakod a pendrive-odra. (Vagy van ennek valami technikai akadalya?)
Emléletileg nincs.

> Ehhez nem kell kernelt hekkelni...
Nyilván volt, aki szerette volna automatizálni a dolgot és megíratta a
sráccal.

Azt elismerem, hogy sokkal hasznosabb lett volna, ha valami smartcardos
megoldást tesz működőképessé. De lehet, hogy pont ez lesz a következő
lépcső :)

nevergone írta:
> Ez korrekt, azt hiszem, igénybe fogom venni. Esetleg késöbb szélesedhetne a
> paletta, többféle adattárolóval és állattal.
Ugyeugye... "Sose becsüld le egy előtted haladó, CD-kkel megrakott"
kutya "sávszélességét!" ;-)

Olyat már láttam, hogy emberek "megrakták" egymást... mert ennek felénk van "némi nemi" értelmezése. Már olyat is láttam (bár ez más elég durva), hogy "megraktak" kutyát.

Na de hogy CD -kkel... szegény kutya utána még terpeszben is alig tudhat menni... :)

Ez elég fincsi :) Már szinte csak egy normális LVM-megoldás hiányzik a geom* családból.

Kicsit off, de: nekem kéne ilyen windowsra :) Nem tud vki vmit? (bestcrypt, meg hasonló programok afaik vannak, amik létrehoznak egy x méretű encryptolt filet ami megjelenik mint partíció, és ha beírom a kódot mountolódik... de ilyen pendrive cumóval lenne a legjobb, ha nem lenne bedugva nem mountolódna, ha igen akkor meg automatice.. szal, van ilyen?) /off

pendrive elveszik, kutya megeszi... rulz

Ha rá van téve a kupak, akkor nem emészti meg, kisz@rja... csak oda ell állni a kutya megfelelő végéhez, várni türelmesen, és figyelni a végeredményt.

A folyamatot gyorsítja, ha a kutyát elkapod, és a fejed felett pörgeted ezerrel. Akkor a centrifugális erő is rásegít... :)

nevergone wrote:
> Ha rá van téve a kupak, akkor nem emészti meg, kisz@rja... csak oda ell
> állni a kutya megfelelő végéhez, várni türelmesen, és figyelni a
> végeredményt.

Jo szorakozast hozza :))

> A folyamatot gyorsítja, ha a kutyát elkapod, és a fejed felett pörgeted
> ezerrel. Akkor a centrifugális erő is rásegít... :)

Te most vagy nem tanultal fizikat, vagy csak nem emlexel ra:
A centrifugalis ero BEFELE hat. A centripetalis ero hat erintoiranyban.
Legalabbis homalyos emlekeim kozott ez szerepel...


IroNiQ
--
Member of Frugalware Developer Team
Web: http://www.ironiq.hu
LinuxCounter: #331532

A centripetális erő hat befelé, ezt jelen esetben a kutya farka közvetíti, ha annál fogva pörgeted. A centrifugális erő nincs igazából, csak a tehetetlenség miatt úgy tűnik, hogy van. Érintőirányban állandósult forgás esetén nem hat erő. Legalábbis így emlékszem.

Én nem annyira fizikai oldalról közelíteném meg (emlékeim hiányosak, de szerintem is kifelé [ergo nem érintő- hanem sugárirányban] hat a centripetális erő), inkább biológiai oldalról: a kutya emésztőrendszere nem egy sima egyenes cső, hanem girbegurba, ráadásul izmok zárják el a végeit, vagyis hacsak nem a végén jár a pendrive, nem fogod tudni kipörgetni így :) Sőt, mivel a kutyának ez nem fog tetszeni, más nehézségek is várhatók :)

linuxon letezik ilyen? cryptofs-t meg ilyeneket, mar hasznalok, de ez az "osztott titok" dolog is erdekelne. ha valakinek van otlete, azt elore is kosznom.

Miert nem latom en ezt rosszabb megoldasnak az encrypted fs-tol?

Akkor az kell, hogy amikor megakad a pendrive, akkor forgatni kell a kutyán, hogy a másik irányba haladjon a pendrive.

Amúgy ezt hívják biológiai alapú adattárolásnak, melyen annyit kisérleteznek mostanság. Sőt, az a legjobb, ha a pendrive csak félig jön ki, a megfelelő oldalával előre, mert akkor kutyástúl rá lehet dugni a gépre.

Nemhiába, kutyából nem lesz szalonna... :)

Miért bazze, ha benne van a pendrive, akkor nem az adatot tárolja, és tartja melegen? Azon gondolkozom, lehet, hogy egy dvd -t kellene az arcába tolni, arra többminden ráfér. És amikor használni akarom, akkor megkérem, harapjon rá a dvd-olvasó tálcájára.

Vagy ez nem kóser...?

nevergone wrote:
> Miért bazze, ha benne van a pendrive, akkor nem az adatot tárolja, és
> tartja melegen? Azon gondolkozom, lehet, hogy egy dvd -t kellene az arcába
> tolni, arra többminden ráfér. És amikor használni akarom, akkor megkérem,
> harapjon rá a dvd-olvasó tálcájára.
>
> Vagy ez nem kóser...?

Ehhez szerintem a kutyanak is lesz 1-2 szava :))


IroNiQ
--
Member of Frugalware Developer Team
Web: http://www.ironiq.hu
LinuxCounter: #331532