Titkositott fajlrendszer (pendrive kulccsal)

Javaslom, hogy először a kulcsot tartalmazó pendrájvról csinálj néhány másolatot. Elég pusztulékonyak ezek a pendrájvok.
A konkrét hogyan és miként megválasztását átengedem a fiataloknak! :-{)E
--
Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba és kész!

Ilyet még nem csináltam, de valahogy így indulnék neki:

Adott a Truecrypt* nevű program, ez tud mindenféle titkosítást. Csinálnék egy initramfs-t, amibe beletenném a Truecrypt programot is. Az initramfs-ben lenne egy script, ami megpróbálja felcsatolni a pendrive-ot, ha sikerül, a ramdiskbe átmásolja a kulcsot (ha kell egyáltalán a Truecrypt működéséhez, ha nem, akkor nem másol). A meglévő kulccsal felcsatolja a rootfs-t vagy akármit, amit titkosítani akarsz, a végén pedig folytatja a bootolást (/sbin/init vagy akármi más).

* első blikkre úgy tűnik, ennek csak bináris változata van. Természetesen a Truecrypt helyettesíthető a saját, kedvelt titkosítóddal is.
--
http://www.open-st.eu

szerintem telepíts a pendrive-ra grubot (vagy amit akarsz) és rakd rá a /boot-ot, az initramfs-be dmcrypt vagy truecrypt vagy bármi, a gépet beállítod, hogy a pendrive-ról bootoljon, és akkor aztán lekódolhatsz mindent a merevlemezen. de ez csak tipp, mert még soha nem csináltam ilyet. de én valahogy így csinálnám.

dmcrypt/LUKS. szerintem. De ha úgy is az lényeg, hogy csak az admin tudja helyszinen újraindítani akkor miért nej ó a jelmondat? pendrivval szerencsétlenkedni szerint nem a legjobb megoldás. ha egy van belőle rizikós ha meg több akkor meg csökken a biztonság.

up

na, erre én is kíváncsi lennék

http://loop-aes.sourceforge.net/loop-AES.README
7.7 -es fejezet ?

Yubikey lesz a te barátod.
(Plussz valamilyen hagyományos titkosítás, mint Truecrypt és társai)

Egy egyszerű szkripttet megoldható (inkább csak alap, nincs benne semmi hibakezelés, stb):

A 'CRYPT_DEVICE' tartalmazza a titkosított particiót,
a 'KEY_FILE' a pendrive-on levő kulcs file-t,
a 'KEY_DEVICES'-ben lehet megadni a pendrive-ok azonosítóit,
a 'CRYPT_DIR' pedig megadja, hogy hova csatolja fel a titkosított particiót.

Az alábbi szkriptet érdemes daemon-ként futtani, így addig fog várni, amíg be be nem lesz dugva valamelyik pendrive. Esetleg még azt is lehet, hogy ha valamely daemon-nak (pl. sql szerver) a titkosított partición vannak az adatai, akkor rendszer alapértelmezetten 2-es init level-en indul, majd ha felcsatolta a titkosított particiót akkor a szkript egy 'init 3 &' parancsal átvált 3-as szintre. Az sql meg úgy van beállítva, hogy csak a 3-on indul. Így azt is el lehet automatikusan indítani. Vagy ki lehet bővíteni, hogy bind-oljon a titkosított particióról a file rendszer más részeire (pl.: 'mount --bind /mnt/titok/nagytitok /home/enyem/nagytitok').


#!/bin/sh


CRYPT_DEVICE="/dev/sda6"
KEY_FILE="secret.key"
KEY_DEVICES="valami1 masik2"
CRYPT_DIR="/mnt/titok"

waitforkey=true
while $waitforkey ; do
for KEY_DEVICE in $KEY_DEVICES ; do
if test -e "/dev/disk/by-id/$KEY_DEVICE" ; then
mkdir -p /tmp/keydisk
mount /dev/disk/by-id/$KEY_DEVICE /tmp/keydisk
if test -e /tmp/keydisk/$KEY_FILE ; then
cryptsetup --key-file /tmp/keydisk/$KEY_FILE luksOpen $CRYPT_DEVICE crypt1
mount /dev/mapper/crypt1 $CRYPT_DIR
waitforkey=false
fi
umount /tmp/keydisk
rm -f /tmp/keydisk
fi
done
sleep 1
done