Avvio automatico e protezione di un server Linux con un filesystem crittografato

Sto installando alcuni nuovi server Ubuntu e vorrei proteggere i dati su di essi dal furto. Il modello di minaccia sono gli aggressori che desiderano l'hardware o piuttosto ingenui aggressori che desiderano i dati.

Si prega di prendere nota di questa sezione.

Il modello di minaccia non include gli aggressori intelligenti che desiderano i dati; Presumo che faranno una o più delle seguenti operazioni:

1. Collegare un UPS nel cavo di alimentazione per mantenere la macchina in funzione ininterrottamente.

2. Inserire una coppia di bridge Ethernet tra il computer e il punto di terminazione della rete che collegherà il traffico su una rete wireless di portata sufficiente affinché l'host mantenga la connettività di rete.

3. Apri la scatola e usa un probe sul bus di memoria per prendere cose interessanti.

4. Usa i dispositivi TEMPEST per sondare cosa sta facendo l'host.

5. Utilizzare mezzi legali (come un ordine del tribunale) per costringermi a divulgare i dati

6. Ecc. Ecc.

Quindi quello che voglio è avere alcuni, o idealmente tutti, i dati sul disco su una partizione crittografata, con il materiale chiave necessario per accedervi su supporti esterni di qualche tipo. Due metodi che mi vengono in mente per la memorizzazione del materiale chiave sono:

1. Archiviarlo su un host remoto accessibile tramite la rete e configurarlo a sufficienza per recuperarlo durante il processo di avvio. Il recupero sarebbe consentito solo all'indirizzo IP assegnato all'host protetto (quindi non consentire l'accesso ai dati crittografati se avviati su un'altra connessione di rete) e potrebbe essere disabilitato dagli amministratori se si scoprisse che la macchina veniva rubata.

2. Conservalo su un dispositivo di archiviazione USB reso in qualche modo molto più difficile da rubare rispetto all'host stesso. Individuarlo a distanza dall'host, ad esempio alla fine di un cavo USB di cinque metri che porta in un altro angolo della stanza, o anche in un'altra stanza, probabilmente ridurrebbe significativamente le possibilità che gli aggressori lo prendano. Proteggerlo in qualche modo, ad esempio incatenandolo a qualcosa di immobile, o addirittura mettendolo in una cassaforte, funzionerebbe ancora meglio.

Quindi quali sono le mie opzioni per l'impostazione? Come ho detto prima, preferirei avere tutto (a parte forse una piccola partizione di avvio che non contiene / etc) crittografato, in modo da non dovermi preoccupare di dove sto mettendo i file o dove ' in caso di atterraggio accidentale.

Stiamo eseguendo Ubuntu 9.04, se fa la differenza.

Conosco una variante intelligente dell'opzione 1 chiamata Mandos.

Utilizza una combinazione di una coppia di chiavi GPG, Avahi, SSL e IPv6 tutte aggiunte al disco RAM iniziale per recuperare in modo sicuro la password della chiave della sua partizione di root. Se il server Mandos non è presente sulla LAN, il tuo server è un mattone crittografato o il server Mandos non ha visto un battito cardiaco dal software client Mandos per un determinato periodo di tempo, ignorerà le richieste future per quella coppia di chiavi e il server è un mattone crittografato al prossimo avvio.

Mandos Homepage

Mandos README

Se stai solo cercando di proteggerti da attacchi non tecnici, penso che la tua scommessa migliore sia una migliore sicurezza fisica.

Il mio pensiero è quindi:

Se stai cercando uno stivale che non richieda alcuna interazione umana per inserire il materiale chiave, non ti verrà in mente alcuna soluzione che sarà al sicuro da furti occasionali da parte di un addetto con competenze tecniche (o, più appropriatamente, il capacità di pagare qualcuno con competenze tecniche).

Mettere il materiale chiave in qualcosa come una chiavetta USB non offrirebbe alcuna vera sicurezza. L'attaccante potrebbe semplicemente leggere la chiave fuori dalla chiavetta. La chiavetta USB non può sapere se il computer a cui è stata collegata è il computer server o il laptop dell'attaccante. Tutto ciò che l'attaccante deve fare è assicurarsi che prendano tutto o, nel caso della chiave USB all'estremità di un cavo extendo USB lungo 15 piedi bloccato in una cassaforte, basta collegare il cavo extendo al PC e leggere il tasto.

Se hai intenzione di trasferire la chiave sulla rete, probabilmente la "crittograferai". Tutto ciò che l'attaccante deve fare è origliare sul processo di codifica, rubare il server e quindi decodificare qualsiasi "crittografia" che hai fatto quando hai inviato la chiave attraverso la rete. Per definizione, il computer server che riceve una chiave "crittografata" da tutta la rete deve essere in grado di "decrittografare" quella chiave per poterla utilizzare. Quindi, davvero, non stai crittografando la chiave, la stai solo codificando.

Alla fine, è necessaria un'intelligenza (artificiale?) Presente per inserire la chiave nel server. Uno che può dire "So che non sto divulgando la chiave a nessuno, ma al computer server, e so che non è stato rubato". Un essere umano può farlo. Una chiavetta USB non può. Se trovi un'altra intelligenza che può farlo, penso che avrai qualcosa di commerciabile. > Sorriso <

È molto probabile, credo, che perderai la chiave e distruggerai i tuoi dati senza ottenere alcuna sicurezza. Al posto della tua strategia con i giochi di crittografia, penso che tu sia meglio avere una maggiore sicurezza fisica.

Modificare:

Penso che stiamo lavorando da diverse definizioni del termine "modello di minaccia", forse.

Se il tuo modello di minaccia è il furto di hardware, la soluzione proposta è: la crittografia del disco, a mio modo di vedere, non fa nulla per contrastare la minaccia. La soluzione proposta sembra una contromisura contro il furto dei dati, non il furto dell'hardware.

Se si desidera impedire il furto dell'hardware, è necessario avvitarlo, bloccarlo, racchiuderlo in cemento, ecc.

Ho già detto quello che volevo dire riguardo al furto dei dati, quindi non mi caccerò di nuovo, tranne per dire: se hai intenzione di mettere la chiave in un dispositivo fisico e non puoi proteggere il computer server viene rubato, quindi non è possibile proteggere neanche il dispositivo chiave.

Immagino che la tua migliore soluzione "economica" sia quella di creare una sorta di scambio di chiavi basato sulla rete. Metterei uno o più umani nel loop per autenticare il "rilascio" della chiave in caso di riavvio. Ciò causerebbe tempi di inattività fino a quando l'essere umano "rilascerà" la chiave, ma almeno ti darebbe la possibilità di scoprire perché è stato richiesto un "rilascio" chiave e decidere se farlo o meno.