Codifica di alcune TB di dati [chiuso]

27

Sto pianificando di crittografare una mia grande libreria multimediale. Ho esaminato diverse soluzioni, ma ho pensato di chiedere alla comunità quali sono i tuoi pensieri.

  • Non voglio crittografare ogni file singolarmente, mi piacerebbe creare un contenitore che decrypt una volta durante il montaggio.
  • Dispongo di 1,4 TB di dati composti principalmente da 2-4 GB, sebbene alcuni file superino i 4 GB (il che significa che lo zipping non è un'opzione).
  • Idealmente mi piacerebbe che la soluzione fosse multi piattaforma (anche se ciò significa solo linea di comando).

La mia attuale soluzione migliore è usare GPG. Vorrei creare un tarball della mia directory da 1,4 TB quindi crittografare quel file con la mia chiave GPG. Anche se non ho molta esperienza in compressione, penserei che questo non è l'ideale per tar 1.4 TB. Il che significa anche che la navigazione dei file sarà ingombrante, a meno che non decima di raddoppiare lo spazio di archiviazione necessario insieme a molti altri aspetti negativi.

Hai qualche suggerimento per altri modi in cui dovrei fare questo? Non ho bisogno di soluzioni per essere incredibilmente sicuro, dando la priorità sulla convenienza per questo caso d'uso.

Altre informazioni: attualmente utilizzo il metodo di crittografia integrato di OSX per la creazione di un file .dmg e il suo montaggio per accedere ai contenuti. Sperando in una versione multipiattaforma di questo.

    
posta Huckleberry Finn 27.06.2017 - 15:46
fonte

5 risposte

59

Perché non usare un'applicazione comunemente usata per farlo? VeraCrypt è una buona scelta in quanto ha sostituito l'applicazione TrueCrypt rispettata e ti consente di creare un contenitore di crittografia che monti come unità.

    
risposta data 27.06.2017 - 15:56
fonte
41

Trovo che alcuni dei tuoi commenti siano curiosi. In particolare,

I'm trying to stay away from methods that are reliant on an application, and do it manually - as I'd feel more in 'control'.

e

I don't need to solution to be incredibly secure, prioritising on convenience for this use case.

sembrano un po 'in disaccordo l'uno con l'altro.

In primo luogo, dovresti davvero dedicare del tempo a pensare al tuo modello di minaccia. Ti preoccupi principalmente del furto del dispositivo fisico, o ti preoccupi degli attacchi attraverso una rete mentre il tuo sistema è attivo e funzionante, o sei preoccupato per gli attacchi di un avversario motivato che si rivolge specificamente a tu e avere la possibilità di ottenere ripetutamente l'accesso fisico ai tuoi sistemi, o cosa?

Per le persone più , le due minacce più importanti da considerare tendono ad essere:

  • perdita di dati, a causa di errori dei media e condizioni simili ("crash del disco rigido") e
  • perdita di controllo dei dati, ad es. a causa del furto di un sistema che è stato spento

Il primo punto è facilmente gestibile eseguendo backup regolari e verificando che siano ripristinabili. La crittografia può aggiungere un ulteriore livello di complessità a questo, ma non fondamentalmente cambia molto di nulla; ad esempio, con la crittografia nell'immagine, devi considerare come gestiresti il caso in cui perdi la chiave di decifrazione e / o la passphrase.

Il secondo punto è in sostanza ciò che la crittografia del disco completo è progettata per risolvere.

Quindi dovresti probabilmente considerare le soluzioni complete di crittografia su disco (FDE). Mi asterrò specificatamente dal raccomandare prodotti specifici, ma ci sono scelte disponibili per tutti i principali sistemi operativi.

In questo modo, anche se la terminologia tende a variare leggermente, "apri" un "contenitore" (che richiede di fornire la passphrase corrispondente o simile), usa i tuoi dati come preferisci e poi "chiudi" il contenitore che rende i dati inaccessibili senza la passphrase associata al contenitore.

Ogni volta che memorizzi qualcosa su un computer, anche se lo elimini in seguito, a meno che non vengano prese misure speciali, alcuni o tutti i dati rimangono effettivamente. Questo è data residua , ed è un grande enabler di digital forensics . Se tutto ciò che fai è fare clic su "elimina" nell'interfaccia utente e magari svuotare il cestino, i dati rimarranno probabilmente banali recuperabili utilizzando strumenti disponibili che chiunque può scaricare e utilizzare, oppure compra per poche decine di dollari.

Se si utilizza correttamente la crittografia completa del disco (ad esempio, non copiando i dati in una posizione non crittografata), mentre i dati saranno ancora su disco, lo sarà nel modulo crittografato . In questo modo, anche se qualcuno è in grado di analizzare ciò che è scritto sul supporto di memorizzazione, a meno che non capisca la passphrase, non sarà in grado di capire il significato dei dati.

Il lato positivo di questo è che mentre stai usando i dati, non dovrai davvero pensare al fatto che è crittografato del tutto; è solo

Puoi ancora fare qualcosa come il tuo schema di crittografia / decrittografia GnuPG, se lo desideri, e per alcuni file può anche avere senso farlo per proteggerti da un attacco online. (Un attacco "online", in questo contesto, è ad esempio qualcuno che è in grado di indurti a eseguire codice di tua scelta che copia i file dal tuo sistema mentre il contenitore crittografato è aperto abilitando così il testo in chiaro accesso.)

    
risposta data 27.06.2017 - 16:42
fonte
5

Uso LUKS per questo, che è estremamente ben integrato nella mia scelta di distribuzione Linux. La decrittografia è possibile durante l'avvio o utilizzando cryptsetup luksOpen [...] se il sistema è già in esecuzione. Puoi aggiungere un livello di crittografia attorno ai dischi fisici ( /dev/sda ), partizioni ( /dev/sda1 ), RAID ( /dev/md0 ), LVM-LV ( /dev/mapper/vg-lv ).

Non ho idea di come / se questo sia supportato su piattaforme non Linux, comunque.

    
risposta data 29.06.2017 - 12:44
fonte
2

Come altri hanno sottolineato, dovresti utilizzare uno schema di crittografia completa del disco.

GPG crittografa i file creando un altro file con i contenuti criptati (en | de). Quindi, come hai sottolineato, devi elaborare l'intera directory da 1,4 Tb, crearla e processarla di nuovo per decodificare Anche se ti stavi decomprimendo al volo per evitare i requisiti di spazio (ad esempio < store.tar.gpg gpg -d | tar -x specific-file ), dovresti in media attraversare metà del contenitore per ogni estrazione.

D'altra parte, le soluzioni per queste sono basate su una determinata chiave e quindi ogni blocco è basato su quello (come usare Modalità CTR ). La chiave del disco è memorizzata in un blocco di metadati, protetta con una password, ecc., Ma nel complesso è presente una chiave del disco in memoria che consente l'accesso casuale al disco. Che risolve il problema della navigazione nella raccolta, lasciando tracce dei file temporanei non compressi e raddoppiando lo spazio di archiviazione necessario.

    
risposta data 28.06.2017 - 01:46
fonte
0

GPG per tarball di grandi dimensioni sarà estremamente lento. Sicuramente non è il modo migliore se hai alcuni casi d'uso quotidiani.

Come altri hanno detto, FDE è una scelta. Se hai bisogno di una soluzione simile a un contenitore, dai un'occhiata a Tomb:

risposta data 28.06.2017 - 12:20
fonte

Leggi altre domande sui tag