Code di crittografia Disco di avvio USB (preeboot password on live)

3

Per usare le code, ho sempre usato un DVD, perché so che non sarà manomesso, almeno entro limiti ragionevoli. Tuttavia ci sono infinite ragioni per cui un'opzione di avvio USB sarebbe più veloce, e nel progetto corrente che sto costruendo, è l'unica vera scelta.

Ecco cosa non ottengo, e perché, dato che sembra trascurato in modo così evidente, immagino di dover fraintendere qualcosa ... Quando tails si installa su un'unità USB, perché non cripta la partizione e richiede un pre -state l'autenticazione per proteggere l'integrità del disco?

Così com'è, posso montare l'unità su un altro computer, armeggiare con esso, e rendere l'installazione di quella delle code compromessa.

In questo modo, proprio come qualsiasi altro sistema operativo, non puoi attaccare lato il sistema operativo con il possesso fisico del disco senza dover interrompere la crittografia?

Non trovo ancora molte chiacchiere su di esso, mi manca qualcosa?

Il risultato finale che voglio è che il disco non si avvii nella mia installazione, o permetta di montare altrove, senza dover prima autenticare, e se il disco viene smarrito / rubato, preso in prestito o quant'altro ... Che è tutto criptato in modo sicuro.

Modifica: Quindi, dopo alcuni commenti utili, sembra che non funzionerebbe esattamente come previsto.

Quindi, in attesa del risultato sperato, potrei acquistare piccoli SSD usando GRUB per avviare l'ISO dall'interno dell'unità, in questo modo potrei verificare l'integrità del file ISO e quel file sarebbe stato archiviato nella crittografia lato del disco ... Qualcosa di simile a questo .

Le unità ottiche sono batterie hog e se il sistema potrebbe avere la batteria secondaria in quell'alloggiamento, oltre al minor consumo energetico ... Beh, il prototipo funzionava a quasi 8,5 ore di autonomia! È stato fantastico.

Sfortunatamente i requisiti di tempo di questo progetto probabilmente ridurranno il margine di profitto a 0 o - il che equivale a non accadere ...

    
posta Sabre 05.11.2014 - 17:32
fonte

2 risposte

3

Questa è una domanda valida. Credo che il sistema operativo sia stato originariamente creato per essere avviato su un CD / DVD e che funga da supporto per il lancio, che potrebbe essere utilizzato in combinazione con una chiavetta USB crittografata in modo sicuro per l'archiviazione.

Ci sono metodi che è possibile utilizzare, infatti viene in mente la crittografia LVM su LUKS (e suona molto simile a quello che si richiede) per la crittografia completa del sistema (meno la partizione di avvio, ovviamente) per garantire l'integrità e la riservatezza dei sistemi (se reso persistente) non è stato compromesso. Sarebbe anche possibile cancellare i contenuti USB per verificare eventuali manomissioni.

Immagino che la ragione per cui non è implementata è che aumenta significativamente il livello di difficoltà per l'implementazione. Il Joe medio (la gente per cui questo era stato originariamente creato) probabilmente si arrendeva prima di passare attraverso il problema della crittografia dei volumi e così, so che (almeno per me) è stato piuttosto difficile implementare LVM su LUK sul mio sistema Arch .

In ogni caso, probabilmente non mi fiderei di alcun supporto che hai distribuito a qualcun altro, se ti affidi a questo per essere sicuro. Per quanto tu sappia che il tuo DVD non è stato manomesso ... beh, probabilmente potrei crearne uno che assomigli alla tua abbastanza facilmente se avessi accesso diretto ad esso ... Solo un pensiero.

Tutto questo si riduce alla sicurezza in profondità, alla facilità d'uso per la sicurezza, alla misura in cui si vuole andare avanti e alla paranoia delle potenziali minacce.

    
risposta data 05.11.2014 - 23:36
fonte
-1

Questo può essere ottenuto in un modo diverso usando la memoria write-once. Il problema è che questo potrebbe non essere ampiamente disponibile e potrebbe non risolvere altri problemi che devi risolvere:

  • I supporti ottici senza supporto sono difficili da "sostituire" con versioni malvagie, ma la crittografia non impedisce modifiche o manipolazioni come i supporti di scrittura una sola volta

  • Le unità USB hanno controller, EEPROM e chip Flash, che non sono visibili all'interno del case e possono essere oggetto di abuso, quindi la crittografia di per sé non è sufficiente

  • La crittografia aiuta solo contro la manomissione, a condizione che la chiave non perda e che non avvenga alcuna modifica. Quando lo fa, funziona davvero contro di te fornendo un falso senso di sicurezza

Un modo in cui ho provato a farlo da solo è tagliando i pin di abilitazione della scrittura sui chip, ma con i controller NAND e FTL questo pone un problema poiché spesso devono rimappare i blocchi, che quindi non saranno possibili e fondamentalmente distruggi la NAND in nessun tempo.

Un altro metodo che ho provato era usare le schede SD e le schede CF e rimuovere fisicamente le linee di scrittura, ma questo poneva problemi simili e non risolveva ancora i problemi dei controller incorporati che erano ancora sfruttabili con facilità. Considerando anche le unità ottiche hanno controller integrati e anche la scheda madre, la CPU, il PCH, ecc., Potrebbe valere la pena di stabilire prima il modello di minaccia. Se si può presumere che nessuno abbia incasinato l'hardware, potrebbe essere sufficiente un'unità USB con un interruttore di protezione dalla scrittura.

Per guidare il punto a casa solo un po 'oltre: la crittografia non è uguale alla memorizzazione immutabile.

    
risposta data 24.12.2017 - 17:28
fonte

Leggi altre domande sui tag