Montare la directory ecryptfs tramite SSH

Question

Montare la directory ecryptfs tramite SSH

#1 da (1 voti)
#2 da (0 voti)

2

Ho accesso a un server che utilizzo per i backup. Io uso rsync con il flag --delete per fare una copia esatta della mia directory di backup. Non ho bisogno di backup incrementali. La directory di backup sul server è crittografata con ecryptfs (sebbene non sia l'intera cartella home). Ho scritto uno script che viene archiviato localmente ed eseguito su ssh sul server che:

Decifra e monta la directory
Esegue rsync
Smonta la directory
Inviami un'email

La password per decrittografare la directory è memorizzata sul computer locale. Sto usando:

key=passphrase:passphrase_passwd_file=/home/me/password.txt

nel comando mount. La mia domanda è; questo pone qualche tipo di rischio per la sicurezza? Non riesco a vederlo, ma ho notato sulla pagina man di ecryptfs che l'uso dell'opzione passphrase_passwd (che mi rendo conto è diverso da quello sopra) dovrebbe essere usato solo quando la sicurezza non è importante in quanto la password è visibile a programmi come ps. Le autorizzazioni sulla mia cartella sono impostate su 700.

encryption ssh

posta RikT 03.02.2015 - 12:10

fonte

2 risposte

Leggi altre domande sui tag encryption ssh

attacco barboncino / attacco oracle a padding Apprendimento dell'iniezione SQL etica con modulo di accesso php

score 1 · Answer 1

La tua password può essere visualizzata dai processi nel server, dato che stai eseguendo ecryptfs lì.

Quello che puoi fare è montare localmente gli ecryptfs. Vedo due opzioni:

Montare localmente la cartella del server con sshfs e quindi ecryptfs su di essa.
Ripristina in ordine inverso la cartella di origine e rsync quei file crittografati sul server.

score 0 · Answer 2

Proporrei un flusso di lavoro diverso per la sicurezza:

Avere una procedura di accesso SSH basata su chiave. (quindi nessuna password per quello)
Avere un chroot automatico (basato su chiave) di montaggio automatico (che è il contenitore crittografato) e riceve solo la password dalla connessione SSH (la password lascia solo la macchina client per sbloccare ecryptfs ed è protetta in transito da ssh. sul sito essendo un semplice TTY per un utente non privilegiato.)
Avere una diversa sessione SSH impostata dal client alla chroot ora decrittografata in cui si effettua il chroot-login.
fai le tue cose
esci dalla sessione ssh chrooted
auto smonta l'altra connessione (significa che fai uno script che non appena il tunnel perde lo stato attivo / è chiuso tenta di smontare la posizione crittografata e continua a provare fino a quando non è riuscito)

Credo che questa configurazione sarebbe la sicurezza che cerchi