Forum général.cherche-logiciel Solution pour paranoiaque ?

Posté par  .
Étiquettes : aucune
0
6
avr.
2006
Bonjour,

Je vais essayer d'etre clair a propos de ma recherche,

Je souhaiterai savoir s'il est possible d'installer un système sur des partitions entièrement cryptées (je ne cherche pas à créer une partition cryptée avec le cryptoloop) ?

De ce que j'imagine comme système entièrement crypté :

. c'est un système qui ne peut booter - par exemple - que si une clef usb contenant la bonne clef de démarrage est introduite au moment du boot.
Ensuite les données nécessaires au fonctionnement du système sont décryptées en clair pendant leur utilisation puis supprimées ensuite par des passes multiples randomisées

Ainsi si le DD du système est transféré sur une autre machine, il demeure entièrement illisible.

Existe-t-il quelque chose qui puisse me dépanner en ce sens ?

  • # mouais ...

    Posté par  . Évalué à 2.

    Ensuite les données nécessaires au fonctionnement du système sont décryptées en clair pendant leur utilisation puis supprimées ensuite par des passes multiples randomisées

    ben tant qu'a faire si ton FS est crypté, autant laisser l'ensemble crypté non? Tu risque de perdre un peu en perf mais si la priorité c'est de ne pas decrypter les données, pourquoi s'embeter a dechiffrer puis rechiffere enssuite?

    Par contre je connais pas un tel systeme. Que dit google a ce sujet?

    • [^] # Re: mouais ...

      Posté par  (site web personnel) . Évalué à 2.

      Mandriva fait ça (enfin moyennant quelque modifs ;)

      Il te faut commencer par avoir deux disque dur (enfin pour l'installation, les tests, etc...)

      Après tu fait une install sur un disque non chiffré que tu met au même endroit (contrôleur/etc) pour par te prendre la tête ;)

      Tu monte ton futur disque dur chiffré en slave/second contrôleur et tu fait ça :

      Partitionnement du second disque :
      /boot ext3 10-100Mo (pour mettre le initrd+kernel+fichiers lilo)
      / (reste du disque)

      Ensuite tu dois modifiez /sbin/mkinitrd pour te copier dans l'archive du initrd un losetup qui supporte le chiffrage recompilé en static et te lancer la commande d'attachement du / chiffré : losetup -e AES128 /dev/loop0 /dev/hda1

      Une fois ceci fait tu installe un lilo dans le /boot (fait gaffe au fichier de clavier et autre) sur le disque en question et tu réplique le / dans la partition chiffrée...

      Perso je prend le chemin de la facilité ;)
      Je ne chiffre que le /home ;)

      Pour le faire c'est simpliste, a l'install tu va dans les options avancées et tu coche la case crypter/chiffrer dans les options en mode expert.
      Il va te demander deux fois la phrase de passe et la clef (AES128-4096), après tu format, et zou ça se fait tout de manière transparente ;)

      Faut juste penser qu'au boot il te demandera systématiquement d'entrer la phrase de passe (délais de 15secondes avant de booter sans monter le /home).

      Ça donne ça dans le /etc/fstab :
      /dev/hdaX /home xfs encrypted,encryption=AES128 0 0

      Mandriva a patché les outils de bases pour que ça marche sans avoir besoin d'appeler losetup.

      Par contre fait gaffe a ton passe, sache le taper en azerty autant qu'en qwerty si tu veux pas être trop ennuyé...

      Il existe une autre possibilité avec luksfs, mais il est limité a 128bit, donc c'est nettement plus limité :'(

      Après pour ce que tu demande, je vois pas l'intérêt puisque que comme ton dd a de la rémanence magnétique on aura après ton passage une mémoire des données chiffrées sur le disque... (autant travailler directement de la clef usb a ce moment là).

      • [^] # Re: mouais ...

        Posté par  . Évalué à 1.

        Merci pour cette solution qui semble assez facilement réalisable.

        Je pensais à une clef USB justement pour eviter d'avoir à taper à chaque boot une pass phrase - est-ce possible ?

        Evidemment la mise en place d'un boot grace a une clef USB suppose une redondance avec une ou plusieurs autres clefs existant et placées en lieu sur - dans un coffre, sur un autre lieu que celui du système - par exemple.

        Pour ce qui est de la rémanence magnétique : est-ce que les systèmes de destruction de données existants sont suffisamment efficaces ? Y-a-til une possibilité de faire intervenir un tel logiciel à chaque suppression d'un fichier par le système - même pour ce qui relève des fichiers de pagination et temporaires ?

  • # paranoïa, quand tu nous tiens

    Posté par  . Évalué à 0.

    Salut,

    c'est un système qui ne peut booter - par exemple - que si une clef usb contenant la bonne clef de démarrage est introduite au moment du boot.

    Moi - par exemple - je n'utiliserais pas uniquement une clef USB pour booter sur mon PC... parce que par exemple - je pense que je pleurerais si je venais à perdre ma clef :'(
    Mais il est certain que si tu peux asssocier ton authentifiacation au moment du boot avec un petit coup de pam_usb la ca peut devenir marrant.

    Bon courage

    • [^] # Re: paranoïa, quand tu nous tiens

      Posté par  . Évalué à 1.

      Merci...

      Peux-tu m'en dire plus sur pam_usb STP ? un lien ?

      • [^] # Re: paranoïa, quand tu nous tiens

        Posté par  . Évalué à 1.

        doc rapide :
        http://www.pamusb.org/quickstart.html

        l'interet de pam_usb est de dire que si ta clé est plugguée, alors le login est automatique, sinon, un password (ou passphrase) est demandé :
        Alternative: Plugging in the USB device is enough to login. If it's not present, the system prompts for password.
        To use such, add the following line before the auth required pam_unix.so line:

        auth sufficient pam_usb.so

        avec un peu de recherche sur google et quelques tests tu dois aussi pouvoir dire que, quelque soit la facon dont tu t'es loggué, si la clé est retirée, le systeme se lock...

        bonne recherche, bonne lecture.

  • # openBSD

    Posté par  . Évalué à 0.

    OpenBSD peut utiliser des partitions, même système, cryptées.
    Le plus simple, à mon sens, c'est de mettre ton kernel sur la clé USB comme ça si tu ne met pas la clé le systeme ne peut pas demarrer et si on le demarre de force avec un cd live par exemple tout ce qu'il y a sur le disque est crypté donc inutilisable. Apres à toi d'avoir une image de ta clé au cas ou tu la perde ou qu'elle se mettre à foirer.
    De toute façon si tu as besoin de sécurité à ce niveau je vois mal un linux faire vraiment l'affaire.

    • [^] # Re: openBSD

      Posté par  . Évalué à 2.

      Ce genre de solutin est a mon avis valable sur un portable: tu garde une image de la clé sur un serveur, et tu te balade avec le portable (en ne mettant pas la clé bien sur dans le sac du portable).

      Si tu perd la cle tu peux la regenerer.

    • [^] # Re: openBSD

      Posté par  . Évalué à 1.

      Merci je vais me documenter sur OpenBSD. Mais ça me fait peur je suis encore plus newbie sur openBSD que sur les sytèmes Linux :o((

      • [^] # Re: openBSD

        Posté par  . Évalué à 1.

        ben le coup du noyau sur la clé USB il faut peut-etre simplement que le PC sache booter dessus.

        ensuite BSD ou linux ca ne change pas grand chose.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.