Bonjour à tous et à toute.
J'ai installé ma deb. sur un disque LVM chiffré grâce à l'installeur de Lenny (je précise car je ne sais pas ce qu'il installe derrière)
De votre expérience quels sont les véritables pertes de vitesse? à terme (une fois disons 500Go de data remplis)?
Supposons que ma passphrase (je dis pas tout non plus..) fasse 15 caractères( contenant caractères spéciaux et chiffres), théoriquement combien de temps est nécessaire à un ordinateur dernière génération pour le casser?
Peux-ton changer la passphrase? Je pensais notemment à un systeme automatique m'obligeant à le changer tous les mois.... Ou en tout cas en mettre un plus rapide à tapper ;-)
Il y a t-il moyen d'accéder au données SANS ce pass? Je pense aux protections d'un autre OS très connu que l'on peux jeter par la fenêtre (sans jeu de mot, promis!), on est pas dans la même cour j'espère?!
Voilà tous vos retours seraient les bienvenus, même ceux qui viendront avec une petite annotation pour me dire d'aller voir notre ami à tous, le grand "G" ;-) (mais qu'une fois hein!)
Tom@
Forum Linux.debian/ubuntu LVM chiffré, quelle sécurité?
16
fév.
2009
# LUKS ? Perfs
Posté par aurel . Évalué à 1.
J'utilise une Kubuntu avec LUKS, et c'est sans doute ce que l'installateur de Lenny met en place. La différence de perf ressentie est à peine perceptible pour mon utilisation, malgré mon CPU un peu vieux (Pentium M, single core), mais il faut dire que j'ai assez de RAM pour ne pas solliciter mon disque outre mesure.
Pour plus d'infos sur les perfs, voir par exemple http://www.tomshardware.com/reviews/locking-linux-creating-a(...)
Ensuite, coté sécurité, ce que j'ai pu lire m'a rassuré, mais je ne me lancerai pas dans d'hasardeuses explications sur un domaine que je ne connais que de loin :)
Aurel.
# LVM ? Ou plutôt dm-crypt ?
Posté par X345 . Évalué à 1.
J'utilise un système de ce genre avec Ubuntu (mis en place à la main) depuis presque un an.
Au niveau de la perte de performance, je ne peux pas te dire, car je n'effectue pas énormément de transferts de fichiers, et qu'en plus j'utilise du RAID 1. Toujours est-il que l'imbroglio RAID 1+dm-crypt+lvm est tout à fait utilisable au quotidien sans que ce soit lent (sur un Core 2 Duo, certes).
Au niveau, de la sécurité, tout dépend de l'algorithme de chiffrement que tu choisis. Je pense que debian te met par défaut de l'AES128-CBC, ce qui est très sécurisé (et non, ça n'a rien à voir avec une protection de session par mot de passe de n'importe quel OS, c'est beaucoup plus sécurisé). Il est bien sur totalement impossible (enfin pour un particulier, pour les services secrets, je ne sais pas...) de récupérer tes données sans la clé de chiffrement. Au niveau du cassage de ta passphrase, tout dépend de sa complexité, mais je pense qu'un PC actuel mettrait plus d'un siècle.
Il est très facile de changer la clé de chiffrement (en utilisant cryptsetup), voir même d'en mettre plusieurs ou encore de créer une clé USB contenant un fichier-clé.
[^] # Re: LVM ? Ou plutôt dm-crypt ?
Posté par Aefron . Évalué à 2.
Oui, et non...
La clé qui dé/chiffre la partition aura beau être de l'AES, avec LUKS, elle est située sur le support lui-même, puis, chiffrée avec un mot de passe (le truc de 15 caractères de Mammnon)...
Aussi, rien n'empêche de brute-forcer le mot de passe (même si 15 caractères complexes, ce n'est déjà pas ce qu'il y a de plus simple)...
Cela dit, c'est ce qui permet de changer la clé que l'on est censé saisir, sans changer la clé de chiffrement de la partition elle-même (ce qui supposerait un reformatage)...
Si tu veux avoir quelque chose de plus robuste, niveau sécurité, un gros mot de passe (genre un truc de la même taille que la clé de chiffrement de la partition, généré à partir de /dev/random, comme le suggère raboliot en dessous), sur un support externe, et pourquoi pas elle-même chiffrée par un mot de passe humainement tapable au clavier, c'est beaucoup mieux...
Parce qu'avec LUKS, quoi que tu fasses, la clé est sur la serrure, et elle est souvent protégée par un mot de passe beaucoup plus faible qu'elle...
# Parano
Posté par raboliot . Évalué à 2.
http://petaramesh.org/post/2008/07/21/Une-cle-de-contact-pou(...)
Pour démarrer le PC qui n'a que /boot non chiffré j'ai une clé usb partitionnée en deux, première partition fat et seconde de 1M formatée pour cryptsetup/LUKS et contenant une clé de 256bits générée par /dev/random.
Au démarrage je dois insérer la clé usb que je débloque avec un mot de passe alphanumérique d'une dizaine de caractères.
Ce système permet de lier facilité d'utilisation et sécurité.
Si on me vole mon portable (éteint) je suis sûr que les données sont protégées (pas de faille pour l'instant dans cryptsetup/LUKS) car le mot de passe de 256 bits est plutôt fort.
Si les chinois du FBI m'enlèvent alors je peux toujours détruire la clé que je porte sur moi car la partition de 1M est sauvegardée dans mon abri antiatomique.
Question performances je n'ai pas contaté de grosses lenteurs.
# luks et perf'
Posté par bubar🦥 (site web personnel) . Évalué à 1.
Disons que pour un usage type "netbook" la différence ne se ressent absolument pas. Si le disque est lent, peu importe il est très peu sollicité.
Mais sur mon laptop, il en va tout autrement, dès que le disque est fortement sollicité, là .. ouch ça fait mal, très mal, quant même... Je vais pas te donner de chiffres, ils ne seraient valables que pour mon modèle, regarde par toi même en faisant des tests préalables, sur une partition tierce chiffrée, avec hdparm par exemple...
Donc, pour par exemple compiler, il te faudra soit une partition non chiffrée, soit ... d' autres machines à disposition ;)
Cdlt.
ps : tu trouvera sur linux-magazine un excellent tutoriel pour réaliser ce type de manipulations : clefs de chiffrement sur clefs usb, etc etc. (ne me souviens plus de quel mois, mais ça doit être retrouvable ici : www.unixgarden.com et commandable www.ed-diamond.com peut être pour la version papier )
# C'est noté!
Posté par Mammnon . Évalué à 1.
En plus vous m'avez donné suffisamment de "mot-clés" pour que je puisse continuer la recherche de la vérité tout seul. Bah vi faut le dire l'installer de Debian est assez radin en explication (j'aurais peut du regarder avant, mais face à l'excitation d'un PC neuf...).
Voilà encore un grand merci à la communauté.
++
Tom@
# Des problèmes avec la veille
Posté par Mammnon . Évalué à 1.
Je reviens sur mon Topic concerant les partitions chiffrés car j'ai un petit problèmes et après quelques temps de recherche du comment du pourquoi je pense que l'origine provient d'ici.
Quand mon ordi se met en veille (forcé ou non) tout se passe bien, je l'entends qui gratte un peu sur le disque, le serveur X se coupe et l'ecran aussi. Puis c'est au tour de l'ordi de se mettre en veille et le silence reigne. Jusqu'ici tout va bien.
Mais quand je veux quitter la mise en veille, j'appuye sur le bouton power, j'entends tous les ventilos redemarrer mais rien ne se passe. Ca plante quoi! Je dois appuyer de longues secondes sur le bouton d'alim ou arracher le cable pour pouvoir eteindre l'ordi.
Je soupsonne très fortement le problème de cryptage...
Suis-je le seul a avoir ce problème? Avez-vous des idées, suggestion? Pourquoi ne peux t-il pas s'allumer juste un peu histoire de me redemander mon mot de passe?
Quelles solutions subsidiare à la mise en veille ais-je? (ecriture dans la RAM avec hibbernate peut etre?)
Merci à tous.
Cordialement.
# re: LVM chiffré, quelle sécurité?
Posté par Anonyme . Évalué à 1.
Sinon, pour ce qui est des perfs, j'ai un système sur raid 5 entièrement chiffré et je dirais que les perfs perdu compensent les gains apportés par le raid (c'est l'impression que j'ai, mais c'est peu être faux).
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.