Journal OpenBSD su><or, Linux rul3z

Posté par  .
Étiquettes : aucune
0
5
oct.
2003
Hé oui, un titre digne des plus grands trolls de l33t... mais que cache-t-il ?

Tout le monde est censé savoir que OpenBSD est orienté sécurité. Notamment, son swap est crypté, contrairement à celui de linux... faisant la joie des plus grands trolls OpenBSDiques. Mais non, l'OS (au) manchot peut aussi crypter son swap, avec le cryptoloop :

# swapoff /dev/hdz137 # On déactive la partition de swap
# dd if=/dev/random /dev/hdz137 # On efface toute trace
# dd if=/dev/random of=chiffreauswappe bs=1024 count=beaucoup # Décidément, de vrais paranos
# modprobe cryptoloop
# losetup -e aes /dev/loop0 /dev/hdz137
# losetup -e serpent /dev/loop1 /dev/loop0 # Si par malheur, aes n'etait pas sur...
# mkswap /dev/loop1
# swapon /dev/loop1

Voila, vous avez desormais une machine un peu plus securisée, mais un peu plus lente... :)

  • # Re: OpenBSD su><or, Linux rul3z

    Posté par  . Évalué à 1.

    Ca sert a quoi le swap ???? :-)

    OpenBSD est bien assez lent a la base sans lui rajouter de swap

  • # Re: OpenBSD su><or, Linux rul3z

    Posté par  . Évalué à 2.

    J'ai oublié deux choses...

    1) s/crypt/chiffr

    2) Il reste la RAM, qui est toujours vulnérable à un agent qui viendrait gentiment copier /dev/mem... La solution ?

    Créer un ramdisk, comme ci-dessus, mettre en place un périphérique loopback chiffré, utiliser le loopback comme partition de swap !

    Quoi ?! Comment ça "c'est lent !" ?

    • [^] # Re: OpenBSD su><or, Linux rul3z

      Posté par  . Évalué à 0.

      Pour etre plus sérieux quelle est l'utilité réel du truc ? (quelque soit le système).

      J'ai beau chercher je vois pas tellement a quoi ca sert :-)

      • [^] # Re: OpenBSD su><or, Linux rul3z

        Posté par  . Évalué à 3.

        Je l'imaginais comme un gag avant tout, avec son titre raccoleur et son plus qu'utile double chiffrement, bien qu'il puisse être utile....
        C'est plus rapide qu'un dd if=/dev/random of=/dev/monswap à l'arrêt et ça évite de retrouver tous les détails de la session précédente en examinant la partition de swap. Par exemple, j'ai pu trouver avec un simple grep linuxfr < /dev/monswap tout l'historique de mon passage sur le site.

        • [^] # Re: OpenBSD su><or, Linux rul3z

          Posté par  . Évalué à -1.

          1/ Achete toi de la RAM

          2/ Si tu peux grepper ton swap, tu as accès illimité au materiel et logiciel (*) donc le chiffrement ne sert a rien sinon occuper le méchant pendant quelques minutes de plus; ca change simplement le point d'attaque. C'est un peu comme chiffrer la RAM, il faut bien qu'a un moment le contenu soit déchiffrer, il suffit d'attaquer a ce moment au lieu d'essayer de casser de l'AES. Un keyloger & cie c'est tellement plus rapide et moins brutal.

          (*) Si on considère un système type unix avec une uid 0 sur-puissante.

          • [^] # Re: OpenBSD su><or, Linux rul3z

            Posté par  . Évalué à 2.

            En fait, pour le swap, ça peut avoir un intérêt que ça n'a pas pour la RAM: le swap reste sur le disque (par définition), donc quelqu'un avec un accès physique à la machine peut retrouver des informations intéressantes dedans, sans mal.

            Un cas particulier: les Knoppix(-MiB) utilisées avec un fichier de swap sur la partition windows du PC. Ça serait tout de même balot que le légitimie propriétaire du pc puisse récupérer toutes vos informations interessantes après votre passage...

            • [^] # Re: OpenBSD su><or, Linux rul3z

              Posté par  . Évalué à 1.

              Avec un accès physique a la machine on peut a peu près tout faire. L'exemple le plus simple étant le keyloger hard tout petit petit qui choppe les informations a la source. Avec un accès physique a ta machine je patch le noyau pour qu'il m'envoit tout ce qui est interessant etc...

              C'est un peu comme les mots de passe des fichiers excel, c'est psychologique pour les deux cotes :-)

              Pour la Knoppix ca avoir un interet en enfin, le plus simple etant toutefois de se demerde pour tourne sans swap, je l'ai fait tout cet été sur un laptop avec 96Mo de RAM...

              Je pense que c'est une solution de sécu "familiale" en effet.

          • [^] # Re: OpenBSD su><or, Linux rul3z

            Posté par  (site web personnel) . Évalué à 2.

            Imaginons le scénario suivant : tu vis en Chine, et tu utilises ton ordinateur pour écrire des articles sur ce qui se passe dans ton beau pays.

            La milice arrive 4 par 4 armée jusqu'aux dents chez toi, tu as juste le temps de débrancher violemment ton PC.

            Là, t'es content d'avoir du swap chiffré.

            • [^] # Re: Swap chiffré ? utilité ? oui...

              Posté par  (site web personnel) . Évalué à 0.

              euh oui et non : ils n'ont pas besoin de preuves pour te mettre en prison, c'est bien là le problème ... (sans blague)

              J'imagine plutôt le scénario : tu vis en France, et tu utilises ton ordinateur pour écrire un site qui invite à défendre ses libertés et sa vie privée (http://www.renseignementsgeneraux.net(...) par exemple).

              La police arrive blablabla (le reste est identique.)

              Sans blague, on n'en est plus très loin...

              • [^] # Re: Swap chiffré ? utilité ? oui...

                Posté par  . Évalué à 0.

                Non ca ne sert a rien !

                En cas de procédure judiciaire tu es tenu de fournir les clés de decryptage autrement tu te fais autant baiser la geule que s'ils avaient déchiffré.
                Ca serait un peu comparable a égorger quelqu'un, puis mettre le couteau dans un coffre fort....
                S'amuser a caser de la crypto forte est un passe temps, qui peut occuper longtemps, mais il y a tellement de moyens bien plus simple d'avoir les infos dont on a besoin.

                Dans un cadre légal le chiffrement de données n'a aucun interêt. Dans un autre il est bon de se rapeller de ce qu'a posté Duncan Campbell sur freebsd-security il y a quelque mois (http://madchat.org/crypto/misc-docs/campbell(...)). T'as clé a beau faire 4096bits, tes jambes et tes doigts sont toujours aussi solides eux...

                • [^] # Re: Swap chiffré ? utilité ? oui...

                  Posté par  . Évalué à 1.

                  hello mes chatons & daemons,

                  cryptoswap
                  http://www.flyn.org/projects/cryptoswap/index.html(...)

                  Support for encrypted swap partitions
                  Overview

                  The cryptoswap package supports building an encrypted swap partition when a system boots. This may be necessary on systems that use encrypted filesystems because plaintext secrets may be written to disk when memory is swapped to disk.
                  Nasty Details

                  Cryptoswap.sh should be installed in /etc/init.d. During system boot, cryptoswap.sh should execute right before checkroot.sh. When shutting down, cryptoswap should execute after sysklogd.

                  This package also includes an initialization script for building loopback encrypted /tmp. This may be necessary if a system contains encrypted filesystems but / is not encrypted. A link from directories like /var/tmp to /tmp may be appropriate. There are a few other alternatives for systems such as these:

                  1. Tmpfs is a Linux kernel feature that allows /tmp to exist in memory. This is a good solution for systems with a lot of memory and/or (encrypted) swap.
                  2. If you have a system that uses encrypted home directories, per-user temporary directories inside $HOME could be used. This would ensure that user's data is protected but would require that all applications use $HOME/tmp instead of /tmp.

                  Finally, the project may be used to create an encrypted root filesystem. Doing so requires two special partitions. First, create a small partition to hold your kernel and initrd image, /dev/hdaX. Second create a large partition to contain the root of your filesystem, /dev/hdaY.

                  Next configure and install an initrd-based boot system:

                  1. Ensure romfs is compiled in your kernel (not a module).
                  2. Create a kernel-supported filesystem on /dev/hdaX and copy your kernel to /vmlinux.
                  3. Download busybox and extract it as initrd/busybox.
                  4. Update initrd/src/etc/modules.initrd to include any modules needed to boot.
                  5. Build cryptoswap's initrd image (cd initrd && make initrd) and copy it to the filesystem on /dev/hdaX at /initrd.img.gz.
                  6. Make sure you use literal = "root=/dev/ram0 init=/linuxrc rw" or LILO equivalent.

                  Finally, create a proper encrypted filesystem on /dev/hdaY:

                  1. Randomize the partition: dd if=/dev/urandom of=/dev/hdaY.
                  2. Set up a loopback device: openssl enc -d -aes-256-ecb -in initrd/src/etc/efsk | losetup -p0 -e aes /dev/loop0 /dev/hdaY.
                  3. Create the root filesystem: mkfs.ext2 /dev/loop0.
                  4. Mount your new root filesystem: mount /dev/loop0 .
                  5. Populate your new root filesystem.

            • [^] # Re: OpenBSD su><or, Linux rul3z

              Posté par  . Évalué à 1.

              Dans ce cas il faut aussi chiffrer les autres partitions.

  • # Re: OpenBSD su><or, Linux rul3z

    Posté par  (site web personnel) . Évalué à 4.

    Ce serait pas possible de le mettre dans les Astuces ?

  • # Re: OpenBSD su><or, Linux rul3z

    Posté par  . Évalué à 3.

    Pour le swap:
    La mandrake le supporte déjà en mettant juste encrypted dans les options du swap dans /etc/fstab.

    La prochaine version de util-linux (2.12) le supporte en mettant je sais plus quoi dans le /etc/fstab (je me souvient qu'il faut lui indiquer quel loop device utiliser...).

    C'est utilisé dans la knoppix-MiB.

    Pour la mémoire: quelkqu'un qui a les droits pour chopper /dev/mem n'a peut-être pas de problème pour lire tout ce qu'il veut comme fichier? (cache, etc...)

  • # Re: OpenBSD su><or, Linux rul3z

    Posté par  . Évalué à 1.

    ajoute -o 4096 à losetup pour eviter d'effacer la signature de swap-space....

  • # Re: OpenBSD su><or, Linux rul3z

    Posté par  . Évalué à 7.

    J'ai pas de hdz137.

    Est-il possible à quelqu'un de me l'envoyer par mail ?
    Sinon je peux passer le prendre sur Paris en milieu de semaine.

    Merci

    • [^] # Re: OpenBSD su><or, Linux rul3z

      Posté par  . Évalué à 1.

      j'ai un hdz135, malheureusement le service pack 2 le rend incompatible avec le 137. si toutefois ça t'intéresse fais-moi signe, je te le glisserai sous la porte.

      laquelle ? celle que j'emprunte --> []

  • # Re: OpenBSD su><or, Linux rul3z

    Posté par  (site web personnel) . Évalué à 2.

    Ha, mon disque dur IBM supporte le chiffrage de ses données. Sans mot de passe lors de son initialisation, le contenu est illisible. Ça arrache bien, mais il faudrait que je modifie mon BIOS pour pouvoir utiliser cette fonctionnalité (ou alors que j'aie deux disques durs et que je modifie le pilote IDE, mais dans un portable c'est chaud).

    Intéressant quand même de savoir qu'elle existe, ainsi d'ailleurs que la possibilité de changer la taille du disque (son nombre de cylindres) par mot de passe, de manière que certaines données soient totalements inaccessibles dans certaines conditions. :-)

  • # Re: OpenBSD su><or, Linux rul3z

    Posté par  . Évalué à 1.

    De toute façon, il faut déjà avoir accès à la machine sous openbsd pour faire quelque chose. Alors, swap crypté ou pas...
    Tu ferais mieux d'installer un openbsd plutot que de chiffrer le swap de linux, tu perdrais moins de temps.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.