The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Создание шифрованной файловой системы"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Скрипты, настройки и файлы конфигурации. (Public)
Изначальное сообщение [ Отслеживать ]

"Создание шифрованной файловой системы"  
Сообщение от Андрей Гуселетов email on 12-Окт-02, 15:49 
Господа, вот возникла такая нужда - каким образом можно создать такую файловую систему (или какое-то хранилище) что-бы если винчестер сняли злоумышленники с компьютера то они не могли бы получить доступ к информации.

Я пробовал сделать вот что :
1) На сервер (UNIX) кладутся PGP-диски
2) Каждому пользователю (под W2K и Win NT 4.0 WS) ставится PGPDisk
    (из старой PGP 6.5i)
3) При входе в домен выполняется скрипт, который подключает PGPDisk, при этом, естественно, у пользователя спрашивается пароль.
4) При выходе из домена - отклюяается НО - у этой системы есть несколько недостатков :
Во-первых, фактически я использую PGP нелегально
Во-вторых - диск не всегда отключается! И иногда в процессе отключения она может повиснуть!
В-третьих - пользователи не очень любят "хорошие" т.е. нормальные и
длинные пароли, соответвенно - дай им это в руки - и понапридумывыют что-то простое и короткое - тогда смысл всего этого теряется, какая-уж тут безопасность?


Идея : Возможно существует (сразу говорю, я искал, но пока не нашел) какая-то шифрующая файловая система под UNIX (Linux или наверное лучше *BSD) которая может интегрироваться с аппаратными USB-ключами - внимание!! - на рабочих станциях, т.е. каким-то образом - через сеть. Тут всё ясно, сервер - имеет одну пару ключей, и ей шифрует какую-то часть файловой системы (или всю?), пользователь - пришел - воткнул в USB ключик - и, введя короткий пароль (как доп. уровень защиты) - работает, сервер, по сети принимает от него вторую часть ключа - дешифрует информацию -
        Если вдруг - заскакивают весёлые ребята в чёрных масках, с криками "Всем руки на стол" - выдергиваем USB-ключи, и, желательно -
        раздавливаем  его - (соответственно - должен быть второй такой-же).
        Раздавливать - хоть прямо на глаз интервентов.
        Понимаю что похоже на детектив, но, я сам системный администратора, и  хоть пока с такой ситуацией не сталкивался - предполагяю худшее.

Я эту задачу пока не решил, пютаюсь. Если всплывет решение - обязательно напишу сюда, или в журнал "Системный администратор".

Заранее всем благодарен,
Андрей Гуселетов,
системный администратор  ГК "ТЕРА", Харьков, Украина.

Высказать мнение | Ответить | Правка | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "RE: Создание шифрованной файловой системы"  
Сообщение от asipin email on 13-Окт-02, 13:14 
Есть шифрующа файловая система под Linux. Если сейчас диск СД который прочитается, то я тебе дам и название и ссылки на нее.......
Ага вот оно.... Работает по сети....... протоколо NFS.............

______  ______   ______  _____  
                         /_  __/ / ____/  / ____/ / ___/  
                          / /   / /      / /_     \__ \  
                         / /  _/ /___ _ / __/  _ ___/ /  
                        /_/  (_)____/(_)_/    (_)____(_)
                    
                              TCFS v2.0 README
                           Latest update 15 Feb 1997

                   E.Mauriello <ermmau@mikonos.dia.unisa.it>

-------------------------------------------------------------------------------

TCFS is a cryptographic filesystem for Linux.

TCFS has been developed at Dipartimento di Informatica ed Applicazioni
"Renato M. Capocelli" of the Universita' di Salerno (Italy).

The developers can be contacted at tcfs@mikonos.dia.unisa.it.

Detailed information, including an updated version of the FAQ list, can
be found at the URL http://mikonos.dia.unisa.it/tcfs
(mirror available at http://www.globenet.it/~ermmau/tcfs).
For info and bug-report contact us at tcfs@mikonos.dia.unisa.it
There is a mailing list devoted to TCFS. To subscribe send a message
to majordomo@mikonos.dia.unisa.it containing:

subscribe tcfslist <your e-mail address>

TCFS sources are available via FTP at
ftp://mikonos.dia.unisa.it/pub/tcfs/sources/tcfs_2.0


Относительно остального......... USB ключей итд....... Хрен его знает.....

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "RE: Создание шифрованной файловой системы"  
Сообщение от Денис email on 13-Окт-02, 21:13 
>Господа, вот возникла такая нужда - каким образом можно создать такую файловую
>систему (или какое-то хранилище) что-бы если винчестер сняли злоумышленники с компьютера
>то они не могли бы получить доступ к информации.
>
>        Если вдруг - заскакивают
>весёлые ребята в чёрных масках, с криками "Всем руки на стол"
>- выдергиваем USB-ключи, и, желательно -
>        раздавливаем  его -
>(соответственно - должен быть второй такой-же).
>        Раздавливать - хоть прямо
>на глаз интервентов.
Для этой ситуации ГОРАЗДО эффективнее грамм 20 динамита в районе винчестера в сервере и кнопка от электродетонатора под столом.
(регулярный backup с вызозом копии очень далеко - обязателен:-)

>        Понимаю что похоже на
>детектив, но, я сам системный администратора, и  хоть пока с
>такой ситуацией не сталкивался - предполагяю худшее.
>
В более простой ситуации - поставить на сервер Самбу и поискать для виндовоз решение - "файл как диск".  свое время, для Вынь3.1 такие програмки имели хождение. С шифровкой, паролями и т.д. И пароли можно было
как ключ-файл на дискете держать. Путь е нему в конфиге писался. А сейчас есть USB-Disk... Что-то говорит что в пору Win2000 это не должно было исчезнуть.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "RE: Создание шифрованной файловой системы"  
Сообщение от Андрей email on 14-Окт-02, 10:52 
За TCFS спасибо, вот кстати её более новый (или более правильный) адрес
http://www.tcfs.it/

Кстати, я смотрел решения Alladin Software - есть там у них такой сервер, НО - это всё под W2K, что меня не очень-то устравивает!

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "RE: Создание шифрованной файловой системы"  
Сообщение от SandySandy email on 15-Окт-02, 05:16 
Вот ссылка.
http://www.opennet.me/opennews/art.shtml?num=1398&showsectio...

Создаем файловую систему, юзерам монтируем автоматом. Ключи сохраняем в usb флешках. Чем не вариант?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "RE: Создание шифрованной файловой системы"  
Сообщение от uldus on 16-Окт-02, 13:37 
Crypted File System (cfs) & Encrypted Session Manager (esm):
ftp://ftp.hacktic.nl/pub/crypto/disk/cfs/
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "RE: Создание шифрованной файловой системы"  
Сообщение от Андрей email on 17-Окт-02, 10:47 
>Crypted File System (cfs) & Encrypted Session Manager (esm):
>ftp://ftp.hacktic.nl/pub/crypto/disk/cfs/
Ну по ссылке этой у меня не пошло :-( А вот в другом месте я нигде Encrypted Session Manager я не нашел. А про CFS сейчас читаю (впрочем это раз уже очередной)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "RE: Создание шифрованной файловой системы"  
Сообщение от huNTer email on 17-Окт-02, 09:47 
>Я пробовал сделать вот что :
> 1) На сервер (UNIX) кладутся PGP-диски
какой точно unix?
есть решение для линукса - CryptoAPI
http://www.kernel.org/pub/linux/kernel/crypto - там лежат патчи для ядра
потом ищешь howto про crypto fs и радуешься жизни :)
сам уже давно этим пользуюсь
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

8. "RE: Создание шифрованной файловой системы"  
Сообщение от Андрей email on 17-Окт-02, 11:00 
>>Я пробовал сделать вот что :
>> 1) На сервер (UNIX) кладутся PGP-диски
>какой точно unix?
Было два варианта
1) FreeBSD 4.6+Samba 2.2.5+OpenLDAP+LDAPauth.pam и пр.
2) ASPLinux 7.3 Express Edition + Samba 2.2.5
>есть решение для линукса - CryptoAPI
Спасибо, почитал - идея, в общем-то понятно - но может теперь у кого-то возникли мысли как это всё завязать на флэшку? Потому что у меня в голове это как-то не склыдвается.
Модуль loop-GOST (http://www.opennet.me/opennews/art.shtml?num=1398&showsectio...) возможно и хорошо - но - самое главное - флэшки должны быть на стороне пользователя, а такого решения я пока нигде не видел, а у самого у меня не получается. Т.е. - можно через какое-то crypto-API подмонтировать диск - но ведь и пароль (ключ) должен быть на стороне сервера, или возможно как-то передавать информацию о ключе по сети? Но с другой стороны - тогда вообще-то нужно сделать что-то типа NTLM, т.е. что-бы передавлся не ключ, а какие-то данные с наложенных на ним ключом - ОТ СЕРВЕРА к ПОЛЬЗОВАТЕЛЮ, а потом в обратную сторону - и там уж проверять совпадение (или просто тупо пытаться наложить ключ на файловую систему? вроде как : получилось - есть рабочая fs, не получилось - есть набор мелко нашинкованных глюков.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

9. "RE: Создание шифрованной файловой системы"  
Сообщение от SandySandy email on 24-Окт-02, 13:20 
Как вариант (теория), делаем все на САМБЕ. Диски автоматом монтируются по скрипту прописанному pre exec (параметр в smb.conf).
Неработал с юсб флешками, непредставляю как к ним обращаться, но как вариант прорабатывал на дискетках.
Пользователь вставляет дискетку (флоппи расшарен для сервака), входит в домен, исполняется скрипт. все окей!
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

10. "RE: Создание шифрованной файловой системы"  
Сообщение от SeF email on 17-Фев-03, 16:37 
Как вариант:
условия клиент win_nt.

насчет USB:
пишется драйвер файловой системы, который создает символическую ссылку видимую как \\mashine_name\name_drivera. драйвер в свою очередь взаимодействует с USB. ну а дальше работа как с расшареной папкой.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

11. "RE: Создание шифрованной файловой системы"  
Сообщение от stalker on 28-Мрт-03, 17:16 
Просто чтобы сделать тред полным добавлю следующее:
В OpenBSD задача решена на уровне ядра. Сам пробовал. Все добротно, вот только производительность не тестил, так как небыло нужды.

http://www.opennet.me/opennews/art.shtml?num=1687

или напрямую

http://www.stanford.edu/~tedu/cgd.html

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

21. "RE: Создание шифрованной файловой системы"  
Сообщение от dilmah on 16-Мрт-04, 15:23 
>Просто чтобы сделать тред полным добавлю следующее:
>В OpenBSD задача решена на уровне ядра.

чтобы сделать полным надо добавить что cgd портировано в Open из Net

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

12. "Создание шифрованной файловой системы"  
Сообщение от l0cky on 03-Ноя-03, 00:53 
-+ Кхе-х, ну лучше поздно чем никогда

Рекомендую порядок (по определенным причинам только в общих чертах)

1) На сервер кладутся PGP-диски
2) НАЗНАЧЕННОМУ пользователю (под W2K) ставится PGPDisk (той же версии)
3) При входе в домен выполняется скрипт, который подключает PGPDisk, при этом, у НАЗНАЧЕННОГО пользователя или Админа спрашивается пароль. Скрипт должен реализовывать доступность смонтированных дисков для имеющих право на работу с информацией пользователей  
4) ПАРОЛЬ д.б. ДЛИННЫМ и его придумывает АДМИНИСТРАТОР, а  не любовь к нему НАЗНАЧЕННОГО пользователя лечится переключением на БОССА КОТОРЫЙ ПОТЕРЯЕТ БАБКИ или нечто большее
5) Функция отключения диска реализуется штатными средствами PGP установленными и настроенными у ТОГО, КТО ВЫПОЛНЯЕТ ПОДКЛЮЧЕНИЕ
6) Глотать, грызть и т.п. вспомогательные устройства НЕ ОБЯЗАТЕЛЬНО, вполне достаточно извлечь после авторизации и убрать с глаз долой. Не говоря о том, что можно обойтись и без них.

Да, "люди в масках" могут неправильно понять рвение, подпортить ВАМ  здоровье, а заодно и отобрать девайс, потому они имеют рефлексы и навыки не свойственные админам .

НЕДОСТАТКИ:

Все недостатки связаны с человеческим фактором и способы борьбы с ними определяются конкретными условиями работы.
  


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

13. "Создание шифрованной файловой системы"  
Сообщение от dawnshade email on 06-Ноя-03, 11:35 
http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/di...
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

14. "Создание шифрованной файловой системы"  
Сообщение от qwerty on 24-Ноя-03, 15:42 
чувствуется дуновение ветра перемен :)
Все ваши заморочки в определенный мере бесполезны.. знаете почему? если инфа нужна будет тому кто за ней охотится (не дай Бог правительство) тебе такие пытки устроят что ты сам расскажеш пароль от пгп или еще чего то там... это я на тему маски шоу..
и еще напоследок - выкиньте из головы - вытащить usb девайс и растоптать у них на глазах, во первых не успеете, а во вторых они вам после таких выкрутасов это девайс знаете куда засунут? ;)
ЗЫ а сервак то Юкоса всетаки расковыряли... как спросите? см мой опус чуть повыше..
удачи!
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

15. "Создание шифрованной файловой системы"  
Сообщение от dawnshade email on 24-Ноя-03, 16:18 
>чувствуется дуновение ветра перемен :)
>Все ваши заморочки в определенный мере бесполезны.. знаете почему? если инфа нужна
>будет тому кто за ней охотится (не дай Бог правительство) тебе
>такие пытки устроят что ты сам расскажеш пароль от пгп или
>еще чего то там... это я на тему маски шоу..
>и еще напоследок - выкиньте из головы - вытащить usb девайс и
>растоптать у них на глазах, во первых не успеете, а во
>вторых они вам после таких выкрутасов это девайс знаете куда засунут?
>;)
>ЗЫ а сервак то Юкоса всетаки расковыряли... как спросите? см мой опус
>чуть повыше..
>удачи!

Никто собссно и не спорит. :)


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

16. "Создание шифрованной файловой системы"  
Сообщение от qwerty on 27-Ноя-03, 09:24 
я не хотел вас всех так разочаровывать! :))
тред сразу умер... как говорится - зубов бояться ... ;)
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

17. "Создание шифрованной файловой системы"  
Сообщение от dawnshade email on 27-Ноя-03, 09:33 
>я не хотел вас всех так разочаровывать! :))
>тред сразу умер... как говорится - зубов бояться ... ;)

:)
Кстати на фре - это по-моему единственное криптование на уровне ядра.. Без всяких патчей и извратов.. Вот только пока -CURRENT

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

18. "Создание шифрованной файловой системы"  
Сообщение от Nikolaev_D email on 10-Фев-04, 22:43 
>>я не хотел вас всех так разочаровывать! :))
>>тред сразу умер... как говорится - зубов бояться ... ;)


самое правильное решение - жить честно, тогда никакие проверки не страшны :)
Маски-шоу - это последняя стадия конфликта, нужно донее не доводить дело.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

19. "Создание шифрованной файловой системы"  
Сообщение от dawnshade email on 10-Фев-04, 23:02 
>самое правильное решение - жить честно, тогда никакие проверки не страшны :)
>
>Маски-шоу - это последняя стадия конфликта, нужно донее не доводить дело.

Ради интереса - сам-то как: честно живешь?
Серьезно спрашиваю.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

20. "Создание шифрованной файловой системы"  
Сообщение от qwerty on 12-Мрт-04, 13:38 
>>>я не хотел вас всех так разочаровывать! :))
>>>тред сразу умер... как говорится - зубов бояться ... ;)
>
>
>самое правильное решение - жить честно, тогда никакие проверки не страшны :)
>
>Маски-шоу - это последняя стадия конфликта, нужно донее не доводить дело.
это да..
просто реалии ведения бизнеса в России (а так же наверное ЕХ-USSR) таковы что всегда надо что то и от кого то прятать... И самое обидное что все потуги создать что то действительно хорошее (из крипто) разбиваются об человеческий фактор - оно (он) самое слабое звено.. не хочется видеть свои яйца в дверной щели ;)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

22. "Создание шифрованной файловой системы"  
Сообщение от dimus (??) on 17-Сен-04, 10:35 
Осмелюсь представить на ваш взгляд некоторые идеи по решению проблемы "Маски-Шоу". Меня подобная проблема занимает уже давно, правда, к счастью, чисто гипотетически. Однако я довольно неплохо все обдумал. Сразу извиняюсь, непосредственно о создании шифрованной ФС тут не будет ни слова. Однако я надеюсь, что вы найдете представленные ниже соображения достойными внимания. Итак:

1. Решение должно быть комплексным, т.е. наихудший случай - это когда все ложится на плечи бедного админа, а проблема недопущения утечки информации решается в последний момент. У серьезной фирмы должна быть своя разведка, которая должна отслеживать "Политическую Ситуацию" вокруг фирмы, дабы заблаговременно (!!!) уведомить руководство об угрожающих моментах.
2. Порядок работы фирмы можно разделить на три стадии: мирное время, обострение ситуации и конфликт. Если разведка засекла обострение ситуации, то надо заблаговременно(!!!) начинать готовиться к конфликту. Как можно больше данных следует зашифровать и в таком виде вообще вывести из обращения. Причем, дабы админу потом не прищемили дверью сами знаете что, следует исключить возможность того, что ему известен пароль - нужно сгенерировать его таким макаром, чтобы его знал только руководитель или вообще не знал никто. По моему, для выводимых из обращения данных лучше использовать симметричное шифрование с очень длинным ключем (допустим, что это компакт-диск с последовательностью случайных чисел), после чего ключ заныкать в одном месте. а зашифрованные данные в другом. Желательно, чтобы они были разделены географически и административно. Например мы отвозим ключ в швейцарский банк, а данные в секретное хранилище. Следует разделить исполнителей этого задания и исключить возможность обмена между ними информацией. Данные, без которых вообще нельзя обойтись, должны храниться в одном из вариантов зашифрованной файловой системы. Мне кажется, что лучше иметь несколько таких файловых систем, к которым бы имели доступ люди с разными привилегиями.
3. В случае конфликта атакуемая сторона должна иметь время на принятие решения. Это достигается построением _многоуровневой_ системы ФИЗИЧЕСКОЙ защиты. Есть очень хорошая бумажная книга на русском языке на эту тему - ее написала американский эксперт, долгие годы работавшая на правительство США. Она вроде так и называется - системы физической защиты. Очень рекомендую купить и ознакомится. Там, в частности, приводятся сведения о времени преодоления различных заграждений. Систему безопасности следует строить таким образом, чтобы время преодоления препятствий атакующими было строго больше времени на принятие адекватных ситуации мер. Например, у нас сидит охранник на системе видеонаблюдения. Он засек, что началось маски-шоу. Он нажимает на кнопку на пульте (а таких кнопок следует иметь несколько в разных местах здания), что приводит к блокированию пути к серверной железныим решетками. Одновременно о происходящем ставится в известность админ - например при помощи сирены у него над ухом :) В принципе, можно присобачить на эту же кнопку некую программу, которая, будучи запущена, сильно поможет админу в его нелегком труде.
В итоге, когда атакующие доберуться до серверной, мы будем иметь зашифрованные данные, не будем иметь ключа для их расшифровки, а атакующая сторона не сможет вытянуть ключ из админа, так как он его просто не знает. Идеальной защиты не бывает, и в конце концов при должном усердии атакующая сторона получит доступ к данным, однако случится это не скоро и вины сисадмина в этом уже не будет.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

23. "Создание шифрованной файловой системы"  
Сообщение от Shturman email(??) on 17-Сен-04, 13:43 
>В итоге, когда атакующие доберуться до серверной, мы будем иметь зашифрованные данные,
>не будем иметь ключа для их расшифровки, а атакующая сторона не
>сможет вытянуть ключ из админа, так как он его просто не
>знает. Идеальной защиты не бывает, и в конце концов при должном
>усердии атакующая сторона получит доступ к данным, однако случится это не
>скоро и вины сисадмина в этом уже не будет.

Выбить то они его не смогут. Но бить будут долго. Ибо не поверят что админ пароля не знает...
А насчёт вины напоминает "Спи спокойно, админ...".
А вобщем система не применима для мелких контор. Согласен, там с наездами проще. Но авдруг!.. :))

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

24. "Создание шифрованной файловой системы"  
Сообщение от dimus (??) on 20-Сен-04, 11:53 
Да, жизнь несправедлива... Но, по-моему, лучше делать хоть что-нибудь, чем вообще ничего не делать. Удачи всем админам в их нелегком труде.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

25. "Создание шифрованной файловой системы"  
Сообщение от dmit on 13-Окт-04, 14:57 
Не хотел, честно говоря, давать конкретные рекомендации, но раз уж зашла тема о безопасности админа... 8-)

Знаком с вопросом очень хорошо, довелось поработать в _разных_ конторах, в том числе разрабатывал методики и инструкции по изъятию выч. техники, носителей информации и других вещественных доказательств. Иногда сам в этом процессе принимал участие.

В целом основные идеи изложены правильно, но упущено следующее:

1) если СБ компании _следует_ иметь "разведку", то у гос. структур она УЖЕ есть. Называется это - "оперативная работа". Если изъятие производится не по "горячим следам", то _всегда_ этому предшествуют оперативные мероприятия.
Прорабатывается персонал, используется агентурная сеть, выясняется внутренняя структура компании, используемые системы безопасности (охрана, сигнализация, видео и т.д.).
Как правило, используется и/или вербуется источник либо в самой компании либо каким-то образом с ней связанный (например, "друзья", "коллеги по бизнесу" - читай "конкуренты", это может быть работник компании с не очень "чистым" прошлым и т.д.).
После того как собрана более-менее целостная картина, осуществляется планирование операции либо, при необходимости, назначаются дополнительные мероприятия (прослушивание телефонов, интернет-трафика, установка жучков и/или троянов для сбора информации о внутренней сети, паролях и прочем).
И _только_ после этого, с учетом всей информации, в удобное для них (читай - неудобное для их клиентов) время приезжают люди в масках, по возможности в присутствии соответствующим образом подготовленных и оборудованных специалистов, владеющих всеми оперативными данными и координирующих действия оперативной группы.
Еще следует иметь в виду, что собственно появлению людей в масках предшествует, как правило, появление людей в штатском, чья задача и будет заключаться в том, что бы находясь на месте до появления оперативной группы, не допустить нажатия всяческих кнопок, проглатывания дискет и разбивания хардов.

2) Не следует недооценивать профессиональный уровень ИТ экспертов из гос. структур. Как это ни странно, но не смотря на унизительно низкий уровень зарплаты (парадокс, но иногда и благодаря этому) люди, которые там работают имеют массу возможностей для обучения и тренировки профессиональных навыков. В частности постоянно тренировать ум им помогает практически полное отсутствие необходимого бюджета, когда многие сложные задачи приходится решать весьма нетривиальными методами, плюс они _уже_ имеют опыт подобных мероприятий, знакомы с распространенными и не очень методами сокрытия информации и обладают развитой способностью к системному подходу и мышлению, что обусловлено самой службой в подобных учреждениях.
Так что распространенный штамп о том, что все менты "тупые" в данном случае, скорее всего, можно считать недействительным. Специалисты, которые осознают свой уровень подготовки, но продолжают работать за эти зарплаты, как правило делают это либо из принципиальных соображений либо из спортивного азарта к подобного рода противостояниям и профессионального интереса к решению подобных задач. В конце-концов они на этом нарабатывают _свой_ опыт и знания (где они потом смогут этот опыт применить предлагаю в данном трэде дальше не обсуждать, будет явный офф-топик 8-).

Так что, проектируя подобные системы защиты информации, следует безусловно иметь в виду все вышеизложенное мной и предыдущим автором.
Решения, заключающиеся исключительно в установке шифрованных дисков и раздаче паролей будут абсолютно неработоспособны (во всяком случае, с точки зрения реальной защиты от гос. структур, ни кто не говорит, что админ не сможет это запустить, продемонстрировать руководству и получить премию 8-).

Подобные вещи что называется "на коленках" не делаются, они действительно требуют комплексного подхода, разработки полной и целостной политики безопасности (куда, кстати, входит и защита от вирусов, резервное копирование и т.д.), серьезной работы с персоналом и целого ряда других специфических знаний и мер, обсуждать которые здесь считаю нецелесообразным.

Такие проекты "затачиваются" под конкретного клиента в индивидуальном порядке и, как правило, за совершенно индивидуальные деньги. 8-)

P.S. на тему бедного несчастного админа - намного целесообразнее провести оперативную работу с ним _заранее_, чем выбивать из него  пароли и ключи _потом_, которых у него действительно может и не быть. Но кто сказал, что админ (или кто-то другой) не сможет поиметь всю информацию в тот момент, когда она будет находиться "в работе" (диски смонтированы, пароли введены)?..

Успехов в работе! 8-)


>Осмелюсь представить на ваш взгляд некоторые идеи по решению проблемы "Маски-Шоу". Меня
>подобная проблема занимает уже давно, правда, к счастью, чисто гипотетически. Однако
>я довольно неплохо все обдумал. Сразу извиняюсь, непосредственно о создании шифрованной
>ФС тут не будет ни слова. Однако я надеюсь, что вы
>найдете представленные ниже соображения достойными внимания. Итак:
>
>1. Решение должно быть комплексным, т.е. наихудший случай - это когда все
>ложится на плечи бедного админа, а проблема недопущения утечки информации решается
>в последний момент. У серьезной фирмы должна быть своя разведка, которая
>должна отслеживать "Политическую Ситуацию" вокруг фирмы, дабы заблаговременно (!!!) уведомить руководство
>об угрожающих моментах.
>2. Порядок работы фирмы можно разделить на три стадии: мирное время, обострение
>ситуации и конфликт. Если разведка засекла обострение ситуации, то надо заблаговременно(!!!)
>начинать готовиться к конфликту. Как можно больше данных следует зашифровать и
>в таком виде вообще вывести из обращения. Причем, дабы админу потом
>не прищемили дверью сами знаете что, следует исключить возможность того, что
>ему известен пароль - нужно сгенерировать его таким макаром, чтобы его
>знал только руководитель или вообще не знал никто. По моему, для
>выводимых из обращения данных лучше использовать симметричное шифрование с очень длинным
>ключем (допустим, что это компакт-диск с последовательностью случайных чисел), после чего
>ключ заныкать в одном месте. а зашифрованные данные в другом. Желательно,
>чтобы они были разделены географически и административно. Например мы отвозим ключ
>в швейцарский банк, а данные в секретное хранилище. Следует разделить исполнителей
>этого задания и исключить возможность обмена между ними информацией. Данные, без
>которых вообще нельзя обойтись, должны храниться в одном из вариантов зашифрованной
>файловой системы. Мне кажется, что лучше иметь несколько таких файловых систем,
>к которым бы имели доступ люди с разными привилегиями.
>3. В случае конфликта атакуемая сторона должна иметь время на принятие решения.
>Это достигается построением _многоуровневой_ системы ФИЗИЧЕСКОЙ защиты. Есть очень хорошая бумажная
>книга на русском языке на эту тему - ее написала американский
>эксперт, долгие годы работавшая на правительство США. Она вроде так и
>называется - системы физической защиты. Очень рекомендую купить и ознакомится. Там,
>в частности, приводятся сведения о времени преодоления различных заграждений. Систему безопасности
>следует строить таким образом, чтобы время преодоления препятствий атакующими было строго
>больше времени на принятие адекватных ситуации мер. Например, у нас сидит
>охранник на системе видеонаблюдения. Он засек, что началось маски-шоу. Он нажимает
>на кнопку на пульте (а таких кнопок следует иметь несколько в
>разных местах здания), что приводит к блокированию пути к серверной железныим
>решетками. Одновременно о происходящем ставится в известность админ - например при
>помощи сирены у него над ухом :) В принципе, можно присобачить
>на эту же кнопку некую программу, которая, будучи запущена, сильно поможет
>админу в его нелегком труде.
>В итоге, когда атакующие доберуться до серверной, мы будем иметь зашифрованные данные,
>не будем иметь ключа для их расшифровки, а атакующая сторона не
>сможет вытянуть ключ из админа, так как он его просто не
>знает. Идеальной защиты не бывает, и в конце концов при должном
>усердии атакующая сторона получит доступ к данным, однако случится это не
>скоро и вины сисадмина в этом уже не будет.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

33. "Создание шифрованной файловой системы"  
Сообщение от DDDstart (ok) on 19-Окт-08, 20:49 
>Все ваши заморочки в определенный мере бесполезны.. знаете почему? если инфа нужна
>будет тому кто за ней охотится (не дай Бог правительство) тебе
>такие пытки устроят что ты сам расскажеш пароль от пгп или

Согласен с qwerty. Знаете, что такое "анально-ректальная криптостойкость пароля?"
:)
Это когда криптостойкость пароля обратно пропорциональна температуре паяльника, вставленного в за$ницу.

:)

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

26. "Создание шифрованной файловой системы"  
Сообщение от Profan email(ok) on 09-Май-05, 03:44 
>Господа, вот возникла такая нужда - каким образом можно создать такую файловую систему (или какое-то хранилище) что-бы если винчестер сняли злоумышленники с компьютера то они не могли бы получить доступ к информации.
>
Просмотрел предложенные варианты защиты.
У вас там что, государственные секреты хранятся?
Так их и охраняют соответственно.
Или антигосударственные, чтобы за вами так охотились?
Так не уйти от наказания... ЧК не дремлет. :-)

Но на такую "разработку" нужны соответствующие санкции.
А их, для охоты за коммерческими секретами, не дадут.
Другое дело произвол органов. Который без санкций.
Просто накопать компромат и потом "выдавливать" начальнику на новую машину...
Проходил недавно мимо конторы налоговой милиции.
И откуда у бедных стражей порядка такие крутые машины?

Тогда ситуация проще. Не надо шифроваться.
Просто запаролить загрузку Системы и ВСЕ.
Только не БИОС (на это у них ума хватит), а сам загрузчик.
Тогда не смогут залезть туда и накопать...
Спецы смогут, но это уже другие структуры их имеют.
И там произвол не пройдет, без веских оснований.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

27. "Создание шифрованной файловой системы"  
Сообщение от спец on 19-Июл-05, 07:25 
Еще есть вариант. Где то видел. Стот беспроводная сетка, а сервак лежит в машине припаркованный возле офиса. Можно обыскать все здание, вынести все вещи, взломать все компьютеры. А до данных так и не добраться.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

28. "Создание шифрованной файловой системы"  
Сообщение от pentarh (ok) on 10-Окт-05, 17:19 
Я в принципе решил эту задачку без лишнего гимора с USB и PGP. FreeBSD GBDE - стойкое 128 бит шифрование партишинов на уровне ядра.
------------
gbde(8) шифрует содержимое секторов при помощи 128-битного AES в режиме CBC. Каждый сектор диска шифруется различным ключом AES. Более полная информацию о системе шифрования gbde, включая алгоритм генерации ключей для секторов из ключевой фразы, вводимой пользователем, можно найти на страницах справочной системы о gbde(4).
http://www.freebsd.org/doc/ru/books/handbook/disks-encryptin...
------------

После загрузки сервера правда приходится вручную запускать самописный скрипт, состоящий из простой последовательности команд:

1. Подсоеденить щифрованную партицию (ввести пароль)
2. Смонтировать ее
3. Запустить самбу (шары которой лежат на этой партиции)
4. Запустить другие сервисы, зависящие от этой партиции (апач, мускул например)

Пункты 1 и 2 описаны в вышеприведенной ссылке.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

29. "Создание шифрованной файловой системы"  
Сообщение от pentarh (ok) on 10-Окт-05, 17:21 
Кстати, желательно переделать скрипты reboot и shutdown, которые бы выполняли обратные действия.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

31. "Создание шифрованной файловой системы"  
Сообщение от Любитель email(ok) on 06-Дек-05, 11:45 
ОС Линукс. Выделил раздел для шифрации. После ввода пароля монтирую его в раздел /home Скрипт приводится ниже. Затем, запускаю samba (контроллер домена). Все общие и личные диски (H),  находятся в разделе /home и в итоге зашифрованы. Настроил папку "Мои Документы" и почту на диск H.

Нет ничего что было-бы не зашифрованно и нет проблем с тем чтобы решать что шифровать, а что нет и почему этот документ положили не на PGP диск,
а на обычный.

#!/bin/bash

LOSETUP=/sbin/losetup

case "$1" in

      start)
            echo "Mounting encrypted [home] file system"

            $LOSETUP -e aes-256 /dev/loop0 /dev/sda2

            /bin/mount -t ext2 /dev/loop0 /home

            echo "OK"
            ;;
     stop)

           echo "Unmounting encrypted [home] file system"

           /bin/umount /home

           $LOSETUP -d /dev/loop0

           echo "OK"

           ;;

      create)

            echo "Create encrypted [home] file system"

            exit

            $LOSETUP -e aes-256 /dev/loop0 /dev/sda2

            mkfs.ext2 /dev/loop0

            /bin/mount -t ext2 /dev/loop0 /home

            echo "OK"

            ;;

     *)

       echo "Usage: cfs {start|stop}"

       exit 1
esac

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

32. "Создание шифрованной файловой системы"  
Сообщение от dsl on 21-Дек-05, 08:23 
с паролем это зря, его запомнить можно)))
надо реализовать с ключем 512 бит к примеру, openssl это умеет.
ключ будет лежать на сменном носителе.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру