seperat home og root og fuld kryptering?

Her kan du få hjælp til installationen af Ubuntu.
Brugeravatar
Toddvarg
Indlæg: 841
Tilmeldt: 19. maj 2007, 19:59
Geografisk sted: Vejle

seperat home og root og fuld kryptering?

Indlægaf Toddvarg » 30. jun 2016, 16:46

Jeg vil gerne lave en ny installation af min Ubuntu med seperat /, /home og /swap, samtidigt vil jeg gerne have fuld kryptering på det hele. Det virker ikke som om den muligheden findes under installation. Enten kan jeg vælge noget andet (med at dele op mine partioner) eller jeg kan vælge fuld kryptering. Det virker ikke som om det er muligt at bruge begge under installationen eller er det noget jeg har misforstået.
Ting tager tid

med venlig hilsen
Tom Oddvar Gundersen

thj01
Indlæg: 2667
Tilmeldt: 21. nov 2006, 10:06
Geografisk sted: Fredericia

Re: seperat home og root og fuld kryptering?

Indlægaf thj01 » 1. jul 2016, 11:51

Under selve installationen af Ubuntu får du tilbudt muligheden for at kryptere dit hjemmekatalog. I min verden giver det ikke mening at kryptere andre steder da:

* Al personlig data hører til i ens egen mappe

* /root bliver ikke brugt til nogen form for data (hvis den gør skal sudo brugerne have tæsk)

*Data der ligger uden for hjemmemappen skal være tilgængelige for resten af systemet og/eller netværket hvis det er nødvendigt. Divsere kodeord osv er krypteret.

Man skal tænke på at hvis selve operativsystemet står for krypteringen, så vil der reelt være ukrypterede data i RAM, så derfor bør evt fuld kryptering laves af hardware der arbejder uden om CPU/RAM

https://en.wikipedia.org/wiki/Hardware- ... encryption
Forfatter til Ubuntuguiden: http://www.vidas.dk/guides/ubuntuguiden.html

Kører LTS udgaverne.

"It's always easy if you know how to do it."

AJenbo
Admin
Indlæg: 20860
Tilmeldt: 15. nov 2009, 15:04
IRC nickname: AJenbo
Geografisk sted: Vanløse, København

Re: seperat home og root og fuld kryptering?

Indlægaf AJenbo » 1. jul 2016, 12:13

Man kan være mere sikker på der ikke er nogen der har manipuleret med ens system hvis der er fuld kryptering.

Brugeravatar
Toddvarg
Indlæg: 841
Tilmeldt: 19. maj 2007, 19:59
Geografisk sted: Vejle

Re: seperat home og root og fuld kryptering?

Indlægaf Toddvarg » 1. jul 2016, 17:23

thj01 skrev:Under selve installationen af Ubuntu får du tilbudt muligheden for at kryptere dit hjemmekatalog.

Jeg har allerede krypteret min hjemmemappe, det var mere om det var muligt at lave fuld kryptering og beholde separat root og home
Ting tager tid

med venlig hilsen
Tom Oddvar Gundersen

thj01
Indlæg: 2667
Tilmeldt: 21. nov 2006, 10:06
Geografisk sted: Fredericia

Re: seperat home og root og fuld kryptering?

Indlægaf thj01 » 2. jul 2016, 10:37

@AJenbo

Det kræver adgang til ens sudo bruger at kunne fifle med systemet. Er sikkerhed så vigtigt for en opretter man en "dummy" bruger til at være eneste sudo'er og giver den et godt password. Linux sikkerhed administreres på bruger/filniveau ... ikke kryptering. Det handler om privathed.

Jeg ved ikke hvad sikkerhedsniveauet skal være, men hvis man ønsker en computer som er virkelig sikker, skal den stå i et aflåst rum og helst uden adgang til verden udenfor, for en ting er selve computeren og operativsystemet. Derudover skal man i et paranoidt system forholde sig til routere, og switche - både hos en selv, men også ved ens udbydere. Og dermed reelt på verdensplan.

@Toddvarg

Som jeg ser det er et virkeligt paranoidt system bedst at lave virtuelt. Der kan man kryptere hele den virtuelle harddisk, sådan at det kræver ens credentials at få den startet på.

Generelt mener jeg også at den største sikkerhed opnås ved at anvende systemet som det er tænkt. Root kan alt og skal kunne alt - af samme årsag bruges denne konto kun til systemarbejde og er beskyttet af stærke koder og tillid til dem som anvender root's rettigheder. Der gemmes ALDRIG noget i /root og derfor er kryptering her ligegyldigt.

Hvis man søger for at holde private data inde i ens hjem, så er den enkelte bruger også sikret der ved kryptering.

Ønsker man endeligt at sikre essentielle filer fra at blive skrevet i kan man anvende chattr (http://www.cyberciti.biz/faq/linux-writ ... ng-a-file/) og derved skrivebeskytte filer. Det kræver at kommandoen bliver reversed for at der bliver skrevet i den, og så administratoren at der er noget galt.

Jeg mener at hele krypteringsdelen kun giver mening angående data, og at nøglen til et trygt system ligger hos administratoren og hvordan h*n oplærer sine brugere. Og det sker igennem bruger/fil rettigheder - og evt kryptering af data, hvis det er nødvendigt ... NÅR det er nødvendigt.

Måske er en tredie vej at gå, at anvende LVM. Så vil selve administrationen af diskene være "flyttet" fra OS til LVM, og der kan der måske laves nogle tricks (https://www.linux.com/blog/how-full-enc ... m-lvm-luks).
Forfatter til Ubuntuguiden: http://www.vidas.dk/guides/ubuntuguiden.html

Kører LTS udgaverne.

"It's always easy if you know how to do it."

Claus Henriksen
Forfatter
Indlæg: 793
Tilmeldt: 21. jan 2007, 17:45
Geografisk sted: Christianshavn

Re: seperat home og root og fuld kryptering?

Indlægaf Claus Henriksen » 2. jul 2016, 11:15

Lvm luks netoden virker fint. Men, uha, hvis computeren ikke lukkes rent ned så der skal laves fscheck reparation på vej op igen kan det ende gruelict galt. Det har jeg prøvet på den hårde måde med tabte data, så jeg mener også metoden med blot at kryptere home er den bedste/tilstrækkelige/praktiske løsning.
Claus Gårde Henriksen / Jeg bruger ikke Ubuntu / Debian Stable 12

AJenbo
Admin
Indlæg: 20860
Tilmeldt: 15. nov 2009, 15:04
IRC nickname: AJenbo
Geografisk sted: Vanløse, København

Re: seperat home og root og fuld kryptering?

Indlægaf AJenbo » 2. jul 2016, 11:26

@thj01 kryptering gør ikke meget for et kørende system så det handler ikke om nogen har root adgang men fysisk adgang.

Desuden bliver der gemt data uden for /home, eks mysql, så det kommer an på hvad det er man køre på sin maskine om det er nok at kryptere /home eller ej.

thj01
Indlæg: 2667
Tilmeldt: 21. nov 2006, 10:06
Geografisk sted: Fredericia

Re: seperat home og root og fuld kryptering?

Indlægaf thj01 » 2. jul 2016, 12:50

@AJenbo

Anvender man databser, og ønsker det skal være krypteret, så krypteres det ved hjælp af SQL værktøjer - ikke på OS niveau.

Og igen - skal en database være beskyttet mod andre, så oprettes den i ens eget homedir - ikke andre steder. For mig at se er der filosofien bag hele opbygningen af Llinux hvad angår filer og brugere der er problemet her.

Linux er designet så administratoren kan administrere brugerne - og brugerne kan administrere deres egne filer. Og lige så snart man har lagt en database/whatever uden for sin egen home mappe, så er den offentlig. Så det giver ingen mening at omgå hele designet bag LInux. Det vil være langt smartere at designe sin anvendelse efter det som Linux tilbyder.

@Claus Henriksen

Så snart man laver et større abstraktionsniveau på sine programmer og adgangen til disse, så risikerer man at tingene bryder sammen. Af samme årsag kan man også opleve at NTFS bryder fuldstændig sammen, så Windows ikke selv kan tilgå det, men skal reddes af en LInux Boot cd, hvor man netop kun læser i filsystemets rettigheder og ikke diverse fancy overbygninger.

Når vi snakker kryptering, så snakker vi om et meget højt abstraktionsniveau, hvis formål reelt er at omgå at root kan læse filerne uden ekstra tilladelser.

*** generelt ***

Det kan virke fornuftigt når man skal overføre filer i et usikkert miljø, f.eks. mails, transportmedier osv - men hvis det handler om selve computeren, så børe omgivelserne og brugere sikres.

Hvis man ønsker at få mere sikkerhed end systemerne er designet til, så er det man ender ud i tilføjelser, og dermed også at risikoen for at noget går galt eller ikke samarbejder stiger.

Min tilgang vil helt klart være at anvende den indbyggede sikkerhed - dvs. at lægge data hvor det hører til, så det er automatisk beskyttet af selve systemets design fremfor at lave georg gearløs konstruktioner der hæver abstraktionsniveauet og dermed også muligheden for at noget går galt.
Forfatter til Ubuntuguiden: http://www.vidas.dk/guides/ubuntuguiden.html

Kører LTS udgaverne.

"It's always easy if you know how to do it."

AJenbo
Admin
Indlæg: 20860
Tilmeldt: 15. nov 2009, 15:04
IRC nickname: AJenbo
Geografisk sted: Vanløse, København

Re: seperat home og root og fuld kryptering?

Indlægaf AJenbo » 2. jul 2016, 12:54

@thj01 en database kan ikke nødvendigvis tilskrives en enkelt bruger. Jeg er også uenig i dine andre punkter.

AJenbo
Admin
Indlæg: 20860
Tilmeldt: 15. nov 2009, 15:04
IRC nickname: AJenbo
Geografisk sted: Vanløse, København

Re: seperat home og root og fuld kryptering?

Indlægaf AJenbo » 3. jul 2016, 13:48

Der er også en masse logs m.m. Uden for /home som det måske ikke ville være ønskværdigt at andre får adgang til.

Brugeravatar
Toddvarg
Indlæg: 841
Tilmeldt: 19. maj 2007, 19:59
Geografisk sted: Vejle

Re: seperat home og root og fuld kryptering?

Indlægaf Toddvarg » 4. jul 2016, 10:58

kryptering for mig er vigtigt i forhold til tyveri. Hvis nogen af mine pc'er bliver stjålet skal data'ene være krypteret. Grunden til at jeg ville have fuld kryptering er at systemet er beskyttet uanset om det er nogen der ved min root kode eller ikke.

Det virker ikke som om man kan have delt root, home og swap, hvis jeg laver fuld kryptering under installation, og måske er det ikke nogen fordel ved at gøre det sådan. det andet spørgsmål er hvai jeg laver en fuld kryptering under installation, vil det påvirke min dual-boot med windows?

Måske er kryptering af /home nok eller i hvertfald det bedste i forhold til det behov jeg har, med delt partion og dual-boot
Ting tager tid

med venlig hilsen
Tom Oddvar Gundersen

AJenbo
Admin
Indlæg: 20860
Tilmeldt: 15. nov 2009, 15:04
IRC nickname: AJenbo
Geografisk sted: Vanløse, København

Re: seperat home og root og fuld kryptering?

Indlægaf AJenbo » 4. jul 2016, 15:00

Det burde være muligt, men det kan godt være det er nødvendigt at du sætter krypteringen op manuelt uden for installeringen.

thj01
Indlæg: 2667
Tilmeldt: 21. nov 2006, 10:06
Geografisk sted: Fredericia

Re: seperat home og root og fuld kryptering?

Indlægaf thj01 » 7. jul 2016, 17:06

@AJenbo
Databaser kan krypteres af databaseværktøjer - Det bør ikke gøres på systemplan

Og man bør ikke have "kritiske" systemer ude i det fri. Hvis man har et system hvor data og logfiler er så kritiske som du der angiver så bør det være de fysiske rammer der tages udgangspunkt i som sikkerhed.

@Toddvarg

Ligegyldig hvilken kryptering du vælger, så vil de alle være begrænset af koden. Har man ikke styr på koden så er det ligegyldigt hvilket niveau der krypteres på. Så hvis det er din root kode (eller sudo brugeres) kode du er nervøs for, så er udfordringen måske at få styr på dem i stedet.

Det som man bør lære sig selv... og andre er, at anvende det som systemet er designet til. Og for Linux ligger det i tanken om at brugerne ejer deres egne mapper dvs. selv er ansvarlige for de data de har der. Det er altså op til brugeren at sikre sig sine data, og det kan være ved kryptering.

Happy reading: https://wiki.archlinux.org/index.php/Dm ... ire_system
Forfatter til Ubuntuguiden: http://www.vidas.dk/guides/ubuntuguiden.html

Kører LTS udgaverne.

"It's always easy if you know how to do it."

AJenbo
Admin
Indlæg: 20860
Tilmeldt: 15. nov 2009, 15:04
IRC nickname: AJenbo
Geografisk sted: Vanløse, København

Re: seperat home og root og fuld kryptering?

Indlægaf AJenbo » 7. jul 2016, 17:18

thj01 skrev:@AJenbo
Og man bør ikke have "kritiske" systemer ude i det fri. Hvis man har et system hvor data og logfiler er så kritiske som du der angiver så bør det være de fysiske rammer der tages udgangspunkt i som sikkerhed.

... det er pisse svært når der er tale om en rejse laptop.

thj01
Indlæg: 2667
Tilmeldt: 21. nov 2006, 10:06
Geografisk sted: Fredericia

Re: seperat home og root og fuld kryptering?

Indlægaf thj01 » 9. jul 2016, 17:16

Så sørger man enten for at købe den laptop, der hardwaremæssigt er krypteret ... eller man anvender kryptering på OS niveau i mapper/programmer. Hvis man ikke ønsker det kan man installere Virtualbox og så kryptere den virtuelle maskine. ... og lægge den i en krypteret mappe. f.eks. med ECryptfs (https://www.howtoforge.com/tutorial/how ... ntu-16-04/) ... eller endnu bedre med KVM, så man går direkte på hardwaren med den virtuelle maskine.... Her vil alt - revl og krat - være krypteret.

En bærbar med 16 GB RAM og god processer kan fint trække en sådan installation uden nogen form for lag.

Der er en årsag til at at der stort set er 755 rettigheder og ikke 700 på alle filerne på et Linux system. Hvis grupperne og alle ikke kan læse filerne så risikerer man at udlukke alle andre end root fra at anvende systemet.

Og derudover så er der netop lige nu en del angreb på Android kryptering fordi den er software baseret. (http://www.pcworld.com/article/3091091/ ... vices.html)

Hvis systemerne er så kritiske, så hedder det hardware encryption, http://www.pcworld.com/article/3091091/ ... ces.htmlog ikke software.
Forfatter til Ubuntuguiden: http://www.vidas.dk/guides/ubuntuguiden.html

Kører LTS udgaverne.

"It's always easy if you know how to do it."

Tilbage til "Installation"

Hvem er online

Brugere der læser dette forum: [Bot] og 0 gæster