didism2
(usa Debian)
Enviado em 21/06/2016 - 12:48h
Pygoscelis escreveu:
didism2, dá pra fazer como quer, só que vai dar bastante trabalho!
Do que tu citou só não dá pra criptografar a partição /boot como já foi falado. Nesse caso você pode incrementar a segurança da forma como já sugeriram, colocando senha no grub ou usando a partição /boot em uma unidade externa (pendrive por exemplo).
Pro que você tá querendo, talvez o ideal seja criptografar todo o disco (com exceção de /boot) e as outras partições criar como LVs dentro de um único VG criptografado (LVM). Assim você só precisa usar uma única senha na inicialização. Na instalação do Debian há opção para fazer isso de forma automática e tranquila, criando uma partição raiz e uma swap, ambas sob a mesma criptografia.
Se quiser fugir do LVM (que dependendo do sistema complica bastante as coisas num cenário todo criptografado), você pode configurar para abrir através de senha a primeira partição (raiz), e as outras (previamente criptografadas) pode abrir de forma automática através de simples script durante o boot usando arquivos chaves que podem estar armazenados na partição raiz ou numa unidade externa (pode ser o mesmo pendrive /boot). Por exemplo, esse script pode ter simples comandos assim:
cryptsetup open /dev/sdx3 --key-file=/pendrive/boot/arquivochave1 nomequalquer && mount /dev/mapper/nomequalquer /localdemontagem
Claro, pra que tudo funcione e monte nos locais corretos, o arquivo fstab deve estar devidamente ajustado.
Outra vantagem do Luks é que você pode ter até 8 senhas diferentes para um mesmo volume criptografado. Assim pode criar uma espécie de “senha-mestre” se desejar.
Em relação a partição swap, você pode optar por não criar como partição, mas sim como um arquivo (há tutoriais que explicam como fazer isso) dentro de uma das partições já criptografadas.
E para que tudo funcione, começando com a inicialização com prompt pedindo a senha, será preciso que seu kernel esteja devidamente compilado, que haja um initramfs acessível na inicialização com suporte a LVM, LUKS, device mapper, e os algorítimos que vai usar, AES, etc. Também é preciso configurar o Grub, indicando unidade root e a utilização de criptografia, o método de fazer isso varia em cada sistema.
As informações não são completas, mas espero ter ajudado a apontar caminhos. No mais, estude e pesquise. Com paciência e persistência conseguirá o sistema da forma que deseja.
Olá Pygoscelis
Muito obrigado pela sua informação
Uma verdadeira aula , valeu mesmo.
Existe um ponto onde eu ainda não havia pensado usando a criptografia.
PROCESSAMENTO... com fica ?
Se eleva o processamento apenas na hora de dar boot e depois fica normal como qualquer equipamento ?
Ou enquanto o equipamento estiver trabalhando haverá consumo de memória e processamento adicional por conta da criptografia?
Outra coisa , supondo que eu não use a criptografia , e coloque apenas a senha no /boot e mais nada , e considerando que estou deixando cada pasta em uma partição / em 1 hd , opt em outro hd , /home em outro e por aí vai .... como poderiam burlar os discos em questão ?
É possível eles pegarem um desses discos , ou até mesmo o /boot , formatar e reescrever a unidade porém tendo acesso ao restante do conteúdo ?
Desculpe tantas perguntas , mas é que pretendo trabalhar com todos os pontos em que posso melhorar a segurança , para garantir que que eu não tenha problemas....
Daqui ha alguns meses , terei que disponibilizar um servidor local para o cliente com varias partições e com uma aplicação própria...o servidor vai ficar largado lá...e já tive relatos de outros fornecedores que a própria T.I. de lá é cheio de querer ficar invadindo os servidores para fazer não sei pra quê...e pior do que isso , tem muito roubo por lá.....
O meu receio é justamente terem acesso a informação do que está dentro do S.O. e da aplicação.
O cliente não quer cloud , e dentro dos serviços com cliente um deles é colocar a senha para boot do servidor sempre que reiniciado , mas considero um ambiente completamente hostil para a aplicação , por esse motivo , quero proteger os discos , o S.O. , com iptables e outras coisas
