LINUX.ORG.RU

Шифрование хомяка (/home)

 , , ,


0

1

Расскажите какой один из двух способов шифрования лучше использовать для /home:

  • Block device encryption
  • Stacked filesystem encryption

Цель: Чтобы при смерти (не дай Бог конечно, но тут всякие коронавирусы гуляют по планете и прочее 😆), или при воровстве ПК данные на /home было невозможно «угнать».

Можно воспользоваться шифрованием на уровне FS, выбрать одну из них и отформатировать раздел под неё, но тогда какие практические опасности меня могут ожидать (глюки файловых систем)? Или всё же лучше использовать блочное шифрование на весь диск и не парится?

Здесь вот есть сравнительная таблица, но я пока не определился и хочется послушать гуру.


Лучше блочное.
Оверлеи всегда были менее надёжны в эксплуатации и медленны.

Сейчас ещё набирает обороты третий вариант: запил шифрования в саму ФС.
По идее должна получиться безглючность блочного, объединённая с гибкостью файлового.

https://wiki.archlinux.org/index.php/Fscrypt

aidaho ★★★★★ ()
Ответ на: комментарий от anonymous

И полным набором проблем, которые появляются из-за торчащих во все стороны метаданных.

Для большинства, шифрование — это защита от краж, и другого рода случайного доступа третьих лиц к носителям. Тут fscrypt имеет шансы в будущем потеснить LUKS.

Так то товарищ майор выбьет из тебя признательные показания, даже не зная про твой зашифрованный ноут вообще.

aidaho ★★★★★ ()
Ответ на: комментарий от aidaho

Тут fscrypt имеет шансы в будущем потеснить LUKS.

Не заметил, чтобы файловое шифрование NTFS потеснило блочный BitLocker.

товарищ майор

Это крайности.

anonymous ()
Ответ на: комментарий от aidaho

Шифрование спасает лишь от кражи НОСИТЕЛЯ, во всех остальных случаях оно бесполезно.

Для ТС.

Раздели информацию на две категории. В одной инфой работай в системе без шифрования (игры, аудио/видео и т.п.). С данными второй категории работай с live cd и шифрованным разделом хранения на внешнем носителе.

anonymous ()
Ответ на: комментарий от pihter

Они хоть поговорить могут, а лица, которые сменили спортивки а-ля 90-ые на пиджаки, могут в лесок на прогулку свозить, ногу/руку/пальцы сломать, жену/подругу………

anonymous ()
Ответ на: комментарий от aidaho

Тут fscrypt имеет шансы в будущем потеснить LUKS

Почему в будущем? В нём сейчас какие-то косяки?

В том-то и дело, что противозаконного у меня ничего нет, шифрование нужно лишь для того, чтобы уберечь от краж и от моего ухода из этого мира, чтобы инфа не попала не понятно кому. Так вот ласты склею и хрен пойми в чьи руки попадёт мой ПК

dva20 ()
Последнее исправление: dva20 (всего исправлений: 2)
Ответ на: комментарий от dva20

Так-то я склоняюсь к dm-crypt + LUKS, как наименее геморойное, но эксплуатироваться это будет на SSD диске, и тут встаёт вопрос с которым я пока не смог разобраться, это опция discard или она же TRIM. Есть заметки на полях интернета, что дескать это не секьюрно, но что это и как реально повлияет в реальной жизни - мне не понятно. Будут видны блоки от и до, границы файлов. И что? Я не криптолог и не могу ответить на этот вопрос. Если угонят ноут/ПК, то данные смогут расшифровать методом брутфорса по LUKS где хранится ключик? Вот тут пока у меня тёмный лес, может кто подкинет ссылку где это достаточно подробно описывается, желательно с картинками или видео на ютубе.

dva20 ()
Ответ на: комментарий от dva20

Почему в будущем? В нём сейчас какие-то косяки?

Он сравнительно новый, и свои часы наработал на Android.
У LUKS за спиной миллионы часов на ПК, заработал репутацию беспроблемного решения.
Меняют зарекомендовавшие себя решения всегда неохотно, даже если альтернатива в чём-то лучше для конкретых юзкейсов.

Лучшее враг хорошего, как-то так.

aidaho ★★★★★ ()
Ответ на: комментарий от dva20

Так-то я склоняюсь к dm-crypt + LUKS, как наименее геморойное, но эксплуатироваться это будет на SSD диске, и тут встаёт вопрос с которым я пока не смог разобраться, это опция discard или она же TRIM. Есть заметки на полях интернета, что дескать это не секьюрно, но что это и как реально повлияет в реальной жизни - мне не понятно. Будут видны блоки от и до, границы файлов. И что? Я не криптолог и не могу ответить на этот вопрос.

Я тоже не криптолог. Навернул luks, secure boot, coreboot, крякнутый интел МЕ. Файлопомойка на диске без шифрования, а сенситивная инфа дополнительно в шифрованных файлах. И сон сразу улучшился.

Чтобы при смерти (не дай Бог конечно

А тебе не по … тогда будет?

explorer ()
Ответ на: комментарий от explorer

И сон сразу улучшился

😄👍

А тебе не по … тогда будет?

Мне по… будет скорее всего… Но есть те кого я приручил в этом мире 😄 Они могут пострадать (родственники).

dva20 ()
Ответ на: комментарий от dva20

Тогда шифруйся. Я тему особо не знаю. Пытался как-то разобраться и на уровне ФС ипр совсем заблудился. Может кто в теме умных мыслей накидает, самому интересно. Из того, что я понял - это все разные уровни. Ну и люксы, контейнеры - все в раме, а для защиты от атак из вне еще и файлы шифровать нужно.

explorer ()
Ответ на: комментарий от explorer

А тебе не по … тогда будет?

«Послушай, Джо. Эти гангстеры поставит нас к стенке, полиция найдет два женских трупа и отвезет их в женский морг, и, когда нас там разденут догола, я умру со стыда» (с)

anonymous ()
Ответ на: комментарий от explorer

Защита от атак меня не интересует, стандартной защиты хватает, в виде файервола, нет у меня ничего такого, чтобы приходилось кому-то меня ломать из вне 😀 Просто, если вдруг такое случится, что меня не станет, то мать моя, ПК либо кому-то подарит, либо за дарма продаст, а ушлый Вася которому это достанется в руки поймёт, что он стал счастливым обладателем конфиденциальной инфы и начнёт давить через третьих лиц на родственников, знакомых или как то воспользуется иначе персональными данными + может воспользоваться ключами аутентификации от разных сервисов и услуг в инете, воспользуется браузерными кешами, получит доступ к почте и понеслось… Нафиг оно надо? )))

dva20 ()
Последнее исправление: dva20 (всего исправлений: 1)
Ответ на: комментарий от dva20

Ну если у тебя Такая инфа, то закатай ее на флешь или на внешник под люксом. А если инфа ТАКАЯ то тоже самое, но и файлы зашифруй. И не храни «Это» на компе. У меня внешний ссд на тонну размером чуть больше флешки, правдо файлопомойка. Обзаведись таким и все дела.

explorer ()
Ответ на: комментарий от explorer

У всех есть «Такая» инфа.

Вот у меня недавно отказал один из винчестеров с бекапами. А в бекапах же ж всё: профили браузеров с логинами и паролями ко всему, не говоря уже о личных документах и коммерческой тайне.

Я его выдернул и спокойно сдал в сервис, зная, что если даже починят, вероятность утечки информации нулевая. Не починили, дали новый. Старый видимо надеются расшифровать до наступления тепловой смерти вселенной :)

Точно так же облегчается сдача в сервис ноутбуков.
Шифрование — это один из азов компьютерной гигиены.

aidaho ★★★★★ ()
Ответ на: комментарий от dva20

опция discard или она же TRIM

Грубо говоря, будут видны две вещи:

  1. приблизительно сколько свободного места

  2. по статистике износа есть шансы различить «постоянно пишут что-то большое типа фильмов» и «пишут только мелочь типа документов»

Для тебя риски гомеопатические, можно не беспокоиться.

anonymous ()
Ответ на: комментарий от aidaho

Шифрование — это один из азов компьютерной гигиены.

Ну меня в этом убеждать не надо. Все приватно и конфиденциальное - в шифр. Все сомнительное, тоже лучше на шифрованный хард/контейнер, в зависимости от типа данных. Хлам на обычный драйв. И крепкий, спокойный сон.

explorer ()
Ответ на: комментарий от aidaho

Шифрование — это один из азов компьютерной гигиены.

Ну меня в этом убеждать не надо. Все приватное и конфиденциальное - в шифр. Все сомнительное, тоже лучше на шифрованный хард/контейнер, в зависимости от типа данных. Хлам на обычный драйв. И крепкий, спокойный сон.

explorer ()