LINUX.ORG.RU
ФорумTalks

Безопасность данных пользователя в Linux


0

0

Я не слишком хорошо разбираюсь в вопросах безопасности и обеспечения приватности данных пользователя в Linux, поэтому решил спросить совета комьюнити (у вас, т.е.).

Ситуация такова. У меня стоит Ubuntu, и в силу некоторых причин мне пришлось последнее время несколько раз менять пароль пользователя. Для этого я тупо менял в GRUB строку загрузки на «rw init=/bin/bash», грузился, попадал в рутовую консоль, менял пароль, перегружался и заходил под пользователем.

Так вот в голове возник такой вопрос. Как можно сделать так, чтобы я не мог сделать так, как я делал в предыдущем параграфе? :) Ситуация именно бытовая, поэтому хотелось бы обойтись без теоретизирования и масштабирования на большие системы. Как обойти ситуацию, в которой человек тупо может подойти к компьютеру, загрузить его с рутовой консоли и перефигачить пароли (и прочесть какие-то личные данные)?

★★★

если есть физический доступ к машине, никак не защитишься, только шифрование

cuki ★★★★ ()

Пароль на grub? Хотя никто не помешает загрузится с live-cd и сменить пароль, это уже на уровне биоса надо настраивать...

xorik ★★★★★ ()

Определитесь сначала что именно вы хотите защитить? Файлы в /home? Тогда нужно держать его на шифрованном разделе.

Relan ★★★★★ ()

Ситуация такова. У меня стоит Ubuntu, и в силу некоторых причин мне пришлось последнее время несколько раз менять пароль пользователя. Для этого я тупо менял в GRUB строку загрузки на «rw init=/bin/bash», грузился, попадал в рутовую консоль, менял пароль, перегружался и заходил под пользователем.

Это в убунту так пароль пользователя меняется? Действительно юзер-френдли.

sysmouse ()

>У меня стоит Ubuntu

afaik, в последних версиях ubuntu домашнюю директорию можно штатно зашифровать при установке.

record ★★★★★ ()

>Как можно сделать так, чтобы я не мог сделать так, как я делал в предыдущем параграфе? :)

в конфиге grub'a указать пароль

Как обойти ситуацию, в которой человек тупо может подойти к компьютеру, загрузить его с рутовой консоли и перефигачить пароли (и прочесть какие-то личные данные)?

шифрование LUKS, truecrypt разделов диска

record ★★★★★ ()
Ответ на: комментарий от Relan

Этого недостаточно, нужно не просто шифровать /home, но и хранить ключи на отдельном сменном диске (флешке, cd и т.п.) При загрузке системы ключи должны подхватываться с этого диска и тогда использование личных данных без ключевого диска исключается.

no-such-file ★★★★★ ()

При наличии физического доступа к машине — только шифрование. При наличии физического доступа к владельцу ключа... Сами думайте (=

GotF ★★★★★ ()

Во-первых, если хочется, в биосе большинства компьютеров можно установить пароль на загрузку компьютера.
Я думаю, что этого уже достаточно против тех, кто не будет вытаскивать жесткий диск.

Если же кто-то может сделать и так, то только шифрование. Убунта при установке спрашивает, шифровать домашний каталог или нет. Я не знаю как это сделать после установки, но должно быть несложно.

Правда, при этом остается опастность, что злоумышленник подменить данные в незашифрованной области (вне $HOME), так что бы пароль, который ты будешь вводить отправлялся куда надо после подключения к Сети, а потом вытащить жесткий диск.
Против такой атаки тоже есть несколько решений. Одно из них — это загружаться каждый раз со специальной флешки, без которой доступ к полностью зашифорванному винчестеру невозможен. Про создание такой системы была тема, новость в разделе документации.
На случай похищения флешки можно сделать копию её содержимого и залить на какой-нибудь внешний хостинг, возможно в форме обычного файла со стеганографией — без знания пароля это будет обычная картинка и видеоклип. НУ и конечно, можно саму флешку защитить так что бы при загрузке она требовала пароль и если уж совсем параноишь, можно физически разрушить жилу, отвечающу за запись информации на эту флешку и на саму неё нанести несколько незаметных царапин, которые тщательно запомнить — если даже злоумышленники скопируют содержимое флешки на другую точно такую же и подменят, ты отличишь.
Впрочем, даже тогда остается возможность атаки путем вставки в клавиатуру кейлоггера, подмены биоса на протрояненый и так далее...
Эти атаки уже сложнее в исполнении и требуют технических средст, которые недоступны большинству потенциальных атакующих.

Но всё равно остается терморектальный криптоанализ — так что может ну его, это шифрование? :)
А если ты прячешься от жены, то и набрать init=/bin/sh она скорей всего не догадается

Xenius ★★★★★ ()
Ответ на: комментарий от record

Пароль на конфиг grub элементарно обходится загрузкой с live-cd и тому подобого.

no-such-file ★★★★★ ()

Как уже сказали, пароли (зашифрованные) на grub/grub2 (смотря что используется).

В биосе выставить загрузку с HDD, остальные носители удалить из списка.

В некоторых системных блоках имеется замок (простенький, но всё же) и пара ключей к нему. От ламеров (и воров железа :D) какая-никакая защита. А так есть способы сброса биоса не открывая системник и не переставляя_джамперы/вынимая_батарейку. :)

В общем-то, да, остаётся только шифрование. Остальное - несерьёзно. Но шифрованные данные желательно бэкапить (в шифрованном виде, естественно), чтобы потом не было мучительно больно. ;)

Вариант для суперпараноиков: купить салазки для HDD и носить HDD с собой. :D Плюсы: не надо шифровать данные. Минусы: от тряски на HDD можно потерять данные (хотя SSD лишены такого недостатка).

Turbo_Mascal ()
Ответ на: комментарий от no-such-file

> и тогда использование личных данных без ключевого диска исключается.
Можно заменить чип биоса на содержащий троян с гипервизором, когда хозяина компа не будет дома.

Xenius ★★★★★ ()
Ответ на: комментарий от AndreyKl

>правда если потеряете пароль/ключ - сразу трында.

зачем терять? Достаточно помнить , что пароль - предложение из первой главы третьего тома Войны и Мира.

record ★★★★★ ()
Ответ на: комментарий от AndreyKl

> очевидно, что шифрование. правда если потеряете пароль/ключ - сразу трында.

+1.

pekmop1024 ★★★★★ ()

Лучше просто бить оглоблей тех, кто к компу подходит.

Шифрование хорошо, но если вдруг появится битый сектр - инфе капец.

amonymous ()

Пароль в загрузчике? Шифрование /?
Если у человека есть загрузочный носитель, это не спасёт.

AITap ★★★★★ ()

dm-crypt и там данные держать. а рутовый пароль для доступа к dm-crypt никак не поможет.

dimon555 ★★★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.