truecrypt

[look2]

Nån som använt det? Funderar på att lägga in det på servern och på mina clientdatorer för att kryptera /home
Men jag började fundera, det kan ju inte fungera att kryptera hela /home paritionen eftersom då kan väl inte systemet läsa in det som ligger där, filer på skrivbordet osv?
Så det man får göra är att skapa en mapp i homeparitionen och sedan mounta trucryptfilen i den mappen ?

[andol]

Ska du kryptera en partion på servern så skulle jag snarare titta på dmcrypt med Luks. Det är naturligt integrerat i Linuxkärnan.

(Fördelen med truecrypt är att det även finns till Windows. Det portabiliteten känns dock som något man främst kan ha nytta av när det rör sig om usb-diskar man flyttar omkring, och sådär.

Det naturliga om du vill kryptera hela /home, med dmcrypt/truecrypt, är att "låsa upp den" i samband med att servern startar. Sen ligger dmcrypt/truecrypt som ett filter emellan och krypterarer alt. dekrypterar datan allt eftersom den skrivs eller läses.

Frågan är dock hur stor säkerhetsvinsten är av att implementera det på din server? Förhoppningsvis ska det väl vara lite lurigare för någon att komma åt den och bära iväg den än vad det är att till exempel knycka en laptop?

[Konservburk]

Fördelen med truecrypt är att det även finns till Windows.

Det går att komma åt dmcrypt-luks-krypteringar innifrån windows:
http://www.freeotfe.org

[look2]

Jo, tror inte att någon skulle ta servern och knalla iväg. Den står hemma, och är egentligen bara ett maxitower med massa diskar i, så det är ju inget som "måste" krypteras. Men när möjligheterna finns, varför skall man inte använda det och så är det ju samtidigt ett ganska skoj projekt.

[andol]

Tja, det finns ett antal anledningar till varför du inte vill kryptera en partion.

Först och främst har vi den ökade risken för dataförlust. Givet att något går tras med den underliggande hårddisken så är det betydligt lurigare att rädda data en kryperat filsystem.

Vi har även prestandafaktorn, som givetvis är beroende på vad du har för hårdvara i servern, vad den används till, etc. Notera dock att då all data krypteras och dekrypteras i realtid så kan det röra sig om rätt markant belastning på processorn vid lite större dataströmningar.

Sist, men inte minst, så har vi själva omständighetsfaktorn i att du aktivt behöver utöva handpåläggning för att "låsa upp" en partion efter en omstart. Detta kan vara lite trist om datorn startar om, efter till exempel ett strömavbrott, då du inte är hemma.

Å andra sidan, givet att servern inte gör något jätteviktigt så kan faktorn att det är ett skoj, och lärorikt, projekt, helt klart trumfa alla eventuella invändningar :-)

[Konservburk]

Först och främst har vi den ökade risken för dataförlust. Givet att något går tras med den underliggande hårddisken så är det betydligt lurigare att rädda data en kryperat filsystem.

Så länge huvudnyckeln är intakt så är det inte mycket svårare än att rädda okrypterad trasig data.

Vi har även prestandafaktorn, som givetvis är beroende på vad du har för hårdvara i servern, vad den används till, etc. Notera dock att då all data krypteras och dekrypteras i realtid så kan det röra sig om rätt markant belastning på processorn vid lite större dataströmningar.

Jag kör fulldiskkryptering och har inte märkt av några prestandaproblem. Provade just att kopiera 5GB mellan två krypterade diskar, och processorn låg på ungefär 10% belastning enligt htop. Jag har ingen aning om hur mycket mer det är jämfört med samma kopiering utan någon kryptering. Men eftersom processorn inte maxar, så verkar den klara av att avkryptera/kryptera snabbare än vad diskarna hinner läsa/skriva.

Sist, men inte minst, så har vi själva omständighetsfaktorn i att du aktivt behöver utöva handpåläggning för att "låsa upp" en partion efter en omstart.

Det beror ju lite på hur man "låser upp" krypteringen. Istället för att skriva in lösenord varje gång datorn bootar så kan man t.ex. ha en nyckelfil på ett usbminne.

Detta kan vara lite trist om datorn startar om, efter till exempel ett strömavbrott, då du inte är hemma.

Jag kan både starta och boota min krypterade dator via internet. Iofs inte automatiskt, men det är inte så att jag måste åka 50 mil bara för att starta om datorn efter ett strömavbrott.

[look2]

Prestandan är väl det som jag mest oroar mig för. Det är en 700Mhz celeron cpu och jag brukar strama film och musik från servern till min Xbox, men det är som sagt bara att testa. Anga data förluster så var tanken att ha en okrypterad backupp på en annan disk. Det är ju inte en företagskritisk server, utan nått som står hemma och snurrar så det är mera tänkt som ett "test projekt" men om det nu skulle hända att någon norpar den så kan det ju vara kul att blåsa skurkarna från nöjet att titta på mina semester bilder.

Men en fråga kvarstår. Vad händer om /home är krypterat när systemet försöker att starta upp? det viss väl filer där som systemet måste läsa in för att starta korrekt ?

[jonasbjork]

Att tänka på med krypterade filsystem är att de erbjuder åtkomst så länge den krypterade enheten är monterad. Detta innebär att om du krypterar ditt filsystem och jag tar mig in i din dator när du har monterat det kommer jag åt dina filer.

Krypterade filsystem hjälper enbart när de inte är monterade. Dessutom bör vi ta hänsyn till Cold Boot Attack .

Truecrypt fungerar mycket bra i Ubuntu, fördelen är som nämnts ovanför att den är 100% kompatibel med Windows. Fördel om man ibland hamnar vid en windowsmaskin dvs. Jag kör det på mina minneskort och USB-minnen. Lätta prylar att tappa bort. I SUSE körde jag krypterad /home , finner ingen anledning att kryptera hela filsystemet, filerna i /bin, /opt och /usr/bin finns ju iaf att hämta från en installation. Jag vill skydda mina dokument och mina filer, operativsystemets känns onödigt att skydda. En nackdel med att köra krypterat är att batteritiden i min laptop blev lägre. Det är vad det kostar, vad jag vinner på att köra krypterat är att jag vet att mina dokument (jobb) är skyddade om någon snor/hittar mitt minne/laptop. Datorn kan jag köpa en ny och det är inte hela världen, men vissa dokument som beskriver projekt i företaget/skolan kanske inte bör hamna i det publika.. :/

[Konservburk]

Men en fråga kvarstår. Vad händer om /home är krypterat när systemet försöker att starta upp? det viss väl filer där som systemet måste läsa in för att starta korrekt ?

Just /home behövs egentligen inte förrän du loggar in med din användare. Det går att kryptera allting om man vill, men krypteringen måste såklart låsas upp innan systemet behöver komma åt filerna.

[look2]

sant,men om vi tänker på en klient nu/home är krypterat och jag har inloggningsfönstret framför mig.
Jag knappar in mitt användar namn och lösenord. Är då själva inloggningen kopplad till krypteringssystemet? annars kommer det väl att bli konstigheter när systemet försöker läsa in användarspecifika filer?

[Konservburk]

Jag knappar in mitt användar namn och lösenord. Är då själva inloggningen kopplad till krypteringssystemet? annars kommer det väl att bli konstigheter när systemet försöker läsa in användarspecifika filer?

Det beror på hur du gör det hela. Antingen låser du upp krypteringen när datorn bootar, innan någon ens kan försöka logga in. Eller så kan du koppla ihop upplåsningen med den vanliga inloggningen om du tycker att det verkar vara en bra idé. Som jag har förstått saken så ska pam-mount vara bra till sånt.

http://dev.riseup.net/grimoire/storage/ ... partitions
http://gentoo-wiki.com/HOWTO_Encrypt_Yo ... g_on_login

[andol]

...alternativt loggar du in som root och låser upp /home.

(root:s hemkatalog är /root)

Konservburk: Jag återkommer sen ikväll med svar på dina invändningar på mina invändningar, eller hur det nu blir.)

[andol]

Sådärja, då var det dags att förtydliga varför jag inte alltid tycker att det är optimalt att kryptera en partion.

Först hade vi punkten angående dataräddning. Utöver att det är lite mer allmänt pill då data ska räddas från en krypterad partion så uppstår den stora skillnaden i de fall man då man bara lyckas rädda en delmängd av datan på partionen/filsystemet. I regel är det betydligt lättare att få ut användbar information ur ofullständig okrypterad data än krypterad dito. Fast egentligen spelar ju detta ingen större roll, då man ändå ska säkerhetskopiera all information man är någontsånär rädd om.

Vad gäller prestandan så beror det som sagt helt på vad man kör med för processor hurtillvida detta är en intressant faktor eller ej. Med en sproijlans ny dualcore gör det för det mesta ingen större skillnad. Använder man däremot en gammal P3:a som server så...

Angående omständighetsfaktorn vid oväntade omstarter så är det förstås inga problem att ssh.a in och låsa upp /home, givet att det bara är den som är krypterad. Detta är inget problem om det bara är en själv som använder servern. Ty då upptäcker man i regel problemet ungefär samtidigt som man är i en position att åtgärda problemet. Betydligt tristare kan det vara om även andra använder servern, till exempel om man har kompisar med hemsidor på den, eller dylikt.

Inget av detta behöver nödvändigtvis vara avgörande för att du inte ska kryptera /home. Min poäng är mer den att det helt klart finns kostnader som ur en ren nyttoanalys måhända är högre än den inte jättestora säkerhetsvinst du gör på en server. Fast då pratar vi som sagt bara om en nyttoanalys. Faktorer som vad som är kul och lärorikt ska då sannerligen inte underskattas :-)

[andol]

... körde jag krypterad /home , finner ingen anledning att kryptera hela filsystemet, filerna i /bin, /opt och /usr/bin finns ju iaf att hämta från en installation...

*harkel*

/var och /etc då? För att inte tala om swap och /tmp?

[andol]

Prestandan är väl det som jag mest oroar mig för. Det är en 700Mhz celeron cpu och jag brukar strama film och musik från servern till min Xbox, men det är som sagt bara att testa. Anga data förluster så var tanken att ha en okrypterad backupp på en annan disk. Det är ju inte en företagskritisk server, utan nått som står hemma och snurrar så det är mera tänkt som ett "test projekt" men om det nu skulle hända att någon norpar den så kan det ju vara kul att blåsa skurkarna från nöjet att titta på mina semester bilder.

Fast om jag ska lämna de generella åsikter jag nyss postat och återgå till ditt fall. Måhända kanske kan det blir lurigt att streama film från krypterad partion om du bara har en celeron på 700Mhz. Tror i och för sig inte det, men jag är långt ifrån säker. Fast oavsett vad så är det väl bara att pröva och se? Lära dig lär du ju göra oavsett :-)

Kan förövrigt ta och tipsa om att du kollar på några av dessa tutorials.

https://help.ubuntu.com/community/Secur ... fd167dea6a

(När jag satte mig in i ämnet vill jag minnas att jag fick titta i ett par av dem för att förstå hela bilden.)

[Konservburk]

Faktorer som vad som är kul och lärorikt ska då sannerligen inte underskattas :-)

Helt rätt

Jag har en filserver som fn är okrypterad. Det sitter en liten klen arm-processor i den som inte riktigt räcker till. Jag har tänkt att som just ett kul och lärorikt projekt få den att dela ut diskarna som block-devices över nätverket... och sedan kryptera dem med datorn som ansluter till filservern. Som en bonus blir ju då även trafiken mellan datorn och filservern krypterad på köpet.

[andol]

Jag har en filserver som fn är okrypterad. Det sitter en liten klen arm-processor i den som inte riktigt räcker till. Jag har tänkt att som just ett kul och lärorikt projekt få den att dela ut diskarna som block-devices över nätverket... och sedan kryptera dem med datorn som ansluter till filservern. Som en bonus blir ju då även trafiken mellan datorn och filservern krypterad på köpet.

Låter som ett helt klart schysst projekt! Nästan så att man blir lite sugen på att pröva detsamma :-)

[look2]

Låter som att det var ett lite större projekt än vad jag hade räknat med.
Kommer nog att lägga det på is en liten stund, då det är lite annat som behöver fixas samtidigt.
Nyttobiten i det hela är ganska sekundär, då jag endast hade tänkt göra detta i syfte att se om det går och hur pass bökigt/omständigt det.
Argumentet att skurken inte skall kunna se mina semester bilder var egentligen bara en ytterligare motivation. Men om man skall summera det lite.

1.Trucrypt kanske inte är så bra, då det finns inbyggda liknande system som troligtvis fungerar bättre.
2.Det kan ev bli problem att återskapa filer om nånting skulle rasa.
3.Nyttan i det hela är inte särskilt stor.
4.Det kan bli prestanda förluster, men man vet inte riktigt.

[Konservburk]

1.Trucrypt kanske inte är så bra, då det finns inbyggda liknande system som troligtvis fungerar bättre.

Det är egentligen inget fel på Truecrypt. Den kan t.ex. göra avancerade saker som att gömma krypteringar inom andra krypteringar. Dessutom är det enkelt att få ingång med windows om man vill komma åt det som är krypterat även därifrån. Bra för USB-minnen med andra ord. Däremot är det enklare att få dmcrypt-luks att fungera bra tillsammans med linux.

2.Det kan ev bli problem att återskapa filer om nånting skulle rasa.

Den största risken är att om du förlorar din nyckel så finns det ingen möjlighet att komma åt din data.

3.Nyttan i det hela är inte särskilt stor.

Beror på vad du vill åstadkomma. Om du får din dator stulen så är det skönt att veta att tjuven inte i lungn och ro kan gå igenom alla dina filer, oavsett om det rör sig om semesterbilder, bilder av mer privat karraktär, eller bankuppgifter och liknande. Iofs viktigast med en laptop, men jag vet en som fick sin vanliga dator stulen... och ett par månader senare dök hennes privata sexfilmer upp på nätet. Hade hon haft kryptering så hade inte det hänt.

4.Det kan bli prestanda förluster, men man vet inte riktigt.

Om du inte har en jättegammal dator så är den enda prestandaförlusten du märker av att batteritiden blir kortare på en laptop.

[look2]

Får tacka för alla tankar och ideér. Nu har jag iallafall lite mer kött på benen.
Mitt i allt så dök det upp en flytt, vi har precis skaffat hus, så det här projekt kommer att få vänta lite. Admin kan markera det som löst eller liknande, verkar inte som att jag kan göra det.
Men när jag är inflyttad och klar så kommer jag att göra ett försök och garanterat kommer med frågor här