GRUB/säkerhet.

[steven]

Om någon får fysisk tillgång till min dator kan denne ändra startargumenten till GRUB genom att lägga till följande init=/bin/sh. Vilket gör att datorn startar i "single user mode" , vilket ger root-rättigheter.

Sedan går det då att ändra lösenordet med kommandot "passwd".

Detta har jag nu blockerat med hjälp av programmet "uppstartshanterare". (måste installeras först).

Där går det att sätta lösenord på GRUB.

Nästa logiska steg blir att även sätta lösenord på BIOS så att det inte går att ändra startordningen och manipulera via den vägen.

Så frågan är, hur skyddar man sig mot att någon tar ut hårddisken och flyttar den till ett nytt moderkort där BIOS är öppet?

Hur säkert är Ubntu/Linux egentligen? Eller är det kört med säkerheten?

Givetvis vill vi alla Ubuntuanvändare att datorn ska vara helt säker från intrång.

[andol]

Att någon flyttar hårddisken till en annan dator skyddar du dig emot genom att kryptera hårddisken. På så vis måste en lösenord (eller annan form utav nyckel) matas in vid uppstart för att datan på den ska vara åtkomligt.

Bristen här är att /boot måste lämnas okrypterat för att sköta själva dekrypteringen. Nu råkar du sålunda ut för att någon installera keyloggers i den initrd som ligger under /boot, och får på så vis reda på din hårddisks lösenord.

Lösningen på detta problem är förstås att förvara /boot på ett flyttbart medium, såsom ett USB-minne, vilket du alltid kan bära med dig, skyddat.

Nu råkar du istället ut för att någon installerar en fysisk keylogger i datorn.

Har någon fysisk tillgång till din dator och denne är tillräckligt motiverad, ja då är du körd oavsett. Detta gäller oavsett operativsystem.

Datorsäkerhet är inte ett absolut begrepp, utan ett relativt sådan. Det handlar om att hindren ska vara såpass höga att det inte är värt besväret för någon att ta sig förbi dem.

[pun]

Alla OS är lika dåliga att hantera säkerheten om någon har fysisk tillgång till en burk, det finns ingen,

Det går INTE att skydda informationen på en hårddisk utan kryptering

Det säkraste jag ser är via ett TPM chip där man kan hantera både boot samt information

Knoppix/IBM Japan
http://sourceforge.jp/projects/openpts/ ... v1_0-E.pdf

MS har sin lösning via Vista Ultimate > Bitlocker och Apple har också TPM chipet i bruk

I Intrepid så testas just nu kryptering i en /home mapp.......

Problemet är att det finns vissa problem med TPM chipet och kommersiella krafter....

[steven]

Då är kanske det bästa att kryptera känsliga filer på själva datorn, eller är det också kört?

[steven]

"Problemet är att det finns vissa problem med TPM chipet och kommersiella krafter...."

Ja, om det finns kommersiella krafter bakom är dom sällan villiga att ge ut källkoden för granskning och vi vill inte ha några dolda bakdörrar. Eller missförstod jag något?

[pun]

Då är kanske det bästa att kryptera känsliga filer på själva datorn, eller är det också kört?

Jo men man måste ju ha "distans" till vad som är känsligt annars är det ju "noja"

Jag totade ihop den här howton om Truecrypt.

http://ubuntu-se.org/phpBB3/viewtopic.php?f=54&t=29832


Sen för de som är sugen på att testa så finns det en tråd i Intrepids forum om kryptering.

Bruce Schneiers sida rekommenderas starkt
http://www.schneier.com/

Precis som han analyserar så underättelsetjänster är ju som de är och det finns ju värre hot

Tex dåligt skyddade trådlösa nät som någon slyngel eller ännu värre Aircrackar samt sniffar.... vad är FRA mot det...

[pun]

"Problemet är att det finns vissa problem med TPM chipet och kommersiella krafter...."

Ja, om det finns kommersiella krafter bakom är dom sällan villiga att ge ut källkoden för granskning och vi vill inte ha några dolda bakdörrar. Eller missförstod jag något?

Nej, TPM chipet dreglar mediaindustrin över och ser en chans att behålla sina absurda villkor.

Hollywooddirektörn SKA HA 7 villor, 3 flygplan och sju älskarinnor, åker sedan skytteltrafik till Redmond
och fjäskar för MS....

Aktuell artikel från Bruce sida
http://www.schneier.com/blog/archives/2 ... _pira.html

Länk hit:
http://www.cl.cam.ac.uk/~rja14/tcpa-faq.html

Säkerhetsmässigt ser jag TPM chipet som troligen vägen man måste gå....

[steven]

"Jo men man måste ju ha "distans" till vad som är känsligt annars är det ju "noja""



Ja. det beror ju på. Paranoid eller inte.
Det går ju att återskapa allting som finns på en hårdisk även efter en omformatering. (om man nu inte använder speciella program för att förstöra allt).

Samt att det går att se exakt vad du har gjort och varit, vilket är mer aktuellt mer än någonsin när det gäller FRA-lagen.

Just nu kan man tycka att jag har ingenting att dölja, så varför vara så paranoid? tja, information som just nu är ganska betydelselös kan i framtiden användas på ett sätt som vi/du inte kan förutse. Så därför bör man vara lagom paranoid och se om sitt hus/dator.

[pun]

Njau.... kollar man runt så ser det för bedrövligt ut och Aircrack klarar allt utom WPA2.

Aircrack
http://packages.ubuntu.com/search?keywo ... ection=all

Kollade idag på ett ställe...



Så FRAs lilla bidrag till hotfaktorn ger jag inte mycket för..... NSA mfl gör ju som de vill precis som Jan Guillou konstaterar...
http://www.idg.se/2.1085/1.171592

Men visst ska man kryptera om man ser behov för det men täpp för tusan igen det trådlösa först....

Så FRA skälet ser jag som rent nonsens...

[steven]

Fra-lagen i all ära.
Se det så här.

Hur säker är din Ubuntu-dator om myndigheterna/skurkar tar den i beslag?

Det trådlösa är en sak för sig.

[tweeek]

Jag använder en krypterad extern hårddisk för att förvara filer, som jag inte vill att andra, inkl. myndigheter ska ta del av. Det där låter ju lite överdrivet, men varför inte kryptera när det är så enkelt?

Jag använder Truecrypt som är jätteenkelt, kunde kryptera min hårddisk, utan problem, utan några förkunskaper.

Innan jag monterar disken, med hjälp av programmet Truecrypt, så skriver jag bara ett lösenord. Lätt för mig, nästintill omöjligt för någon annan som vill montera disken ;]

Tycker att fler borde kryptera, nu när det är så enkelt.

EDIT: Än så länge så har jag inte krypterat root och /home, det är nästa projekt :]
Kommer förmodligen göra det när 8.10 kommer, då jag ända installerar om systemet.

[steven]

Känner att jag måste återgå till mitt ursprungliga tema:
Nämligen att förhindra åtkomst till hårdisken via GRUB.

Detta kan inte vara första gången någon tar upp problemet och bland linux-folk måste säkerheten vara den bästa! Eller?

[andol]

Läste du mitt ursprungliga svar? Det som sammanfattas

Har någon fysisk tillgång till din dator och denne är tillräckligt motiverad, ja då är du körd oavsett. Detta gäller oavsett operativsystem.

Varför skulle förresten säkerheten vara den bästa just bland linuxfolk?

[ubot]

Hm, läser lite i tråden och känner igen resonemangen från min egen tråd som handlade om nästan samma sak. Där fick jag höra det här:

1. Om någon har fysisk tillgång till din dator så tar dom sig också in i den.

2. Det enda sättet att skydda sig är genom kryptering.

MEN, nu bliv jag lite orolig här. Någon nämnde det här med keylogger för att registrera lösenordet. Hur fasen ska man kringå att någon lägger in ett program som loggar tangentbordstryckningarna. Det spelar ju ingen roll hur mycket jag krypterar om någon enkelt snor mitt lösenord??? Hur löser man det här?

[ZX Spectrum]

Jag använder en krypterad extern hårddisk för att förvara filer, som jag inte vill att andra, inkl. myndigheter ska ta del av. Det där låter ju lite överdrivet, men varför inte kryptera när det är så enkelt?

Jag använder Truecrypt som är jätteenkelt, kunde kryptera min hårddisk, utan problem, utan några förkunskaper.

Innan jag monterar disken, med hjälp av programmet Truecrypt, så skriver jag bara ett lösenord. Lätt för mig, nästintill omöjligt för någon annan som vill montera disken ;]

Tycker att fler borde kryptera, nu när det är så enkelt.

EDIT: Än så länge så har jag inte krypterat root och /home, det är nästa projekt :]
Kommer förmodligen göra det när 8.10 kommer, då jag ända installerar om systemet.

Har den krypterade disken ext3 som filsystem?
Känns som att man behöver ta backup innan man krypterar så ingen olycka inträffar.

[andol]

Tror bestämt att det är dags att citera mig själv igen :)

Datorsäkerhet är inte ett absolut begrepp, utan ett relativt sådan. Det handlar om att hindren ska vara såpass höga att det inte är värt besväret för någon att ta sig förbi dem.

Visst finns det, mer eller mindre teoretiska sätt, scenarion där någon kan komma åt den data du har på en krypterad disk. Det betyder inte att det inte kan vara en bra idé att ändå kryptera hårddisken om man vill skydda sin data.

När jag går hemifrån låser jag i regel i ytterdörren. Det tror jag är en bra idé, även om jag vet att min dörr är långt ifrån omöjlig att bryta upp.

( ZX Spectrum: Jo, vid krypterad lagring är säkerhetskopiering än viktigare. )

[steven]

Läste du mitt ursprungliga svar? Det som sammanfattas

Har någon fysisk tillgång till din dator och denne är tillräckligt motiverad, ja då är du körd oavsett. Detta gäller oavsett operativsystem.

Varför skulle förresten säkerheten vara den bästa just bland linuxfolk?

Tja, jag antog att folk som besvärar sig med att sätta sig in och håller på med Linux kanske är lite mer medvetna om säkerhet.

På tal om antagande: Är ditt ovan påstående om tillgång "till hårddisken" ett antagande eller vet du att det faktiskt förhåller sig så. Utveckla gärna det där.

[andol]

Notera att jag sa fysisk tillgång till datorn, vilket inte nödvändigtvis är samma sak som att (bara) ha fysisk tillgång till hårddisken.

Har någon bara tillgång till en krypterad hårddisk får den anses så gott som omöjligt att ta sig in i, givet att det rör sig om en sund kryptoimplementation, en stark nyckel, etc.

Har man däremot (upprepad) fysisk tillgång till själva datorn så öppnar sig förstås helt annat möjligheter vad gäller att avlyssna den kryptonyckel som används. Det är väl ingen konstigt?

Är datorn dessutom igång, men med låst skärm till exempel, så finns det ju dessutom möjligheten att frysa RAM-minnet, plocka med dem till en annan dator, och därifrån extrahera kryptonyckeln.

Vill du ha källor?

[steven]

Notera att jag sa fysisk tillgång till datorn, vilket inte nödvändigtvis är samma sak som att (bara) ha fysisk tillgång till hårddisken.

Har någon bara tillgång till en krypterad hårddisk får den anses så gott som omöjligt att ta sig in i, givet att det rör sig om en sund kryptoimplementation, en stark nyckel, etc.

Har man däremot (upprepad) fysisk tillgång till själva datorn så öppnar sig förstås helt annat möjligheter vad gäller att avlyssna den kryptonyckel som används. Det är väl ingen konstigt?

Är datorn dessutom igång, men med låst skärm till exempel, så finns det ju dessutom möjligheten att frysa RAM-minnet, plocka med dem till en annan dator, och därifrån extrahera kryptonyckeln.

Vill du ha källor?

Ja det där med att "frysa RAM-minnet" var intressant. (Du får gärna skicka lite länkar/källor. Kan vara intressant att läsa.)
Kanske lite överavancerat om datorn blir stulen av en vanlig tjuv. Vilket är kanske att mer troligt scenario, som jag hade i tanke.


Tillbaka till GRUB.

Kan man säga att det inte går att förhindra åtkomst till GRUB, om nu datorn kommer på avvägar?
Enligt mitt första inlägg. (Ja, om man nu inte kör på ett USB-stick).

[andol]

Ja det där med att "frysa RAM-minnet" var intressant. (Du får gärna skicka lite länkar/källor. Kan vara intressant att läsa.)

http://citp.princeton.edu/memory/

Kanske lite överavancerat om datorn blir stulen av en vanlig tjuv. Vilket är kanske att mer troligt scenario, som jag hade i tanke.

Japp, därav mitt tjatande om att datorsäkerhet är något relativt och inte något absolut. Se exemplet ovan angående att låsa ytterdörren.

Kan man säga att det inte går att förhindra åtkomst till GRUB, om nu datorn kommer på avvägar?
Enligt mitt första inlägg. (Ja, om man nu inte kör på ett USB-stick).

Trodde du svarat på den frågan själv, i och med konstaterandet i första stycket om att det går att läsa lösenord på Grub. Vad mer är det du vill åstadkomma?