Configurarea criptării pe un sistem ubuntu funcțional. Criptarea hard diskului în Linux

: - Rusă

Deschiderea laterală activă a fost finalizată

Dacă aveți ceva de adăugat, vă rugăm să actualizați secțiunile cu informații noi. Favorurile noastre și cele ale statisticilor pot fi editate politicos, nu este nevoie să vă informați despre prețul poștale, să încercați să obțineți un design elegant al acestei pagini și să alegeți diferite secțiuni de secțiuni (liniile lor variază ї tovărășie).

Criptarea datelor Debian

Se pare că nu este nevoie să vă criptați datele. Cu toate acestea, în viața de zi cu zi întâlnim adesea situații precum „unitatea flash este pierdută” sau „laptopul este în reparație” etc. Dacă datele dvs. sunt criptate, atunci nu trebuie să vă faceți griji: nimeni nu le publică pe Internet sau le accelerează în alt mod.

Criptare pentru ajutor cryptsetup

Instalați componentele necesare:

# apt-get install cryptsetup

Sintaxa standard

/dev/sda2. Să introducem comanda:

# cryptsetup create sda2_crypt /dev/sda2

Această comandă este de a crea o conexiune criptată la disc. În cataloză /dev/mapper va apărea un dispozitiv nou întrebându-ne: /dev/mapper/sda2_crypt, încercând să descopere ce fel de acces de criptare la disc este posibil. În cazul lui LUKS voi avea /dev/mapper/sda2_crypt

Dacă pe disc exista deja un sistem de fișiere și am dori să salvăm datele pe acesta, atunci este necesar să-l criptăm pentru o recuperare ulterioară:

# dd if=/dev/sda2 of=/dev/mapper/sda2_crypt

Dacă creați un disc nou pe o partiție goală, îl puteți formata:

# mkfs.ext3 /dev/mapper/sda2_crypt

Acum puteți instala acest disc la îndemâna dvs.:

# mount /dev/mapper/sda2_crypt /path/to/mount/point

Verificați integritatea datelor (deoarece este mai bine să vikorystovat numai în moara neasamblată):

# fsck.ext3 /dev/mapper/sda2_crypt

Și apoi decriptați înapoi, pentru că nu mai dorim să folosim criptarea:

# dd if=/dev/mapper/sda2_crypt of=/dev/sda2

Sintaxa LUKS

Elementele de mai sus pot fi actualizate la standardul LUKS

Secțiunea este inițializată:

cryptsetup luksFormat /dev/sda2

Conectat la sistem:

cryptsetup luksOpen /dev/sda2 sda2_crypt

Formatabil:

mkfs.ext4 -v -L DATA /dev/mapper/sda2_crypt

Montujemo:

montați /dev/mapper/sda2_crypt /mnt/data

Secțiunea poate fi introdusă manual în sistem

cryptsetup luksClose sda2_crypt

Conexiuni la momentul lansării

Pentru cine este dosarul? crypttab.

Pentru discul nostru vom scrie pe noul rând ofensiv:

nano /etc/crypttab # numere mapper dispozitiv cheie parametri/opțiuni # Cu sintaxă standard sda2_crypt /dev/sda2 nici unul aes-cbc-plain:sha256 # sau cu LUKS standard sda2_crypt /dev/sda2 niciun luks

Parola folosită de vikorist este criptată folosind o parolă introdusă de koristuvach. În acest fel, de fiecare dată când criptați computerul, sistemul vă va cere parola pentru a vă conecta la partiția criptată. Vă rugăm să rețineți că secțiunile fstab nu sunt înregistrate.

Dacă doriți să instalați manual, adăugați opțiunea noautoîn câmpul „parametri/opțiuni”.

Conectarea manuală a secțiunii criptate folosind datele /etc/crypttab

cryptdisks_start msda2_crypt

І conexiune de la un fs montat de la distanță.

cryptdisks_stop sda2_crypt

Pentru a instala automat fișierul pe partiția criptată conectată, adăugați un rând la /etc/fstab

/dev/mapper/sda2_crypt /mnt/data ext4 valorile implicite 0 0

Lucrează cu cheile la LUKS

Secțiunea LUKS acceptă 8 chei diferite, fiecare dintre ele se potrivește în slotul său.

Lista cheilor vikorizate este uimitoare

cryptsetup luksDump /dev/sda2

LUKS poate avea 2 tipuri de chei – fraze cheie și fișiere.

Puteți adăuga o frază cheie

cryptsetup luksAddKey /dev/sda2

Puteți adăuga un fișier cheie (2048 biți) și puteți seta drepturi de acces la altele noi.

dd if=/dev/urandom of=/root/ext2.key bs=512 count=4 cryptsetup luksAddKey /dev/sda2 /root/ext2.key chmod 400 /root/sda2.key cryptsetup -d /root/sda2.key luksOpen /dev/sda2 sda2_crypt

Pentru a vă conecta și a începe să utilizați cheia, editați /etc/crypttab

nano /etc/crypttab sda2_crypt /dev/sda2 /root/sda2.key luks

Puteți șterge o expresie de acces sau o cheie dintr-o secțiune

cryptsetup luksKillSlot /dev/sda2 1

Instalare de urgență într-o distribuție „străină”.

Din cauza problemelor, nimeni nu este asigurat și uneori este necesar să interziceți accesul la secțiunea criptată a LiveCD-ului de urgență.

Instalăm, conectăm partiția la sistem și instalăm fs:

cryptsetup luksOpen /dev/sda2 sda2_crypt mount -t ext4 /dev/mapper/sda2_crypt /mnt/backup

După lucru, vom monta fs și vom activa criptarea partiției de sistem

umount /mnt/backup cryptsetup luksClose sda2_crypt

Mesaj despre bunăvoința în timpul Marelui Război Patriotic

Ca secțiune rădăcină a criptării, atunci când vă conectați, va exista o notificare

oprirea primelor discuri criptografice... a eșuat

Aceasta este o problemă tehnică. Când este corupt, sistemul de fișiere este mai întâi demontat și apoi partiția este montată. Ca urmare, se dovedește că utilitarul cryptsetup, care se află pe partiția montată pe rădăcină, nu mai este disponibil pentru a porni, ceea ce ne informează INIT. Fără poliție, această problemă persistă, pentru că... De ce trebuie să vă uitați la opțiunile pentru transferul cryptsetup-ului pe discul RAM?

O situație similară apare atunci când instalați un software RAID pentru a înlocui partiția rădăcină. 8)

Criptare folosind modulul loop-aes

Criptarea partiției hard diskului, unități flash cu parolă suplimentară

In acest cum să descrieri ale metodei de criptare AES256 Alte metode pot fi setate într-un mod similar (înlocuind numele metodei pe exterior). Avem nevoie de următoarele pachete:

# apt-get install loop-aes-utils loop-aes-modules-`uname -r`

Notă: Dacă utilizați un nucleu pentru care depozitul nu are modulele loop-aes-necesare, puteți instala modulele cu următoarele comenzi:

# apt-get install module-assistant loop-aes-source # module-assistant a-i loop-aes

Etapa Cob

În etapa inițială, pregătim un disc pentru a-l folosi pentru criptare și criptare.

Selectați partiția discului (sau a unității flash) pe care dorim să o criptăm, de exemplu, o va face /dev/sda2. Să introducem comanda:

# losetup -e AES256 -T /dev/loop0 /dev/sda2

După ce această comandă este ștearsă, totul este transferat pe dispozitiv /dev/loop0 va fi criptat și criptat și redirecționat către dispozitiv /dev/sda2. Acum putem cripta și decripta simultan canalele pentru a salva date. Datele sunt criptate folosind parola suplimentară pe care ați introdus-o când ați pierdut programul.

Acum putem formata dispozitivul, de exemplu:

# mkfs.ext3 /dev/loop0

Putem instala yogo:

# mount /dev/loop0 /path/to/mount

Puteți activa criptarea:

# losetup -d /dev/loop0

Și mai presus de toate, putem cripta partiția fără a cheltui bani:

# dd if=/dev/sda2 of=/dev/loop0

și apoi decriptați-l în sine, deoarece se pare că criptarea nu este metoda noastră:

# dd if=/dev/loop0 of=/dev/sda2

Ei bine, cel mai bine, putem verifica integritatea sistemului de fișiere:

# fsck.ext3 /dev/loop0

Această capacitate nu este disponibilă pentru toate metodele de criptare a partițiilor.

Vikoristannya de zi cu zi

Ai deja o notă despre împărțire /dev/sda2 la dvs /etc/fstab, atunci trebuie doar să adăugați opțiuni și, dacă nu a trebuit să le scrieți:

/dev/sda2 /path/to/mount ext3 loop,encryption=AES256 0 0

Acum, când sistemul de operare este instalat, vi se va solicita o parolă pentru instalare.

Dacă nu doriți ca procesul de achiziție să fie întrerupt prin introducerea unei parole, puteți adăuga opțiuni noauto,utilizator la înregistrări /etc/fstab:

/dev/sda2 /path/to/mount ext3 loop,encryption=AES256,noauto,user 0 0

Aparent, îl puteți instala manual (sau folosind un script):

# mount /dev/sda2 /path/to/mount -o loop,encryption=AES256

Instalarea mai multor sisteme de fișiere

Uneori doriți să criptați câteva secțiuni ale datelor dvs. simultan, pentru a nu introduce o mare de parole pe computer. montură. De exemplu, ai o unitate flash, pentru că mergi de acasă la serviciu, sau un hard disk portabil. Sau doar o grămadă de secțiuni/hard disk-uri.

Este acceptabil pentru noi să criptăm secțiuni /dev/sda2, pe care îl instalăm în catalog pentru probleme de piele /mnt1. Un nou Winchester a apărut /dev/sdb1 Dorim ca vinul să fie instalat automat în catalog mnt2 la instalarea primului. Este posibil, inițial, să se creeze un sistem zagalnu pentru chomus pentru educație LVM Cu toate acestea, puteți cânta într-un mod mai simplu:

înregistrat în fstab rând de avansare aproximativă:

/dev/sda2 /mnt1 ext3 noatime,exec,loop,encryption=AES256 0 0 /dev/sdb1 /mnt2 ext3 noatime,exec,loop,encryption=AES256,cleartextkey=/mnt1/key.txt 0 0

Sistemul, atunci când este selectat, instalează punctele în aceeași ordine ca cea descrisă în fstab Astfel, dacă prima partiție nu va fi montată, atunci cheia pentru montarea celeilalte partiții va deveni inaccesibilă și nici cealaltă partiție nu va fi montată.

Parola este salvată în vizualizare text simplu Acest lucru, desigur, nu este foarte frumos, dar este salvat pe o partiție criptată (care poate fi demontată). Puteți înlocui acest vikorystat? gpg-key, nu va fi prea multă securitate (dacă este posibil să furați cheia, atunci nu va face o mare diferență care cheie), opțiunea de criptare este gpg- cheie descriere om pierdut, aici voi pune doar un cap în înregistrare fstab:

/dev/sda2 /mnt1 ext3 noatime,exec,loop,encryption=AES256 0 0 /dev/sdb1 /mnt2 ext3 noatime,exec,loop,encryption=AES256,gpgkey=/mnt1/key.gpg 0 0

Note

Pentru informații suplimentare despre suportarea algoritmilor de criptare, consultați om pierdut, acolo puteți vedea și descrierea altor opțiuni de program losetup.

Dacă întâmpinați probleme la instalarea modulelor AES, atunci citiți documentația cu pachetul loop-aes-source.

GRUB și criptarea discului rădăcină

Dacă ați instalat partiția rădăcină pe un disc GRUB criptat, este posibil să vedeți fisuri în meniul principal. Acest lucru este vizibil prin disponibilitatea fontului standard /usr/share/grub/unicode.pf2. Font copiabil

cp /usr/share/grub/unicode.pf2 /boot/grub/

Personalizarea este necesară

nano /etc/default/grub GRUB_FONT=/boot/grub/unicode.pf2

Zastosovu instalează:

update-grub

Semenenko V.

Dacă instalați sistemul de operare Ubuntu, este posibil să nu vă faceți griji cu privire la configurarea criptării datelor pentru acesta. Sau această situație se poate întâmpla dacă adăugați un client la sistem fără a-i cripta directorul principal. Dar acum v-ați răzgândit și ați decis să reparați protecția acestui catalog. Cu alte cuvinte, tu (sau un alt dezvoltator de computere) te aștepți ca mama ta să aibă o astfel de abilitate, care în prezent lipsește...

Crearea unei partiții criptate în Ubuntu

Cum pot adăuga capabilități de criptare la un sistem Ubuntu Linux deja instalat?

Din fericire, este ușor de implementat. Pentru care este suficient să victoriezi trei pași principali:

• creați o copie criptată a directorului dvs. de acasă;
• ștergeți directorul original necriptat;
• criptați partiția de swap (va fi criptată o singură dată, la instalarea sistemului Ubuntu sau când vă închideți contul).

Descrierile din acest articol s-au bazat pe actualizarea sistemului Ubuntu Precise 12.04.

Pregătirea

Din cauza bug-ului din Ubuntu Linux, care este în prezent în vigoare, nu vă puteți conecta la sistem, deoarece designul grafic al ferestrei de conectare se află în folderul de acasă criptat al clientului. Dacă koristuvach-ul a schimbat designul standard, verificați că nici tatăl koristuvach-ului acasă nu îl va avea.

Crearea unei copii criptate a directorului contului personal este o procedură sigură. Cu toate acestea, este important să ne amintim că pentru Viconn, melodia necesară a fost înregistrată pe un hard disk. Dacă descoperiți că spațiul s-a epuizat, trebuie să creați o copie de rezervă a datelor, apoi să ștergeți toate fișierele mai mari din ea (de exemplu, filme) și să le actualizați din aceeași copie după criptare. Vă recomand cu tărie să creați o copie de rezervă a tuturor datelor pentru a evita eventualele probleme.

Pentru primul dvs. manager de pachete, instalați programul encrypt-utils.

Criptare

La al cărui ajutor am un paddy de autentificare ca nume de koristuvach, cu ale cărui date vor fi introduse acțiunile. Trebuie să-l înlocuiți cu numele utilizatorului al cărui director principal va fi criptat.

Reporniți Ubuntu Linux și accesați „Modul de recuperare”. Este o mică plăcere - înainte de începerea instalării sistemului, apăsați și eliberați tasta Shift pentru a deschide meniul Grub. Selectați rândul „Mod de recuperare” și un alt animal va fi afișat pe lista de avangarde.

În meniul modului de actualizare, selectați „Drop”, astfel încât să apară linia de comandă promptă pentru contul root.

Pentru a corecta eroarea de program care a apărut la începutul acestui articol, introduceți două comenzi suplimentare:

mount --options remount,rw /
monte --toate

Acum puteți crea o copie criptată a paddy-ului directorului dvs. de domiciliu. Pentru aceasta introducem comanda prezentată mai jos. În acest caz, încercați să vă ghiciți parola, deoarece pentru această operație este furnizat următorul utilitar:

Odată ce procesul de criptare este finalizat, veți primi plata în avans. Le poți ignora. Dar va trebui să vă amintiți indicațiile către folderul orar creat de echipă. Se pare că ne vom apropia de: /home/paddy.ChPzzxqD

În acest caz, toate caracterele rămase (după punct) sunt tastate folosind un set aleatoriu. Veți avea nevoie de acest director în următorii pași, „Finalizare” sau „Întoarcere înainte de weekend”, așa cum va fi discutat mai jos.

Reporniți sistemul Ubuntu Linux. Pentru cine introduceți comanda: restarteaza acum

După ce introduceți comanda, poate dura câteva secunde pentru a începe să ruleze, așa că aveți răbdare.

Complet

Conectați-vă la sistemul Ubuntu în cel mai simplu mod, așa cum ați făcut deja. Inversați că totul funcționează ca înainte.

Dacă nu este cazul, puteți merge imediat la punctul „Întoarcere înainte de weekend”.

Totul din sistem funcționează normal, pașii finali au fost finalizați.

Deschideți terminalul și introduceți comanda pentru a deschide directorul de timp. De ce trebuie să cunoașteți ruta către folderul de timp care a fost creat în directorul principal criptat.

sudo rm -R /home/paddy.ChPzzxqD

Reînnoiți datele pe care le-ați văzut în secțiunea „Pregătire”.

Deschideți din nou terminalul și introduceți comanda pentru a cripta partiția de swap. Dacă ați avut anterior un computer cu directoare de acasă criptate, puteți sări peste acest pas în siguranță: sudo ecryptfs-setup-swap

Vreau să mă angajez din nou cu tine.

Întoarce-te înainte de weekend

Dacă procesul de criptare se termină cu criptare, va trebui să repetați pașii anteriori.

Rulați comenzi:

mount --options remount,rw /
monte --toate
ecryptfs-migrate-home --user paddy

Apoi introduceți comanda pentru a căuta folderul de timp creat în timpul procesului de criptare. Din acest motiv, știu că mai trebuie să ghiciți traseul către el. În acest caz, nu este de vină pentru grațierile pe termen lung. De când mirosurile au apărut, veți avea nevoie de mai mult ajutor.

ls -l /home/paddy.ChPzzxqD

Acum finalizați procesul de întoarcere la etapa de ieșire introducând trei comenzi:

cd /acasă
rm -R paddy .ecryptfs/paddy
mv paddy.ChPzzxqD

Vreau să mă angajez din nou cu tine.

Sper că acești croci v-au ajutat. Dacă aveți probleme fără legătură, puteți dezactiva pornirea numelui meu de utilizator Ubuntu.

Modul de repaus când este criptat

Majoritatea utilizatorilor se întreabă adesea de ce sistemul de operare Ubuntu nu are un mod de hibernare după terminarea operațiunilor anterioare (descrise mai devreme în acest articol) și cum poate fi restaurată această caracteristică. Motivul constă în criptarea avansată. Dacă ați configurat criptarea pentru directorul dvs. de acasă, partiția de schimb este, de asemenea, criptată, folosind o cheie de parolă. Dacă puneți sistemul în modul hibernare, datele RAM sunt salvate în secțiunea de swap, unde sunt criptate cu o cheie. Când sistemul este actualizat în modul de repaus, cheia care a fost folosită pentru a cripta partiția de swap este deja pierdută pentru totdeauna și sistemul nu poate citi datele din partiție. Evident, datele nu pot fi consolidate și inversate până când nu devin imposibile.

Dacă sistemul dvs. nu are configurată criptarea partiției, este ușor să actualizați modul de repaus în Ubuntu. Pentru cine este suficient să ai o comandă viconati: ls -l /home/paddy.ChPzzxqD
rm -R paddy .ecryptfs/paddy

Dacă în sistem partiția de stocare de acasă și partiția de schimb sunt criptate, este necesar să înlocuiți criptarea partiției de schimb nu cu cheia de parolă, ci cu fraza de acces selectată.

Totuși, rețineți că pentru fiecare utilizator de computer veți avea nevoie de această frază cheie în momentul accesării sistemului.

Am încercat această metodă în ambele cazuri - atât pe sistemul inițial Ubuntu 12.04, cât și pe sistemul Ubuntu instalat pe mașina virtuală VirtualBox. Au continuat să apară probleme cu afișarea ecranului în modul de hibernare. Totul a funcționat miraculos în sistemul inițial.

Pregătirea

Introdu comanda la terminal: sudo cryptsetup status crypt schimb 1

Ca urmare, veți crea un rând în care va fi indicat dispozitivul, care arată cam așa: /dev/sda1

sau /dev/sdb5

Acest dispozitiv face parte din secțiunea de schimb a sistemului dvs. Nu uitați, fragmentele vi se vor da dacă aveți nevoie de ele.

Dacă există modificări ale sistemului, vă recomand întotdeauna să faceți o copie de rezervă a datelor în mod extern. Tipul nostru va fi și el maro.

Ajustarea programului de somn

Introduceți aceste comenzi. Confirmați că ați înlocuit dispozitivul /dev/sdXN cu partiția dvs. de swap, creată sub elementul „Pregătire”. Când introduceți comenzi, trebuie să urmați cu atenție secvența specificată:

sudo swapoff /dev/mapper/cryptswap1
sudo cryptsetup luksClose /dev/mapper/cryptswap1
sudo cryptsetup luksFormat cipher aes cbc essiv:sha256 verificați dimensiunea cheii frazei de acces 256 /dev/sdXN

AVERTIZARE!
========
Aceasta va suprascrie irevocabil datele de pe /dev/sda1.
Esti sigur? (Tastați majuscule da): DA
Introduceți fraza de acces LUKS:
Verificați fraza de acces:
sudo cryptsetup luksOpen /dev/sdXN cryptswap1

Introduceți fraza de acces pentru dispozitivul /dev/sda1 (și repetați pentru a vă asigura că este unică):

sudo mk schimb/dev/mapper/crypt schimb 1
sudo swapon all
swapon s

Ultima comandă este de a afișa numele fișierului dispozitivului /dev/crypt swap 1 .

Deschideți fișierul de configurare /etc/crypttab în acest editor. Înlocuiți criptul swap 1 rând cu cel nou (nu uitați să înlocuiți dispozitivul /dev/sdXN cu dispozitivul swap): cryptswap1 /dev/sdXN nici unul luks

Editați fișierul /usr/share/initramfstools/scripts/local-top/cryptroot . Puteți găsi rândul (apelați numărul 288, altfel se poate schimba): mesaj „cryptsetup: eroare necunoscută la configurarea dispozitivului de hartă”

Mergeți la următorul rând gol (înainte de FSTYPE=") și introduceți un rând nou (amintindu-vă să înlocuiți dispozitivul /dev/sdXN): /sbin/cryptsetup luksOpen /dev/sdXN crypt schimb 1

Editați fișierul /etc/acpi/hibetnate.sh. În primul rând gol, introduceți următoarele valori: DEVICE="/dev/mapper/crypt schimb 1"

Editați fișierul /etc/initramfstools/conf.d/resume. Înlocuiește rândul actual al celui ofensiv: RESUME=/dev/mapper/crypt schimb 1

Apoi editați fișierul /etc/polkit1/localauthoriyt/50-local.d/com.ubuntu.enable-hibernate.pkla. Fișierul nu funcționează imediat, așa că trebuie să îl creați mai întâi. Apoi adăugați la rândul următor:
Identitate=unixuser:*
Action=org.freedesktop.upower.hibernate
ResultActive=da

Găsiți, deschideți un terminal și introduceți următoarea comandă: sudo update initramfs u k all

Reangajați-vă.

Rutina de culcare

Când porniți Ubuntu Linux, vi se va solicita o nouă expresie de acces în partiția de schimb. Introduceți її și procesul normal de conectare va continua.

TrueCrypt nu mai este acceptat, dar dm-crypt și LUKS sunt o opțiune excelentă cu un cod sursă deschis care vă permite să criptați și să vikorizați criptarea datelor.

Securitatea datelor a devenit una dintre cele mai mari probleme în rândul utilizatorilor de internet. Știrile despre furtul de date de pe site-uri web au devenit și mai răspândite, dar furtul datelor dvs. nu se referă doar la site-uri web, ci și la multe lucruri pe care noi, ca utilizatori finali, le putem produce pentru securitatea noastră personală. De exemplu, doar câțiva pași sunt folosirea parolelor securizate, criptarea hard disk-urilor situate pe computerele noastre și asigurarea conexiunilor securizate. Securizarea sau criptarea hard disk-ului este o modalitate bună de a asigura securitatea - nu numai pentru a vă proteja împotriva oricăror troieni care încearcă să vă fure datele printr-o barieră, precum și împotriva atacurilor fizice.

În același timp, a început dezvoltarea programului TrueCrypt, un instrument open-code folosit pentru criptarea discurilor. După cum mulți dintre voi știți, acesta este unul dintre cele mai fiabile instrumente utilizate pentru criptarea discurilor. Este nevoie de un instrument de acest calibru, de dimensiunea luminii cu un cod închis și există o serie de alte instrumente cu un cod clar care vă vor ajuta să obțineți securitatea pentru ajutorul dvs. Stocarea discurilor, totuși, necesită o mulțime de ajustări de configurare. Să aruncăm o privire la două dintre ele - dm-crypt și LUKS - ca alternativă la TrueCrypt pentru platforma Linux. Să aruncăm o privire rapidă la dm-crypt și apoi la LUKS.

Acestea sunt informații de bază despre dispozitivul utilizat de LUKS, care includ criptarea, modul de criptare, algoritmul de hashing și alte date criptografice.

Resurse

Croc 01: Luați în considerare Dm-crypt

Numele programelor dm-crypt sunt prescurtarea pentru device mapper-crypt (criptare atunci când dispozitivul este mapat). După cum sugerează și numele, se bazează pe dispozitive mapate - un cadru de nucleu Linux conceput pentru a mapa dispozitive bloc cu dispozitive bloc virtuale de cel mai înalt nivel. Când rulați dispozitive, puteți utiliza o serie de funcții ale nucleului, cum ar fi dm-cache (creează volume hibride), dm-verity (folosit pentru a verifica integritatea blocurilor, parte a sistemului de operare Chrome) și chiar popularul Docker. În scopuri criptografice, dm-crypt folosește cadrul Crypto API al nucleului Linux.

De asemenea, dacă alegeți o husă, atunci add-on-ul dm-crypt include un subsistem de criptare la același nivel cu nucleul, care reprezintă funcționalitatea criptării discului: aceasta înseamnă că fișierele sunt accesibile imediat după montarea discului - acolo aparent nu este un utilizator final. Pentru a cripta cu dm-crypt, puteți introduce pur și simplu unul dintre cifrurile simetrice, modul de criptare, cheia (de orice dimensiune puteți), modul de generare IV și apoi /dev creați un nou dispozitiv bloc. Acum, când scrieți pe acest dispozitiv, există criptare, iar când citiți, există decriptare. Puteți monta fie un sistem de fișiere pe dispozitiv, fie puteți utiliza dispozitivul dm-crypt pentru a crea alte modele, cum ar fi RAID sau LVM. Tabelul de acreditări pentru dm-crypt este definit după cum urmează:

Aici valoarea sectorului de pornire (sectorul cob), de regulă, este egală cu 0, valoarea mărimii este egală cu dimensiunea dispozitivului, care este indicată în sectoare, iar numele țintă este numele pe care doriți să-l atribuiți la dispozitivul criptat. Tabelul de mapare a țintei constă din următoarele secțiuni:

[<#opt_params> ]

Croc 02: Privind la LUKS

După cum am menționat deja mai devreme, programul dm-crypt poate cripta/decripta datele în mod independent. Cu toate acestea, există câteva neajunsuri - dacă utilizați add-on-ul dm-crypt fără nicio bătaie de cap, nu veți crea metadate pe disc, iar acest lucru poate deveni o problemă serioasă dacă doriți să asigurați consistența între diferite distribuții Linux tives. În plus, add-on-ul dm-crypt nu acceptă utilizarea mai multor chei, deși în situații reale este importantă utilizarea mai multor chei.

Din aceste motive, a luat ființă tehnica LUKS (Linux Unified Key Setup). LUKS este un standard Linux pentru criptarea hard disk-urilor, iar standardizarea vă permite să asigurați flexibilitatea diferitelor distribuții. De asemenea, este încurajată căutarea unui număr de chei și fraze de parolă. Ca parte a acestei standardizări, la datele criptate este adăugat un antet LUKS, iar acest antet conține toate informațiile necesare pentru criptare. Dacă există un astfel de antet cu date, utilizatorii pot trece cu ușurință la orice altă distribuție. Proiectul dm-crypt recomandă utilizarea LUKS ca scurtătură pentru configurarea criptării discului. Să aruncăm o privire la cum să instalați utilitarul cryptsetup și cum să folosiți criptografia pentru a crea volume bazate pe LUKS.

Croc 03: Instalat

Capacitățile funcționale ale nivelului de kernel care sunt incluse în dm-crypt sunt deja prezente în toate distribuțiile Linux; Avem nevoie de o interfață pentru ei. Vom folosi utilitarul cryptsetup, care ne permite să creăm volume folosind dm-crypt, standardul LUKS și vechiul program TrueCrypt. Pentru a instala cryptsetup pe distribuțiile Debian/Ubuntu, puteți utiliza rapid următoarele comenzi:

$ sudo apt-get update $ sudo apt-get install cryptsetup

Prima comandă sincronizează fișierele index ale rachetei în loc de depozitele lor: preia informații despre versiunile rămase ale tuturor pachetelor disponibile. O altă comandă este să angajați și să instalați pachetul cryptsetup pe computer. Dacă utilizați o distribuție RHEL/Fedora/CentOS, puteți instala rapid utilitarul cryptsetup folosind comanda yum.

$ yum instalează cryptsetup-luks

Croc 04: Crearea unui fișier țintă

Acum, dacă utilitarul cryptsetup a fost instalat cu succes, trebuie să creăm un fișier țintă în care să fie salvat containerul LUKS. Deși există multe modalități de a crea un astfel de fișier, este necesar să ucizi mințile slabe atunci când îl creezi:

• Fișierul nu trebuie să fie pliat în multe părți situate în locuri diferite de pe disc, astfel încât pentru data viitoare de creare veți vedea imediat o cantitate suficientă de memorie.
• Întregul fișier trebuie să fie umplut cu date variabile, astfel încât nimeni să nu poată spune unde vor fi extrase datele și se vor pierde atunci când sunt criptate.

În crearea unui fișier care va satisface mințile importante, putem ajuta cu comanda dd, deși se va face cât mai complet posibil. Selectați-le dintr-o dată dintr-un fișier special al dispozitivului /dev/random, specificat ca date de intrare și dintr-un fișier țintă, care poate fi specificat ca date de ieșire. Exemplul de comandă arată astfel:

$ dd if=/dev/random of=/home/nitish/basefile bs=1M count=128

Ca rezultat, un fișier va fi creat în directorul /home/nitish cu numele fișierelor de bază, care vor avea o dimensiune de 128 MB. Totuși, fiți avertizat că această poruncă poate avea nevoie să îndure o oră mare; în sistemul pe care l-a folosit expertul nostru, a durat o oră.

Croc 05: Creat de dm-crypt LUKS

După crearea fișierului țintă, trebuie să creați o secțiune LUKS în acel fișier. Această secțiune servește ca sferă principală, sub protecția căreia se va realiza toată criptarea datelor. Mai mult, antetul acestei secțiuni (antetul LUKS) conține toate informațiile necesare funcționării cu alte dispozitive. Pentru a crea o partiție LUKS, rulați comanda cryptsetup:

$ cryptsetup -y luksFormat /home/nitish/basefile

După ce înțelegeți că datele aflate în mijlocul fișierului de bază vor fi șterse definitiv, introduceți fraza de acces și apoi confirmați că se va crea secțiunea LUKS. Puteți verifica acest lucru pentru comanda de fișier suplimentar:

$filebasefile

Vă rugăm să rețineți că expresia pe care o introduceți va fi folosită pentru a descifra datele. Este important să-l amintiți și să îl salvați în siguranță, deoarece, dacă îl uitați, s-ar putea să irosești toate datele din secțiunea criptată.

Croc 06: Creăm și montăm un sistem de fișiere

Containerul LUKS pe care l-am creat în etapa anterioară este acum disponibil în vizualizarea fișierului. Aplicația noastră are /home/nitish/basefile. Utilitarul cryptsetup vă permite să deschideți containerul LUKS ca dispozitiv independent. Pentru a face acest lucru, mai întâi afișați fișierul container pe dispozitiv, apoi montați dispozitivul. Comanda care operează afișajul arată astfel:

După ce ați introdus cu succes expresia de acces creată mai sus, containerul LUKS va fi afișat ca volum1. De fapt, fișierul este tratat ca un dispozitiv loopback local, astfel încât sistemul poate acum procesa fișierul ca și cum ar fi un dispozitiv real.

Croc 07: Sistem de fișiere - avansat

Fișierul container LUKS este acum disponibil pentru sistem ca dispozitiv implicit. În primul rând, îl putem folosi pentru operațiuni de bază, dar trebuie să îl formatăm și să îl creăm pe un nou sistem de fișiere. Puteți alege orice sistem de fișiere care se potrivește sistemului dvs. Aplicația mea a folosit ext4, care este cel mai nou sistem de fișiere pentru sistemele Linux.

$ mkfs.ext4 -j /dev/mapper/volume1

Odată ce dispozitivul a fost formatat cu succes, acesta va fi gata pentru instalare. De acum ești responsabil pentru crearea punctului de instalare, este important /mnt (ieșirea din inima sănătoasă).

$mkdir/mnt/fișiere

Acum putem instala:

Pentru a verifica din nou, utilizați comanda df –h - și în final, în lista de dispozitive montate, adăugați dispozitivul „/dev/mapper/volume1”. Se poate observa că antetul LUKS ocupă deja un loc în dispozitiv.

Ca rezultat, puteți utiliza dispozitivul LUKS cu sistemul de fișiere ext4. Utilizați acest dispozitiv pentru a salva fișiere - tot ceea ce scrieți pe acest dispozitiv va fi criptat, iar tot ceea ce citiți de pe acesta va fi decriptat și afișat.

Croc 08: Vikoristannya a discului care este criptat.

Am cheltuit o mulțime de bani pentru a obține acest rezultat și nici măcar nu-ți dai seama cum funcționează totul, tu, după ce ai făcut totul, te pierzi în ceea ce trebuie să faci de mai multe ori (necesar pentru instalare) și în faptul că Este necesar să lucrați în mod regulat sub ora de criptare vikorystannaya. Să aruncăm o privire la scenariul actual: ați introdus cu succes toate descrierile și apoi ați pornit computerul. A doua zi, când porniți computerul, nu găsiți suporturile dispozitivului - unde mergeți? Pentru a elimina toate acestea, trebuie să aveți grijă ca, după pornirea sistemului, să montați containerul LUKS și să-l demontați înaintea computerului.

Pentru a refuza accesul la fișierul LUKS, de fiecare dată când deschideți computerul, selectați pașii următori, apoi porniți mai întâi computerul și închideți fișierul în siguranță:

Deschideți fișierul LUKS (/home/nitish/basefile) și introduceți parola. Comanda arată astfel:

$ cryptsetup luksOpen /home/nitish/basefile volum1

După ce fișierul este deschis, montați-l (deoarece nu este montat automat):

$ mount /dev/mapper/volume1 /mnt/files

Acum puteți monta dispozitive ca disc principal și puteți citi sau scrie pe el.

După ce ați terminat totul, demontați dispozitivul după cum urmează:

$ umount /mnt/fișiere

După instalarea cu succes, închideți fișierul LUKS:

$cryptsetup luksÎnchide volumul1

Croc 09: Copie de rezervă

Majoritatea datelor care sunt stocate în containerul LUKS sunt irosite din cauza modificărilor aduse antetului LUKS sau sloturilor pentru chei. În plus, anteturile LUKS pot fi corupte printr-o rescrie a memoriei antetului, în realitate este și posibil să ieșiți din nou de pe hard disk. Cel mai bun mod de a te proteja de astfel de probleme este cu o copie de rezervă. Să vedem ce opțiuni de rezervă sunt disponibile.

Pentru a crea o copie de rezervă a fișierului antet LUKS, specificați parametrul luksHeaderBackup la comandă:

$ sudo cryptsetup luksHeaderBackup /home/nitish/basefile --header-backup-file /home/nitish/backupfile

Sau, dacă doriți să actualizați fișierul dintr-o copie de rezervă, atunci specificați parametrul luksHeaderRestore în comandă:

$ sudo cryptsetup luksHeaderRestore /home/nitish/basefile --header-backup-file /home/nitish/backupfile

Pentru a verifica fișierul antet LUKS și a verifica dacă fișierul pe care îl vedeți în dreapta se potrivește cu dispozitivul LUKS curent, puteți utiliza rapid parametrul isLuks.

$ sudo cryptsetup -v isLuks /home/nitish/basefile

Am învățat deja cum să facem o copie de rezervă a fișierelor antet LUKS, dar în caz contrar copia de rezervă a antetului LUKS nu poate fi salvată pe o unitate nouă, așa că trebuie să utilizați comanda cat pentru a crea o copie de rezervă a întregii partiții :

$ cat /home/nitish/basefile > basefile.img

Croc 10: Masacrul ajustat

Există, de asemenea, o serie de alte setări care pot fi incorecte atunci când utilizați criptarea dm-crypt LUKS. Să aruncăm o privire la ele.

Pentru a descărca antetul LUKS, comanda cryptsetup oferă parametrul luksDump. Vă permitem să faceți un instantaneu al fișierului antet LUKS al dispozitivului pe care îl utilizați. Exemplul de comandă arată astfel:

$ cryptsetup luksDump /home/nitish/basefile

La începutul acestui articol, ne-am dat seama că LUKS acceptă lucrul cu multe chei. Să o facem chiar acum adăugând un nou slot pentru chei ( nota per.: slot pentru chei - așezați sub cheie):

$ cryptsetup luksAddKey --Key-slot 1 /home/nitish/basefile

Această comandă adaugă cheia la slotul de cheie numărul 1, numai după ce introduceți parola curentă (cheia prezentă în slotul de cheie 0). Există tot felul de sloturi pentru chei și puteți decripta datele folosind orice altă cheie. Dacă ați adăugat o altă cheie, aruncați antetul și veți găsi un alt slot pentru cheia de ocupație.

Puteți vizualiza sloturile cu chei astfel:

$ cryptsetup luksRemoveKey /home/nitish/basefile

Ca rezultat, va fi afișat slotul cu cheia cu cel mai mare număr de slot. Aveți grijă să nu ștergeți toate sloturile, altfel datele dumneavoastră se vor pierde.

Lupta împotriva pirateriei capătă noi dimensiuni, iar autoritățile legale și autoritățile își duc lupta împotriva acestei lupte dificile. Respect că toată lumea s-a gândit la cei pentru a fura dosare speciale din partea „oaspeților neascultători”, și la cei care sunt pur și simplu oameni extra-băutori.

introduce

Criptarea discurilor va fi efectuată utilizând metode standard Ubuntu, iar cheia de criptare, precum și partiția /boot, vor fi stocate într-un alt spațiu de stocare. Este posibil să criptezi partiția rădăcină? Este posibil să criptați /home? Există o serie de motive. În primul rând, pe baza fișierelor de configurare cu / etc, puteți deduce informații, fără a atinge vreodată datele confidențiale. Alt lucru - dacă folosești discul în loc de disc, vei putea spune că totul este așa cum a fost și că discul este deja plin cu pseudodate. Ei bine, de ce ai nevoie pentru asta?

• Unitate flash cu MBR
• Ubuntu 12.10
• Curățați hard diskul

Ca algoritm de criptare pentru discuri, vom folosi AES, care este adoptat ca standard și criptografic și, ca atare - cryptsetup/LUKS. Pentru a putea adăuga un loc deasupra volumului criptat, utilizați Logical Volume Management (LVM).

Crearea volumului criptat

După descărcarea de pe LiveCD, trebuie să pregătiți o unitate flash: creați o altă partiție pe ea, unde vor fi localizate /boot și cheia de criptare. Prin crearea partiției /boot de la ext2 FS la alta, omorâm două păsări dintr-o singură piatră - prima partiție va fi vizibilă pe toate sistemele și puteți salva date pe acesta, iar cealaltă nu va funcționa atât de ușor pe Windows, ceea ce se adaugă la ineficiența sistemului. Pentru distribuție, folosesc gparted, altfel nimănui nu-i pasă de folosirea fdisk. După aceasta, trebuie să montați o nouă partiție și să generați un fișier cheie:

Ar trebui să citim câte un octet? În dreapta, grupul de numere aleatorii din nucleu este remarcabil de mic și nu conține întotdeauna suficiente date aleatorii, așa că la ora generarii ținta a fost furată fără milă.

Să aruncăm o privire la această echipă. Prima cheie specifică tipul de funcție hash care este disponibilă pentru hashing cheia principală. Cealaltă cheie specifică algoritmul și tipul de criptare. De aceea mă bâlbesc puțin în raport. Ce este CBC? Aparent, AES este un cifru bloc care funcționează în blocuri de 128, 192 sau 256 de biți. Cu toate acestea, de regulă, mult mai multe informații sunt criptate. Și apare problema - cum se criptează, astfel încât să nu fie vizibil pentru un grup neidentificat din care un criptoanalist poate extrage informațiile. Oamenii rezonabili l-au gândit așa: primul bloc are un set de bătăi în faza IV. Împachetez blocul frontal al datelor criptate XOR cu blocul frontal al datelor deja criptate. Totul este bine, cu excepția cazului în care criptați discurile, o astfel de schemă, din motive evidente, nu stagnează (nu trebuie să așteptați 10-20 de minute până când sistemul decriptează datele de care aveți nevoie?). Pentru a rezolva problema accesului suficient la informație, LUKS folosește ESSIV - mici blocuri de date sunt criptate (sector cu sector), iar vectorul de inițializare este generat pe baza numărului de sector și a hash-ului cheii. Această schemă protejează și împotriva diferitelor cripto-atacuri. Zokrema, apoi eu vikorist LUKS. După ce ți-ai confirmat intențiile după rularea comenzii anterioare, creează un afișaj pentru dispozitivul LUKS:

# cryptsetup -d=/mnt/boot/key.bin luksOpen /dev/sdd criptodisc

Prima etapă de pregătire este finalizată - acum directorul /dev/mapper are un dispozitiv criptodisc care poate fi folosit ca disc principal.

Crearea LVM pe un volum criptat

În principiu, acum puteți instala Ubuntu pe un nou criptodisc, sau, așa cum am scris deja, pentru a elimina posibilitatea de a crește spațiul, pe deasupra puteți crea mai bine un volum LVM pe care îl putem crea. Furnizarea unui volum fizic și crearea unui grup de volume:

Acum le puteți formata din sistemul de fișiere. Îl alegeți singur pe cel potrivit, am vikorizat atât pentru volumul de rădăcină, cât și pentru vg-home vechiul ext4 bun - după părerea mea, ar fi trebuit să-l dărâmăm ca să putem vikoriza noul FS:

Am pierdut toată bătaia de cap de a instala Ubuntu pe o partiție/disc necriptată și de a-l transfera pe una criptată.

Pregătirea și migrarea Ubuntu

Acum instalăm discul Ubuntu pe un disc necriptat - configurația robotului este pentru gustul dulce din spatele plasării /boot și zavantazhuvacha. Acestea trebuie să fie plasate pe o unitate flash, apoi creați o secțiune separată mai târziu. După descărcarea de pe unitatea flash, pentru a verifica dacă totul este corect, instalați pachetele lvm2 și cryptsetup folosind apt-get - au fost eliminate automat după instalarea Ubuntu - și adăugați/modificați rândurile /etc/fstab. Este necesar să mergeți așa (pe lângă vina sistemelor de pseudo-fișiere, care, totuși, sunt absente în sistemele actuale):

/etc/fstab UUID=dd7ca139 - 074a - 4b1b - a116 - 3a42feab7459 /boot ext2 defaults 0 2 /dev/mapper /vg - root /ext4 errors = remount - ro 0 1 /dev/mapper /vg 0 1 / vg - swap none swap sw 0 0

Partiția /boot este montată de UUID, astfel încât atunci când sunt adăugate noi discuri, nu va exista confuzie cu numele lor. Acum să mergem la fișierul /etc/crypttab și vom ajunge la următorul punct:

Să creăm un script, astfel încât să nu fie nevoie să montați unitatea flash:

Copierea cheii și criptarea

cp / boot / cheie .bin $ ( DESTDIR ) / etc / crypto copy_exec / sbin / cryptsetup / sbin

І există un script puternic pentru conectarea criptodiscului (se află în modul initrd):

/etc/initramfs-tools/scripts/local-top/cryptokeys. . . modprobe - b dm_crypt while! /sbin/cryptsetup - d=/etc/crypto/key .bin luksOpen /dev/disk/by - uuid /c34e4c91 - 1fa1 - 4802 - 88ca - 9c3be5c99097 cryptodisk ; do echo "Încerca din nou..." gata

Bucla while este necesară deoarece trebuie să deblocați volumul cu o parolă. Scripturile ofensate sunt de vină că au fost convertite, altfel există o comandă pentru a nu le descărca și a crea o imagine standard. Acum puteți lansa comanda update initrd:

# update initrd -u -k all -v

Nu am uitat de configurația utilizatorului. Există două moduri de editare: una simplă, dar incorectă - editarea directă a fișierului /boot/grub/grub.cfg, cealaltă este simplă, dar și corectă. Inexactitatea primei metode este că atunci când nucleul este actualizat, configurația este rescrisă din scripturile wiki /etc/grub.d/. Să luăm un alt traseu - vom adăuga un script care va genera cu ușurință rândurile corecte într-un conflict real de carpen. Cu toate acestea, există o problemă - cu un nucleu actualizat, fie va trebui să îl schimbați imediat, fie să ajungeți cu cel vechi (restul, după părerea mea, este, pe scurt, un accident minunat). Axa arată cam așa la rândurile sale:

/ etc / grub .d / 40_custom menuentry " Ubuntu crypto " ( recordfail = 1 dacă [ - n $ ( have_grubenv ) ] ) ; apoi save_env recordfail ; fi set quiet = 1

UUID-ul este preluat din fișierul înregistrat anterior

căutare -- no - floppy -- fs - uuid -- set = root dd7ca139 - 074a - 4b1b - a116 - 3a42feab7459

Secțiunea /boot pentru Grub este importantă pentru rădăcină, așa că calea către kernel și imaginea initrd este ordonată să fie generoasă

Puteți selecta elemente de meniu care nu sunt necesare în spatele meniului. În acest scop, pur și simplu selectați dreptul de a șterge toate scripturile inutile /etc/grub.d/. Acum puteți actualiza configurația principală:

După copiere, puteți începe să descărcați unitatea flash - trebuie doar să selectați elementul de meniu Ubuntu crypto. Dacă totul a mers bine, în curând vi se va solicita să vă conectați la sistem. De data aceasta vă pot saluta - lucrați deja cu sistemul de criptare.

Adăugarea/schimbarea cheilor

Este posibil să fi trebuit să schimbați cheia - fie prin compromiterea acesteia, fie pur și simplu prin crearea unei politici de modificare și doriți să o gestionați cu atenție. Ce este necesar pentru ce? Ar trebui să facem mai întâi o copie de rezervă a antetului de volum LUKS - astfel încât totul să fie bine, după ce schimbați cheia o puteți proteja. Robo noi, evident, la secțiunea necriptată:

Cheile exacte sunt vizibile (locul din antetul volumului criptat unde sunt stocate cheile - deci, pot fi mai multe) și numărul activ este memorat (Activat). De regulă, este valoarea zero.

Nu există niciun motiv să criptați datele de pe hard disk, mai degrabă decât să plătiți pentru securitatea datelor prin reducerea vitezei sistemului. Meta-statistici – îmbunătățiți productivitatea atunci când lucrați cu un disc criptat în moduri diferite.

Pentru ca diferența să fie dramatică, am ales nu o mașină super-standard, ci o mașină medie. Un AMD mecanic hard-winged hard-hard de 500 Gbytes la 2.2 GHz, 4 GIGA RAM PAM'yatі, 64-Betna Windows 7 SP 1. Anti-rușii amari nu se lansează de test, Choobo Nyshobo Vluginuti pentru rezultate.

Pentru a evalua productivitatea, am ales CrystalDiskMark. Înainte de a testa metodele de criptare, m-am stabilit pe următoarea listă: BitLocker, TrueCrypt, VeraCrypt, CipherShed, Symantec Endpoint Encryption și CyberSafe Top Secret.

BitLocker

Aceasta este o opțiune standard de criptare a discului pentru Microsoft Windows. Majoritatea oamenilor îl folosesc doar ca vikor, fără a instala programe terțe. Este adevărat că totul este deja în sistem? Pe de o parte, așa este. Pe de altă parte, codul de închidere nu înseamnă că nu au lipsit ușile din spate pentru FBI și alții.

Criptarea discului folosește algoritmul AES cu o dimensiune a cheii de 128 sau 256 de biți. Cheia poate fi salvată în Trusted Platform Module, pe computerul propriu-zis sau pe o unitate flash.

Dacă se folosește TPM, atunci dacă computerul este blocat, cheia poate fi luată de pe acesta sau după autentificare. Vă puteți autentifica folosind o cheie suplimentară pe o unitate flash sau introducând un cod PIN de la tastatură. Combinațiile acestor metode oferă opțiuni de schimb de acces nelimitat: pur și simplu TPM, TPM și USB, TPM și PIN sau toate trei.

BitLocker are două avantaje evidente: în primul rând, poate fi accesat prin politici de grup; într-un alt mod, criptează mai degrabă volume decât discurile fizice. Acest lucru vă permite să criptați o serie de discuri multiple fără a afecta alte metode de criptare. BitLocker acceptă, de asemenea, tabelul de partiții GUID (GPT), ceea ce este ceva cu care nu ne putem lăuda în cel mai avansat furk Trucrypt, VeraCrypt. Pentru a cripta discul GPT al sistemului, mai întâi va trebui să convertiți formatul MBR. BitLocker nu necesită acest lucru.

Zagalom, unul scurt - weekenduri închise. Dacă păstrați secrete din gospodăria dvs., BitLocker va face minuni. Dacă discul dvs. este plin de documente de la guvern, este mai bine să ghiciți altfel.

Cum puteți decripta BitLocker și TrueCrypt?

Dacă întrebați Google, veți găsi programul Elcomsoft Forensic Disk Decryptor, care poate decripta unitățile BitLocker, TrueCrypt și PGP. Ca parte a acestui articol, nu îl voi încerca, dar îmi voi împărtăși părerile despre un alt utilitar de la Elcomsoft, dar Advanced EFS Data Recovery în sine. Ea a decriptat în mod miraculos folderele EFS, doar pentru a se asigura că parola lui Koristuvach nu a fost instalată. Dacă am setat parola la 1234, programul a devenit neputincios. De fiecare dată, nu am putut decripta folderul EFS criptat care aparține contului cu parola 111. Cred că situația va fi aceeași și cu produsul Forensic Disk Decryptor.

TrueCrypt

Acesta este un program legendar de criptare a discurilor, care a fost lansat în 2012. Povestea modului în care a fost exploatat TrueCrypt este încă învăluită în mister și nimeni nu știe cu adevărat ce speră să obțină dezvoltatorul în sprijinul creării sale.

Există prea multe informații care nu ne permit să punem puzzle-ul împreună. Astfel, în 2013, a început să se colecteze fonduri pentru efectuarea unui audit independent al TrueCrypt. Motivul a fost negarea de către Edward Snowden a informațiilor despre slăbirea permanentă a criptării TrueCrypt. Pentru audit s-au încasat peste 60 de mii de dolari. De la începutul anului 2015, lucrările au fost finalizate și nu au fost identificate probleme serioase, probleme sau alte deficiențe esențiale în arhitectura programului.

Imediat ce auditul a fost finalizat, TrueCrypt s-a trezit din nou în centrul unui scandal. Reprezentanții companiei ESET au publicat un raport despre faptul că versiunea rusă a TrueCrypt 7.1a, obținută de pe site-ul truecrypt.ru, a eliminat malware-ul. Mai mult, site-ul truecrypt.ru însuși a fost folosit ca centru de comandă - de acolo au fost trimise comenzi către computerele infectate. Zagalom, bea-te si nu te lasa dus de programe, vedetele au fost irosite.

Înainte de avansarea TrueCrypt, este posibil să se introducă coduri open source, a căror fiabilitate este acum susținută de auditare independentă și suport pentru volume dinamice Windows. Deficiențe: programul nu mai este dezvoltat și dezvoltatorii nu au reușit să implementeze suportul UEFI/GPT. Ale yakscho meta - criptați o unitate non-sistem, nu contează.

Pe lângă BitLocker, care acceptă doar AES, TrueCrypt are și Serpent și Twofish. Pentru a genera chei de criptare, săruri și chei de antet, programul vă permite să selectați una dintre cele trei funcții hash: HMAC-RIPEMD-160, HMAC-Whirlpool, HMAC-SHA-512. Cu toate acestea, s-au scris deja multe despre TrueCrypt, așa că nu le vom repeta.

VeraCrypt

Cea mai mare clonă actuală a TrueCrypt. Folosim un format tradițional, dar dorim posibilitatea de a funcționa în modul TrueCrypt, care acceptă discuri virtuale criptate în format TrueCrypt. Pe un cont CipherShed, VeraCrypt poate fi instalat pe același computer cu TrueCrypt.

INFO

Devenind auto-distructiv, TrueCrypt și-a pierdut multă slăbiciune: noi fork-uri anonime, începând cu VeraCrypt, CipherShed și DiskCryptor.

TrueCrypt necesită 1000 de iterații atunci când se generează o cheie pentru a cripta partiția de sistem, în timp ce VeraCrypt necesită 327.661 de iterații. Pentru partițiile standard (non-sistem), VeraCrypt are 655.331 de iterații pentru funcția hash RIPEMD-160 și 500.000 de iterații pentru SHA-2 și Whirlpool. Acest lucru face ca partițiile criptate să fie complet rezistente la atacurile de forță brută, ceea ce reduce semnificativ productivitatea muncii cu astfel de partiții. În ce măsură vom înțelege în curând.

Principalul avantaj al VeraCrypt este codul de ieșire deschis, precum și capacitatea de a fura mai eficient din formatul TrueCrypt al discurilor virtuale și criptate. Singurul lucru care vine cu acesta este disponibilitatea suportului UEFI/GPT. Nu este posibil să criptați discul GPT de sistem, ca înainte, dar dezvoltatorii spun că lucrează la această problemă și o astfel de criptare va fi disponibilă în curând. Ei lucrează la asta deja de doi ani (din 2014), iar dacă va exista o eliberare din suportul GPT și dacă a murit, nu se știe încă.

CipherShed

O altă clonă TrueCrypt. Prin înlocuirea VeraCrypt cu formatul de ieșire TrueCrypt, veți descoperi că performanța acestuia va fi apropiată de cea a TrueCrypt.

Avantajele și dezavantajele sunt în continuare aceleași, deși poate fi dificil să instalați TrueCrypt și CipherShed pe un singur computer. Mai mult, dacă încercați să instalați CipherShed pe o mașină cu TrueCrypt instalat, programul de instalare încearcă să dezinstaleze programul anterior, dar nu reușește să facă față sarcinilor sale.

Symantec Endpoint Encryption

În 2010, Symantec a cumpărat drepturile pentru programul PGPdisk. Ca urmare, au apărut produse precum PGP Desktop și, în sfârșit, Endpoint Encryption. Să ne uităm noi înșine. Programul este, desigur, proprietar, sursele sunt închise, iar o licență costă 64 de euro. Proteina aici este suport GPT, abia începând cu Windows 8.

Cu alte cuvinte, dacă aveți nevoie de suport GPT și doriți să criptați partiția de sistem, va trebui să alegeți între două soluții proprietare: BitLocker și Endpoint Encryption. Este puțin probabil ca un utilizator casnic să instaleze Endpoint Encryption. Problema este că pentru aceasta aveți nevoie de Symantec Drive Encryption, pentru a instala orice agent și server necesar aveți nevoie de Symantec Endpoint Encryption (SEE), iar serverul dorește să instaleze IIS 6.0. Nu există multe bune pentru un program de criptare a discului? Am trecut prin multe pentru a ne încetini productivitatea.

Momentul adevarului

Ei bine, să începem până la sfârșit, înainte de testare. Mai întâi trebuie să verificăm performanța discului fără criptare. „Victima” noastră va fi un hard disk (primar, nu SSD) de 28 GB, formatat ca NTFS.

Deschideți CrystalDiskMark, selectați numărul de treceri, dimensiunea fișierului orar (pentru toate testele vom folosi 1 GB) și discul în sine. Varto subliniază că numărul de treceri practic nu afectează rezultatele. Prima captură de ecran arată rezultatele productivității discului fără criptare cu un număr de treceri de 5, pe de altă parte - cu un număr de treceri de 3. De fapt, rezultatele sunt practic identice cu cele obținute cu trei treceri.

Rezultatele CrystalDiskMark trebuie interpretate după cum urmează:

• Seq Q32T1 - test de scriere secvenţială/citire secvenţială, număr de cuvinte - 32, fire - 1;
• 4K Q32T1 - test dublu de scriere/citire burst (dimensiune bloc 4 KB, număr de carduri - 32, fire - 1);
• Seq - test de scriere secvenţială/citire secvenţială;
• 4K - test dublu de scriere / dublu citire (dimensiune bloc 4 KB);

Să terminăm cu BitLocker. Au fost cheltuite 19 monede pentru a cripta o partiție de 28 GB.

Extinderea statisticilor nu mai este disponibilă pentru plătitori anticipați

Opțiunea 1. Efectuați o plată în avans către „Hacker” pentru a citi toate articolele de pe site

Abonamentul vă permite să citiți TOATE materialele plătite de pe site, inclusiv acest articol, folosind termenul desemnat. Acceptăm plăți cu carduri bancare, monedă electronică și transferuri de la operatorii de telefonie mobilă.

Capacitatea de a menține confidențialitatea și securitatea unui computer este în întregime determinată de natura datelor care sunt stocate pe computer. Unul din dreapta este locul în care computerul servește ca o stație importantă și, pe lângă o mulțime de jucării și un folder cu fotografii ale unei pisici blănite, nu există nimic și nimic altceva - la fel cum există date pe hard disk, care este comercial.nimic care poate fi de interes pentru concurenți.

Primul „cordon de apărare” este parola pentru a intra în sistem, care este necesară atunci când computerul este pornit.

Următorul pas în protecție este drepturile de acces la nivelul sistemului de fișiere. Un utilizator care nu are privilegiile necesare va refuza permisiunea atunci când încearcă să refuze accesul la fișiere.

Cu toate acestea, metodele descrise acoperă o parte a situației. Sunt enervant să lucrezi cu ele pe același sistem de operare și pot fi ocolite cu ușurință dacă nu ai suficient timp și acces fizic la computer (de exemplu, folosind o unitate flash USB poți reseta parola administrativă sau schimba fișierele și permis). Încă o dată, securitatea și confidențialitatea datelor pot fi eliminate fără utilizarea criptografiei și a fiabilității acesteia. Mai jos vom analiza două modalități de astfel de protecție.

Prima modalitate, care se vede astăzi, este introducerea unui cripto-asistent de la Microsoft. Criptarea, numită BitLocker, a apărut pentru prima dată în Windows 8. Asigurați-vă că ați securizat folderul, altfel fișierul nu va fi vizibil, nu va fi accesibil decât dacă întreaga unitate este criptată. Din acest punct vine faptul că nu este posibilă criptarea discului de sistem (sistemul nu poate fi criptat) și, de asemenea, nu este posibilă salvarea datelor importante în bibliotecile de sistem, cum ar fi „Documentele mele” (se presupune că trebuie să fie localizat). pe partiția de sistem).
Pentru a ascunde criptarea, tastați aceasta:

DiskCryptor

Un alt utilitar criptografic care este considerat astăzi este DiskCryptor - o soluție sigură cu un cod sursă deschis. Pentru a-l învinge, urmați aceste instrucțiuni:

Cel mai mare avantaj al acestui utilitar, în comparație cu mecanismul BitLocker, este că poate fi folosit pe sisteme care au fost lansate înainte de Windows 8 (probabil eliminate din suportul Windows XP). Ale DiskCryptor are o serie de dezavantaje:

• Nu există modalități de a reînnoi accesul la informații criptate (dacă ți-ai uitat parola, ești garantat că ți-ai pierdut datele);
• Nu este posibilă deblocarea cardurilor inteligente sau a senzorilor biometrici fără a debloca parola;
• Poate cel mai mare dezavantaj al DiskCryptor este că un atacator cu acces administrativ la sistem poate formata discul folosind metode standard. Deci, accesul la date nu este refuzat, decât dacă le cheltuiți.

Pe scurt, pot spune că dacă sistemul de operare este instalat pe computer începând cu Windows 8, atunci este mai bine să utilizați funcționalitatea necesară.

Această documentație a fost mutată în arhivă și nu mai este acceptată.

Informații secrete despre criptarea discului BitLocker

Aplicație: Windows Server 2008, Windows Server 2008 R2, Windows Vista

BitLocker Drive Encryption, o caracteristică de securitate a datelor, este disponibilă în Windows Server 2008 R2 și edițiile actuale ale Windows 7. Integrarea BitLocker în sistemul de operare contracarează amenințările de furt sau scurgere de date, cum ar fi pierderea, furtul sau utilizarea necorespunzătoare a datelor. scris.

Datele de pe un computer pierdut sau furat sunt scurse pentru acces neautorizat, care este determinat fie prin utilizarea de software rău intenționat, fie prin conectarea hard disk-ului computerului la un alt computer. Criptarea BitLocker ajută la prevenirea accesului neautorizat la date, asigurând protecția fișierelor din sistem. Criptarea BitLocker ajută, de asemenea, să prevină dezafectarea sau reutilizarea datelor folosind criptarea BitLocker.

Criptarea BitLocker oferă securitate maximă atunci când este utilizată cu Trusted Platform Module (TPM) versiunea 1.2. Modulul TPM este o componentă hardware care este instalată în multe computere moderne de către producătorii acestora. Acest lucru funcționează simultan cu criptarea BitLocker, care ajută la furtul datelor clientului și asigură că computerul nu este manipulat până când sistemul este compromis.

Pe computerele fără Trusted Platform Module versiunea 1.2 instalată, criptarea BitLocker poate fi utilizată pentru a cripta unitatea sistemului de operare Windows. Pentru a realiza acest lucru, va trebui să introduceți o cheie de pornire USB în computer pentru a porni computerul sau a-l trezi din modul de repaus și nu se va asigura că integritatea sistemului este verificată înainte de pornire, ceea ce permite criptarea BitLocker să fie de încredere.modul platformei.

Pe lângă modulul Trusted Platform, criptarea BitLocker face posibilă blocarea procesului inițial de pornire, astfel încât utilizatorul să nu introducă un număr personal de identificare (PIN) sau să nu introducă un dispozitiv semnificativ, cum ar fi un dispozitiv de memorie flash USB, deci Înlocuiți cheia de pornire. Aceste autentificări suplimentare de securitate oferă autentificare cu factor bogat și o garanție că computerul nu va fi pornit sau pus în modul de hibernare până când nu este dat PIN-ul corect sau cheia de pornire.

Verificarea integrității sistemului

Criptarea BitLocker poate folosi modulul de încredere al platformei pentru a verifica integritatea componentelor de securitate și a datelor de configurare a securității. Acest lucru vă ajută să vă asigurați că, dacă este utilizată criptarea BitLocker, criptarea discului va fi accesibilă, atâta timp cât nicio componentă nu a fost modificată și criptarea discului este instalată pe computer.

Criptarea BitLocker ajută la asigurarea integrității procesului de pornire pentru astfel de acțiuni.

• Oferirea unei modalități de verificare a integrității fișierului rădăcină și a fișierelor care sunt corupte în stadiile incipiente ale infecției și garantarea absenței modificărilor rău intenționate în aceste fișiere, care ar putea fi cauzate, de exemplu, de virușii sectoarelor infectate sau prin mijloace de editare a componentelor invenţiei.
• Este o apărare care poate rezista atacurilor software dacă computerul este în pericol. Orice program de securitate alternativ care poate rula sistemul nu interzice accesul la cheile de criptare pentru discurile sistemului de operare Windows.
• Sistemul este blocat până când fișierul este înlocuit. Dacă oricare dintre fișierele de control este înlocuit, sistemul nu va porni. Acest lucru este pentru a spune corespondentului despre înlocuire, deoarece sistemul nu poate fi pornit în ordinea inițială. Odată ce sistemul de criptare BitLocker este blocat, există o actualizare simplă.

  Vimoga la proprietate, microprogram și securitate software

  Pentru BitLocker, computerul este vinovat că a suferit atacuri rău intenționate.

  • Pentru ca criptarea BitLocker să interfereze cu capacitatea de a verifica integritatea sistemului, care este furnizată de modulul platformei de încredere, versiunea de modul 1.2 poate fi instalată pe computer. Dacă modulul platformei de încredere nu este instalat pe computer, atunci cu criptarea BitLocker îmbunătățită trebuie să salvați cheia de pornire pe un dispozitiv sensibil, cum ar fi o memorie flash USB.
  • Un computer cu un modul TPM poate avea, de asemenea, instalat un BIOS care îndeplinește specificațiile Trusted Computing Group (TCG). BIOS-ul creează un comutator de încredere pentru funcționare înainte de a schimba sistemul de operare și poate activa suportul pentru obiectul rădăcină static al nivelului de încredere virtual desemnat de TCG. Pentru un computer fără modul TPM, versiunea BIOS nu are nevoie de specificații TCG.
  • BIOS-ul sistemului (pentru computere cu sau fără un modul de platformă de încredere) trebuie să impună clasa de memorie USB, inclusiv citirea fișierelor mici de pe unitatea flash USB în mijloc înainte de pornirea sistemului de operare. Pentru a vizualiza informații suplimentare despre USB, div. Consultați specificațiile dispozitivului de stocare USB și comenzile dispozitivului de stocare USB pe site-ul web USB (http://go.microsoft.com/fwlink/?LinkId=83120).
  • Hard disk-ul poate fi divizat în două discuri.
    • Discul sistemului de operare (sau discul de rezervă) conține sistemul de operare și fișierele necesare funcționării acestuia datorită formatării în sistemul de fișiere NTFS.
    • Discul de sistem conține fișiere necesare pentru instalarea Windows după ce BIOS-ul instalează platforma. Pentru această unitate, criptarea BitLocker nu funcționează. Pentru criptarea BitLocker, unitatea de sistem nu este supusă criptării, nu este afectată de volumul sistemului de operare și nu este supusă formatării în sistemul de fișiere NTFS. Capacitatea discului de sistem nu este mai mică de 1,5 gigaocteți (GB).

  Instalare și inițializare

  Criptarea BitLocker este instalată automat ca parte a instalării sistemului de operare. Dacă criptarea BitLocker nu este disponibilă, dock-ul nu va fi activat pentru configurarea suplimentară a BitLocker, care poate fi lansată fie din panoul Server, fie făcând clic pe disc cu butonul drept al mouse-ului în Explorer.

  La un moment dat, după ce sistemul de operare este instalat și configurat, administratorul poate folosi BitLocker Configuration Master pentru a inițializa criptarea BitLocker. Procesul de inițializare constă din două etape:

  1. Pe computerele cu un modul Trusted Platform, inițializați restul, vikoryst, Trusted Platform Module Installation Wizard, o componentă a panoului Windows Criptarea unității BitLocker, sau după ce a creat scriptul, scopurile inițializării modulului.
  2. Configurați criptarea BitLocker. Deschideți Expertul de configurare a criptării BitLocker din tabloul de bord, care vă va ghida prin procesul de configurare și vă va permite să personalizați parametrii de autentificare suplimentari.

  Când criptarea BitLocker este inițializată, administratorul local trebuie să creeze și parola și cheia de actualizare actualizate. Fără o parolă de reînnoire sau o cheie de reînnoire, toate datele de pe unitatea criptată pot deveni inaccesibile dacă există o problemă cu unitatea criptată de BitLocker.

  Rapoarte despre configurarea și dezvoltarea criptării BitLocker. la pokrokovuyu pos_bnik cu criptare disc Windows BitLocker (http://go.microsoft.com/fwlink/?LinkID=140225).

  Implementare corporativă

  Criptarea BitLocker poate folosi infrastructura nativă Active Directory Domain Services (AD DS) a unei organizații pentru a stoca cheile de actualizare de la distanță. Criptarea BitLocker oferă un master pentru configurare și întreținere, precum și capacitatea de a extinde și de a întreține interfața suplimentară WMI cu scripturi acceptate. În plus, criptarea BitLocker oferă o actualizare a consolei, care este încorporată în procesul de achiziție, pentru a permite utilizatorilor sau personalului de asistență să actualizeze accesul la un computer blocat.

  Pentru a vedea informații suplimentare despre scrierea scripturilor pentru criptarea BitLocker, div. Win32_EncryptableVolume (http://go.microsoft.com/fwlink/?LinkId=85983).

  Calculator dezafectat și reutilizat

  Abstract

  Când te-ai săturat să te gândești, memoria DRAM, care este folosită în majoritatea computerelor moderne, salvează date după pornirea vieții pentru câteva secunde sau chiar mai mult și, în același timp, rămâne în cameră. Această temperatură determină și timpul la care microcircuite sunt scoase de pe placa de baza. Cât timp este suficient pentru a face o descărcare permanentă a RAM? Vom arăta că acest fenomen permite unui atacator care are acces fizic la sistem să ocolească funcțiile OS fără să cunoască cheile criptografice. Vă vom arăta cum se poate face re-angajarea pentru a efectua atacuri cu succes asupra sistemelor de criptare a hard diskului, nu asupra dispozitivelor sau materialelor specializate. Vom demonstra experimental semnificația și eficacitatea economisirii magnetizării în exces și vom arăta că ora în care pot fi preluate datele poate fi mărită semnificativ folosind tehnici simple. De asemenea, vor fi dezvoltate noi metode pentru găsirea cheilor criptografice în depozitele de memorie și corectarea erorilor asociate cu biții irositi. Vor exista, de asemenea, o serie de moduri de a schimba aceste riscuri, dar nu știm despre o soluție simplă.

  introduce

  Majoritatea experților sunt de acord că datele din memoria RAM a computerului sunt șterse aproape imediat după ce viața este oprită sau ei cred că excesul de date este extrem de dificil de obținut fără a fi nevoie de echipamente speciale. Vom arăta că această presupunere este incorectă. Memoria DRAM primară consumă date în mod incremental pe o perioadă de câteva secunde, de obicei la temperaturi extreme, iar dacă cipul de memorie este scos de pe placa de bază, acesta este stocat în ea pentru o perioadă lungă de timp sau mai mult. Este bine să protejăm siguranța microcircuitelor la temperaturi scăzute. Datele în exces pot fi actualizate folosind metode simple care necesită acces fizic pe termen scurt la computer.

  Vom demonstra o serie de atacuri care exploatează efectele magnetizării DRAM excesive, permițându-ne să reînnoim cheile de criptare care sunt stocate în memorie. Aceasta este o amenințare reală pentru laptopurile de computer care se bazează pe sisteme de criptare a hard diskului. Dacă un atacator fură un laptop, dacă conexiunile la disc sunt criptate, poți efectua unul dintre atacurile noastre pentru a avea acces la locul, blocând laptopul în sine sau fiind în modul de repaus. Am demonstrat atacuri de succes asupra unui număr de sisteme de criptare populare, cum ar fi BitLocker, TrueCrypt și FileVault. Aceste atacuri pot avea mai mult succes decât alte sisteme de criptare.

  Deși ne-am concentrat eforturile asupra sistemelor de criptare a hard diskului, dacă există acces fizic la computerul atacatorului, orice informație importantă stocată în RAM poate deveni o țintă pentru atac. Desigur, există o mulțime de alte sisteme de siguranță pentru scurgeri. De exemplu, am descoperit că Mac OS X elimină parolele din înregistrările de stocare în cloud; supravegherea noastră a putut să le expună și, de asemenea, am lansat atacuri asupra recuperării cheilor private RSA ale serverului web Apache.

  Reprezentanții departamentului de securitate a informațiilor și fizicienii conductorilor știau deja despre efectul magnetizării excesive a DRAM, dar existau foarte puține informații despre acesta. Drept urmare, mulți dintre cei care proiectează, demontează sau distrug sistemele de securitate pur și simplu nu sunt conștienți de acest fenomen și de cât de ușor pot deveni rău intenționați. Din câte știm, acesta este primul raport al robotului care se bazează pe moștenirea acestor aplicații de securitate a informațiilor.

  Atacurile asupra unităților criptate

  Criptarea hard disk-urilor este o modalitate excelentă de a vă proteja împotriva furtului de date. Majorității oamenilor le pasă că sistemele de criptare a hard diskului permit furtul datelor lor, deoarece atacatorul a refuzat accesul fizic la computer (din ce motiv și nevoie, nota editorului). Legea din California, adoptată în 2002, cere notificarea posibilelor situații în care datele personale pot fi compromise, chiar dacă datele sunt criptate deoarece Este important să rețineți că criptarea datelor este o abordare suficient de proastă. Deși legea nu descrie soluții tehnice specifice, mulți experți recomandă utilizarea sistemelor de criptare pentru hard disk-uri sau partiții care necesită protecție suficientă. Rezultatele investigației noastre au arătat că criptarea discului nu este sigură. Un atacator care este departe de a fi înalt calificat poate ocoli multe sisteme de criptare utilizate pe scară largă, cum ar fi un laptop cu date furate, în timp ce este pornit sau în modul de repaus. Iar datele de pe laptop pot fi citite doar dacă se află pe un disc criptat, astfel încât sistemele de criptare hard disk nu sunt suficiente.

  Am documentat mai multe tipuri de atacuri asupra sistemelor de criptare a hard diskului. A durat mai mult de o oră pentru a instala discurile criptate și a verifica corectitudinea cheilor de criptare. Recuperarea unei imagini a memoriei operative și căutarea cheilor a luat doar o cantitate mică de muncă și a fost complet automatizată. Rețineți că majoritatea sistemelor de criptare a hard diskului sunt susceptibile la astfel de atacuri.

  BitLocker

  BitLocker este un sistem care poate fi utilizat pe toate versiunile de Windows Vista. Funcționează ca un driver care operează între sistemul de fișiere și driverul de hard disk, criptând și decriptând sectoarele selectate. Cheile care sunt criptate pentru criptare rămân în RAM până când unitatea este montată.

  Pentru a cripta un sector al unui hard disk, BitLocker folosește aceeași pereche de chei creată de algoritmul AES: cheia de criptare a sectorului și cheia de criptare pe care o operează în modul Cipher Block Chaining (CBC). Aceste două chei, în felul lor, sunt criptate cu o cheie principală. Pentru a cripta sectorul, se efectuează o procedură de adăugare dublu a textului simplu cu cheia de sesiune pentru a cripta octetul de compensare a sectorului cu cheia de criptare a sectorului. Apoi, datele sunt extrase cu două funcții care se amestecă, ca urmare a dezvoltării algoritmului Microsoft Elephant. Aceste funcții fără cheie sunt folosite pentru a crește numărul de modificări la toți biții de criptare și, evident, pentru a crește nesemnificația datelor sectorului criptat. În ultima etapă, datele sunt criptate folosind algoritmul AES în modul CBC, folosind o cheie de criptare privată. Vectorul de inițializare este indicat prin modul în care octetul sectorului alocat este criptat cu cheia de criptare, care este analizată în modul CBC.

  Am implementat un atac demonstrativ complet automat numit BitUnlocker. În acest caz, veți avea nevoie de o unitate USB externă care rulează sistemul de operare Linux și o versiune modificată bazată pe SYSLINUX și un driver FUSE, care vă permite să conectați unități criptate BitLocker la sistemul de operare Linux. Pe un computer de testare care rulează Windows Vista, viața a fost activată prin conectarea unui hard disk USB și accesul a fost pornit de la acesta. După aceea, BitUnlocker a aruncat automat memoria RAM pe discul extern, a folosit programul suplimentar de căutare a cheilor pentru a căuta posibile chei, a încercat toate opțiunile diferite (perechi de cheie de criptare a sectorului și cheia pentru modul CBC) și mult succes la conectarea unitate de criptare. De îndată ce discul a fost conectat, a devenit posibil să-l tratezi ca și cum ar fi orice alt disc. Pe un laptop actual cu 2 gigaocteți de memorie RAM, procesul a durat aproximativ 25 de minute.

  Este de remarcat faptul că acest atac poate fi acum efectuat fără inginerie inversă a oricărui tip de software. Documentația Microsoft descrie sistemul BitLocker suficient de detaliat pentru a înțelege rolul cheii de criptare a sectorului și al cheii în modul CBC și pentru a crea propriile programe care implementează întregul proces.

  Principalul avantaj al BitLocker față de alte programe este modul său de a salva cheile atunci când o unitate criptată este pornită. În modul său de bază, BitLocker fură doar cheia principală din spatele modulului TPM suplimentar care rulează pe majoritatea computerelor moderne. Această metodă, care este probabil să fie utilizată pe scară largă, mai ales înainte de atacul nostru, vă permite să recuperați cheile de criptare dacă computerul a fost dezactivat o perioadă lungă de timp, fragmentele, dacă computerul este criptat, cheile sunt recuperate automat se plâng de memorie operativă (apare până la o fereastră de autentificare) fără a introduce date de autentificare.

  Evident, reprezentanții Microsoft sunt conștienți de această problemă și, prin urmare, recomandă configurarea BitLocker într-un mod redus, în care funcționează protecția cheii, nu numai folosind TPM-ul, ci și o parolă sau o cheie pe o unitate USB externă. Ei bine, în acest mod, există un sistem de infuzie, deoarece atacatorul interzice accesul fizic la PC în momentul în care acesta funcționează (poate fi blocat sau în modul de hibernare, (deveniți pur și simplu dezactivat sau hibernați, caz în care nu faceți) t care) Cu date atatsi).

  FileVault

  Sistemul FileVault de la Apple a fost monitorizat pe larg și proiectat invers. Mac OS X 10.4 FileVault vikorista cheie AES pe 128 de biți în modul CBC. Când introduceți parola clientului, antetul este decriptat pentru a plasa cheia AES și o altă cheie K2, care este folosită pentru a decomprima vectorii de inițializare. Vectorul de inițializare pentru primul bloc de disc este definit ca HMAC-SHA1 K2(I).

  Am folosit programul nostru de captură de imagini RAM EFI pentru a extrage date de pe un computer Mac (care se bazează pe un procesor Intel) cu o unitate conectată criptată de FileVault. După aceasta, programul keyfind a găsit automat cheile AES FileVault.

  Fără vectorul de inițializare și cu o cheie AES decriptată, este posibil să decriptați 4080 din cei 4096 de octeți ai fiecărui bloc de disc (toți cu excepția primului bloc AES). Am descoperit că vectorul de inițializare este și el localizat în dump. Presupunând că datele nu eșuează, atacatorul poate determina vectorul încercând toate rândurile de 160 de biți din dump și verificând, ceea ce poate crea un posibil text clar atunci când sunt atașate binare cu decriptare prima parte a blocului. În același timp, utilizarea programelor precum vilefault, cheile AES și vectorul de inițializare vă permit să decriptați complet discul de criptare.

  În timpul investigației FileVault, am descoperit că Mac OS X 10.4 și 10.5 au împiedicat stocarea în memorie a mai multor copii ale parolei utilizatorului, ceea ce a dus la acest atac. Parolele conturilor de cloud sunt adesea victorioase pentru a proteja cheile, care la rândul lor pot fi victorioase pentru a proteja frazele de acces ale unităților criptate FileVault.

  TrueCrypt

  TrueCrypt este un sistem popular de criptare low-key care funcționează pe Windows, MacOS și Linux. Acceptă algoritmi anonimi, inclusiv AES, Serpent și Twofish. În a 4-a versiune, toți algoritmii au funcționat ca LRW; Pentru a 5-a versiune actuală, va trebui să utilizați modul XTS. TrueCrypt salvează cheia de criptare și schimbă cheia din antetul partiției de pe disc, care este criptată cu o cheie diferită pentru a înlocui parola introdusă de utilizator.

  Am testat TrueCrypt 4.3a și 5.0a, care rulează sub sistemul de operare Linux. Am conectat discul, l-am criptat cu o cheie AES suplimentară de 256 de biți, apoi am pornit live-ul și am vikorizat pentru a descărca Vlasne PZ pentru o descărcare de memorie. În ambele cazuri, keyfind a dezvăluit o cheie de criptare necoruptă de 256 de biți. Deci, în TrueCrypt 5.0.a, keyfind ar putea actualiza cheia în modul XTS.

  Pentru a decripta discurile create cu TrueCrypt 4, trebuie să modificați cheia pentru modul LRW. Am descoperit că sistemul salvează câteva cuvinte înainte de aspectul tastei AES. Cheia noastră de gunoi, LRW nu are probleme. (Dacă am fi avut milă, toți am fi putut reînnoi cheia).

  Dm-cripta

  Nucleul Linux, începând cu versiunea 2.6, include suport încorporat pentru dm-crypt - un subsistem de criptare a discului. Dm-crypt este un cifr AES proprietar pe 128 de biți în modul CBC cu vectori de inițializare creați nu pe baza informațiilor cheie.

  Am testat creațiile secțiunii dm-crypt, instrumentul LUKS (Linux Unified Key Setup) și kernelul 2.6.20. Criptarea discului pentru AES sau CBC suplimentar. Am activat în mod necorespunzător modificările Life, Vikorista și PXE, am creat o descărcare de memorie. Programul keyfind a dezvăluit o cheie AES corectă de 128 de biți, care a fost actualizată fără nicio modificare. Odată actualizat, atacatorul poate decripta și activa secțiunea de criptare dm-crypt, modificând utilitarul cryptsetup astfel încât să primească cheile în formatul necesar.

  Metode de protecție și schimb

  Implementarea protecției împotriva atacurilor asupra RAM nu este banală; fragmentele de chei criptografice care sunt compromise trebuie salvate. Ne propunem să ne concentrăm eforturile asupra cheilor scăzute sau furate înainte ca atacatorul să poată refuza accesul fizic la PC, rulând software-ul pentru a descărca memoria RAM, protejând fizic cipurile RAM și, dacă este posibil, reducând termenul pentru salvarea datelor în OZP. .

  Suprascrierea memoriei

  În primul rând, trebuie să salvăm cheile în RAM dacă este posibil. Este necesar să suprascrieți informațiile cheie astfel încât să nu mai fie utilizate și să faceți o copie a datelor din fișierul de swap. Memoria trebuie ștearsă ulterior de sistemul de operare sau de biblioteci suplimentare. Desigur, dacă nu furați cheile care sunt corupte în acest moment, fragmente ale vinovatului vor fi stocate în memorie, de exemplu, chei precum cele care sunt corupte pentru criptarea discurilor sau pe serverele web furate.

  De asemenea, memoria RAM trebuie curățată în timpul procesului de stocare. PC-urile pot fi configurate astfel încât să curețe memoria RAM utilizând comanda de curățare POST (Power-on Self-Test) înainte de a rula sistemul de operare. Dacă atacatorul nu poate ocoli parola computerului dvs., atunci pe acest computer nu veți putea crea un dump de memorie cu informații importante. Cu toate acestea, el încă nu are capacitatea de a elimina cipurile RAM și de a le introduce într-un alt PC cu setările BIOS necesare.

  Schimb de interes din marje sau din nasuri semnificative

  Majoritatea atacurilor noastre au fost efectuate datorită influenței inamicului în perioada sau iarna. PC-ul trebuie configurat astfel încât să puteți obține parola de administrator pentru a accesa aceste conturi. Cu toate acestea, este necesar să se țină cont de faptul că sistemul este configurat să capteze doar hard disk-ul principal, atacatorul poate schimba singur hard disk-ul sau, în unele cazuri, poate elimina NVRAM-ul computerului pentru a începe configurarea BIOS-ului de la început. .

  Modul de repaus sigur

  Rezultatele investigației au arătat că simpla blocare a desktop-ului unui PC (pentru ca sistemul de operare să continue să ruleze, dar pentru a începe să interacționeze cu acesta necesită introducerea unei parole) nu protejează RAM. Modul de repaus nu este eficient deoarece computerul este blocat atunci când este revenit din modul de repaus, astfel încât atacatorul îl poate activa din modul de repaus, după care repornește laptopul și creează un dump de memorie. Modul hibernare (în loc de RAM este copiată pe hard disk) nu va ajuta, cu excepția extragerii informațiilor cheie de pe dispozitivele care sunt utilizate, pentru a restabili funcționarea normală.

  Cu majoritatea sistemelor de criptare a hard diskului, utilizatorii de computere pot avea PC-urile compromise. (Sistemul Bitlocker în modul de funcționare de bază al modulului TPM este lipsit de scurgere, deoarece discul va fi conectat automat când computerul este oprit). În loc să economisiți memorie pentru o perioadă scurtă de timp după oprire, se recomandă să aveți grijă de stația de lucru pentru câteva minute. Indiferent de eficacitatea sa, această abordare este extrem de importantă în legătură cu atracțiile tulburătoare ale stațiilor de lucru.

  Trecerea în modul de repaus poate fi asigurată în următoarele moduri: extrageți o parolă sau alt secret pentru a „trezi” stația de lucru și criptați memoria cu o cheie similară acestei parole. Parola poate fi puternică, astfel încât un atacator poate face o descărcare de memorie și apoi poate încerca să găsească parola prin forță brută. Deoarece criptarea întregii memorie nu este posibilă, este necesar să se cripteze numai acele zone care conțin informații cheie. Orice sistem poate fi reglat în așa fel încât să treacă la acest tip de mod de repaus protejat, fără a cauza probleme.

  Vidmova din calculele de front

  Cercetările noastre au arătat că utilizarea calculelor forward pentru a accelera operațiunile criptografice permite ca informațiile cheie să fie partajate mai eficient. Calculele directe duc la faptul că în memorie apar informații suplimentare despre datele cheii, ceea ce permite atacatorului să reînnoiască cheile în același timp. De exemplu, așa cum este descris în Secțiunea 5, informațiile despre cheile iterative ale algoritmilor AES și DES sunt extrem de valoroase și valoroase pentru atacator.

  Având în vedere calculele anterioare, productivitatea va fi redusă, iar calculele rămase potențial complexe vor trebui repetate. Cu toate acestea, de exemplu, puteți stoca în cache valorile stocate pentru o anumită perioadă de timp și puteți șterge datele, astfel încât acestea să nu dispară în această perioadă. Această abordare reprezintă un compromis între securitatea și productivitatea sistemului.

  Extindere cheie

  O altă modalitate de a menține cheile actualizate este prin modificarea informațiilor cheie care sunt stocate în memorie, astfel încât să fie mai ușoară actualizarea cheii prin diferite modificări. Această metodă a fost discutată în teorie, unde s-a arătat o funcție care este deschisă până când este deschisă, ale cărei intrări se pierd, ceea ce înseamnă că practic toate ieșirile sunt dezvăluite, ceea ce este foarte asemănător cu funcționarea funcțiilor cu o singură direcție.

  În practică, este clar că avem o cheie AES K pe 256 de biți, care nu este utilizată în prezent, dar va fi necesară mai târziu. Nu îl putem reînregistra, dar vrem să-l stabilim până când încercăm actualizarea. O modalitate de a realiza acest lucru este să vedeți o zonă mare de date B-bit, să o umpleți cu date de subdiviziune R și apoi să stocați în memorie rezultatul conversiei incrementale K+H(R) (rezumat cu doi, nota editorului) , unde H – Această funcție hash este, de exemplu, SHA-256.

  Acum este clar că sistemul electric a fost avariat, ceea ce va duce la faptul că totul în această zonă va fi schimbat. Deoarece funcția hash este stabilă, atunci când încearcă să actualizeze cheia K, atacatorul poate investi doar în cei care pot ghici care zone B s-au schimbat, dintre care aproximativ jumătate s-ar fi putut schimba. Dacă d biți au fost modificați, atacatorul va trebui să caute o zonă de dimensiune (B/2+d)/d pentru a găsi valorile corecte ale lui R și apoi să actualizeze cheia K. Dacă zona B este mare, o astfel de căutare poate fi mai lungă, dar este clar mic

  Teoretic, cu această metodă putem salva toate cheile, cheile de asigurare și cheile de care nu avem nevoie și altele de care nu avem nevoie. În acest fel, folosind aceeași metodă de descrieri, putem salva cheile în memorie.

  Apărător fizic

  Atacurile noastre s-au bazat pe prezența accesului fizic la cipurile de memorie. Astfel de atacuri pot învinge protecția memoriei fizice. De exemplu, modulele de memorie sunt amplasate într-o carcasă închisă pentru PC sau sigilate cu adeziv epoxidic pentru a preveni încercările de a le îndepărta sau de a accesa. Deci, este posibil să ștergeți memoria ca reacție la temperaturi scăzute sau să încercați să deschideți carcasa. Această metodă va necesita instalarea de senzori dintr-un sistem de viață independent. Multe dintre aceste metode sunt asociate cu echipamente care au fost furate prin livrare neautorizată (de exemplu, un procesor IBM 4758) și pot crește foarte mult performanța unei stații de lucru. Pe de altă parte, memoria lipită pe placa de bază va fi mult mai ieftină.

  Schimbarea arhitecturii

  Puteți schimba arhitectura computerului dvs. Este imposibil ca un PC să fie deja victorios, dar apoi vă permite să îl asigurați pe cel nou.

  Prima abordare este de a proiecta module DRAM în așa fel încât acestea să ștergă rapid toate datele. S-ar putea să nu fie ușor, deoarece datele au fost șterse, să urmăriți alte date, astfel încât datele să nu dispară între perioadele de actualizare a memoriei.

  O altă abordare constă în echipamentul adăugat pentru stocarea informațiilor cheie, astfel încât să se asigure că toate informațiile sunt stocate de pe dispozitivele sale în timpul pornirii, repornirii și opririi. Astfel, găsim un loc de încredere pentru a salva mai multe chei, deși deversarea este asociată cu pierderea plăților la termen.

  Alți experți au propus o arhitectură în care memoria este criptată permanent. Dacă, în plus, este posibilă ștergerea cheilor atunci când echipamentul electric este rechetat și deconectat, atunci aceasta este o modalitate de a asigura o protecție suficientă împotriva atacurilor pe care le descriem.

  Încrederea plății

  Echipamentele care acceptă conceptul de „computing de încredere”, de exemplu, cum ar fi modulele TPM, sunt deja folosite în multe PC-uri. Indiferent de utilitatea ei în apărarea împotriva unor astfel de atacuri, în forma sa cea mai joasă o astfel de posesie nu ajută la înfrângerea atacurilor pe care le descriem.

  Modulele TPM nu implementează criptarea externă. Duhoarea de duhoare păzește procesul de achiziție pentru a lua o decizie cu privire la cei care pot achiziționa în siguranță cheia din RAM. Dacă software-ul trebuie să recupereze cheia, atunci se poate implementa următoarea tehnologie: cheia, în forma sa originală, nu este stocată în RAM până când procesul de achiziție trece prin script. Dacă doar cheia este stocată în RAM, aceasta va deveni imediat o țintă pentru atacurile noastre. Modulele TPM pot salva cheia stocată în memorie, dar nu împiedică citirea acesteia din memorie.

  Visnovki

  Conform credinței populare, modulele DRAM atunci când sunt pornite salvează date pentru o lungă perioadă de timp. Experimentele noastre au arătat că acest fenomen vă permite să implementați o întreagă clasă de atacuri care vă permit să recuperați date importante, cum ar fi cheile de criptare din RAM, indiferent de încercările sistemului de operare de a le fura. Atacurile pe care le descriem sunt implementate într-o manieră practică, iar exemplele noastre de atacuri asupra sistemelor de criptare populare le duc la bun sfârșit.

  Alte tipuri de PZ sunt, de asemenea, dăunătoare. Sistemele de gestionare a drepturilor digitale (DRM) folosesc adesea chei simetrice care sunt stocate în memorie și pot fi preluate folosind următoarele metode. După cum am arătat, serverele web cu suport SSL scurg de asemenea și stochează chei private în memorie, care sunt necesare pentru crearea sesiunilor SSL. Metodele noastre de găsire a informațiilor cheie vor fi, mai presus de toate, eficiente pentru găsirea parolelor, numerelor de cont și a oricăror alte informații importante care sunt stocate în OCP.

  Se pare că nu există o modalitate ușoară de a elimina scurgerea găsită. Schimbarea PZ nu va fi eficientă pentru toate; Schimbările hardware vor ajuta, altfel timpul și costurile cu resursele vor fi mari; Tehnologia „enumerării de încredere” în forma sa actuală este atât de ineficientă încât este imposibil să furi cheile care se află în memorie.

  În opinia noastră, cel mai mare risc se află în cele mai vulnerabile laptopuri, care sunt adesea găsite și funcționează în moduri susceptibile la aceste atacuri. Prezența unor astfel de riscuri arată că criptarea discului are potențialul de a proteja datele importante de datele mai puțin importante.

  Ca urmare, este posibil să ajungeți cu o memorie DRAM care nu este de încredere de către o componentă a computerului dvs. și nu reușește să proceseze informații confidențiale importante.