Zdalne włączanie zaszyfrowanego systemu

11

Mój system jest pełen bardzo wrażliwych danych, więc muszę zaszyfrować jak najwięcej.

Mam zaszyfrowaną instalację Debiana, która prosi o długie hasło za każdym razem podczas uruchamiania. Czy istnieje prosty sposób na skonfigurowanie go tak, aby móc wprowadzić to hasło zdalnie?

Jeśli może to zrobić inna dystrybucja, nie mam nic przeciwko instalowaniu czegoś innego zamiast Debiana.

debian remote luks użytkownik2363676
źródło
2
Jakiego rodzaju ataku się martwisz? Czy magazyn kluczy sprzętowych (w którym klucza prywatnego nie można wyodrębnić za pomocą oprogramowania, ale każdy posiadający ten sprzęt może odszyfrować zawartość) jest odpowiedni? (BTW, pamiętaj, że wiele systemów szyfrowania całego dysku odblokowuje klucz główny po ich uruchomieniu, a następnie przechowuje ten klucz w pamięci RAM - co oznacza, że ​​każdy z wystarczającymi uprawnieniami może potencjalnie skopiować ten klucz główny z odblokowanego systemu, nawet jeśli nie nigdy nie dostaniesz hasła; jest to miejsce, w którym faktyczne odszyfrowanie sprzętu może być bezpieczniejsze).
Charles Duffy
@CharlesDuffy Głównym problemem jest fizyczna kradzież serwera (lub jego dysków), więc klucz sprzętowy nie wchodzi w rachubę, ponieważ można go również ukraść. W szczególności ustawiłem hasło systemu plików z ponad 40 symbolami i hasło z katalogu głównego ponad 20 symboli (kto jest jedynym użytkownikiem w całym systemie), więc w większości przypadków powinienem być bezpieczny, prawda?
user2363676
1
Usunięte i skradzione, czy martwisz się, że osoba atakująca uzyska fizyczny dostęp, gdy sprzęt jest nadal włączony? Jeśli ktoś może podłączyć nowe urządzenia do magistrali PCI, może wykonać kopię pamięci fizycznej, aby ukraść klucz szyfrujący z działającego, odblokowanego systemu. (Nie mogą ukraść hasła użytego do zaszyfrowania klucza, ale jeśli masz sam klucz, nie ma to znaczenia).
Charles Duffy
1
Innym wektorem ataku jest modyfikacja sekwencji rozruchowej w celu wykonania kopii hasła podczas procesu odszyfrowywania / odblokowywania, restartowania komputera, a następnie czekania na zalogowanie się i odblokowanie go (w ten sposób kod dodany przez niego przechowuje kopię hasła poza pasmem) przed kradzieżą sprzętu. Czasami wymyślanie kompleksowych modeli zagrożeń (i ograniczanie ich) jest trudne. (Widzę, że madscientist159 już wskazał na tę możliwość).
Charles Duffy

Odpowiedzi:

16

Możesz to włączyć, instalując dropbear-initramfsi postępując zgodnie z instrukcjami, aby skonfigurować klucze SSH. Spowoduje to uruchomienie serwera SSH z initramfs, umożliwiając zdalne połączenie i wprowadzenie hasła szyfrowania.

Stephen Kitt
źródło
3
Należy pamiętać, że każdy, kto ma fizyczny dostęp do maszyny, może zastąpić pliki initramfs własną, złośliwą wersją, wyodrębnić klucz prywatny SSH na atak MITM i różne inne formy nieprzyjemności. Przynajmniej powinieneś patrzeć na TPM, jeśli nie na bardziej zaawansowaną technologię bezpieczeństwa, jeśli istnieje szansa na fizyczny dostęp do skrzynki przez złośliwego aktora.
madscientist159
1

Jeśli zainstalowałeś Debian na serwerze Dell lub HP - Dell ma iDrac, a HP ma ILO, oba mają wirtualne konsole internetowe, które pozwalają na interakcję z maszyną podczas uruchamiania.

bk201
źródło
Niestety moje HP jest za stare, by mieć ILO, dziękuję za sugestie.
user2363676