เปลี่ยนระบบที่เข้ารหัสไว้จากระยะไกล


11

ระบบของฉันเต็มไปด้วยข้อมูลที่ละเอียดอ่อนมากดังนั้นฉันต้องเข้ารหัสให้มากที่สุด

ฉันมีการติดตั้ง Debian เข้ารหัสซึ่งจะขอรหัสผ่านที่ยาวทุกครั้งในระหว่างการบู๊ต มีวิธีง่าย ๆ ในการตั้งค่าเพื่อให้ฉันสามารถป้อนรหัสผ่านนั้นจากระยะไกลได้หรือไม่?

หากการแจกจ่ายอื่นสามารถทำได้ฉันไม่รังเกียจที่จะติดตั้งอย่างอื่นแทน Debian


2
เวกเตอร์จู่โจมแบบไหนที่คุณเป็นห่วง ที่เก็บคีย์ฮาร์ดแวร์ (ซึ่งไม่สามารถแยกคีย์ส่วนตัวโดยซอฟต์แวร์ได้ แต่ใครก็ตามที่มีชิ้นส่วนของฮาร์ดแวร์นั้นสามารถถอดรหัสเนื้อหาของคุณ) เหมาะสมหรือไม่ (BTW โปรดทราบว่าระบบเข้ารหัสเต็มดิสก์จำนวนมากปลดล็อคคีย์หลักเมื่อคุณมีส่วนร่วมแล้วเก็บคีย์นั้นไว้ใน RAM - หมายความว่าทุกคนที่มีสิทธิ์เพียงพอสามารถคัดลอกคีย์หลักนั้นออกจากระบบที่ปลดล็อกได้แม้ว่าพวกเขาจะไม่ ไม่เคยได้รับรหัสผ่านของคุณนี่เป็นสถานที่ที่การถอดรหัสจริงเกิดขึ้นในฮาร์ดแวร์สามารถปลอดภัยยิ่งขึ้น)
Charles Duffy

@CharlesDuffy ความกังวลหลักคือเซิร์ฟเวอร์ (หรือดิสก์) ถูกขโมยทางกายภาพดังนั้นคีย์ฮาร์ดแวร์จึงไม่เป็นปัญหาเนื่องจากสามารถถูกขโมยได้เช่นกัน ฉันตั้งค่ารหัสผ่านระบบไฟล์สัญลักษณ์มากกว่า 40 ระบบและรหัสผ่านรูทสัญลักษณ์ 20+ (ใครเป็นผู้ใช้คนเดียวในระบบทั้งหมด) ดังนั้นฉันควรจะปลอดภัยในกรณีส่วนใหญ่ใช่ไหม
user2363676

1
ถูกลบออกและถูกขโมยหรือคุณกังวลเกี่ยวกับผู้โจมตีที่ได้รับการเข้าถึงทางกายภาพในขณะที่ฮาร์ดแวร์ยังคงเปิดอยู่ หากใครบางคนสามารถเสียบปลั๊กอุปกรณ์ใหม่ลงบนบัส PCI พวกเขาสามารถทำสำเนาหน่วยความจำกายภาพเพื่อให้พวกเขาสามารถขโมยคีย์เข้ารหัสจากระบบที่ทำงานอยู่และปลดล็อคได้ (พวกเขาไม่สามารถขโมยรหัสผ่านที่ใช้ในการเข้ารหัสคีย์ได้ แต่ถ้าคุณมีรหัสนั่นเป็นสิ่งที่ไม่เกี่ยวข้อง)
Charles Duffy

1
เวกเตอร์การโจมตีอีกอันสำหรับใครบางคนในการปรับเปลี่ยนลำดับการบู๊ตเพื่อทำสำเนารหัสผ่านในระหว่างกระบวนการถอดรหัส / ปลดล็อกรีบู๊ตเครื่องของคุณแล้วรอให้คุณเข้าสู่ระบบและปลดล็อคมัน ของรหัสผ่าน out-of-band) ก่อนที่จะขโมยฮาร์ดแวร์ การหาโมเดลภัยคุกคามที่ครอบคลุม (ฉันเห็น madscientist159 ชี้ให้เห็นความเป็นไปได้นั้นแล้ว)
Charles Duffy

คำตอบ:


16

คุณสามารถเปิดใช้งานสิ่งนี้ได้โดยการติดตั้งdropbear-initramfsและทำตามคำแนะนำเพื่อกำหนดค่าคีย์ SSH ของคุณ สิ่งนี้จะเริ่มต้นเซิร์ฟเวอร์ SSH จาก initramfs ช่วยให้คุณเชื่อมต่อจากระยะไกลและป้อนข้อความรหัสผ่านการเข้ารหัสของคุณ


3
โปรดทราบว่าทุกคนที่มีสิทธิ์เข้าถึงเครื่องสามารถเปลี่ยน initramfs ของคุณด้วยรุ่นที่เป็นอันตรายของพวกเขาแยกคีย์ส่วนตัว SSH ของคุณสำหรับการโจมตี MITM และความน่ารังเกียจในรูปแบบอื่น ๆ อย่างน้อยที่สุดคุณควรดูที่ TPM หากไม่ใช่เทคโนโลยีการรักษาความปลอดภัยขั้นสูงหากมีโอกาสใด ๆ ที่ผู้เล่นที่เป็นอันตรายจะเข้าใช้ช่องได้
madscientist159

1

หากคุณติดตั้ง Debian บนเซิร์ฟเวอร์ Dell หรือ HP - Dell มี iDrac และ HP มี ILO ทั้งสองนี้จะมีคอนโซลเสมือนผ่านเว็บซึ่งจะช่วยให้คุณสามารถโต้ตอบกับเครื่องในขณะทำการบูทได้


HP ของฉันเก่าเกินไปที่จะมี ILO โชคไม่ดีขอบคุณสำหรับคำแนะนำ
user2363676
โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.