Речь про то, что наоборот, не заявляется наличие аппаратного шифрования. А ведь лишняя галка в специфики делает изделие привлекательнее. Вот сейчас открыл местный каталог:
2300 позиций «не заявлено аппаратное шифрование»
460 позиций «заявлено аппаратное шифрование»
Да, данные из каталога могут отличаться от того что говорит производитель, и я не готов изучать вендоров. Но пятикратная разница?
Во многих странах введены ограничения по стойкости криптографии
В подавляющем большинстве из этих стран продаются устройства Apple и современные андроиды шифрующие накопитель по умолчанию, с тем же успехом, и ввиду ограничения стойкости криптографии их необходимо немедленно запретить. И вообще, любые современные процессоры
до массового распространения полнодискового шифрования
А оно уже массовое? Да, современные SSD имеют более чем серьезные микроконтроллеры, которые не редко умеют его аппаратно. Но ведь многие до сих пор его не заявляют, а ведь это дополнительный маркетинговый «плюс». Исходя из этого делаю вывод что там где не заявлено - его и нет
А ещё можно секрет для расшифровки LUKS передавать удаленно, и сотрудникам работающим непосредственно на железе знать его не обязательно. Ну и скрипт ребутящий комп при выдергивании флешки, находящейся под рукой…
Накопители с аппаратным шифрованием обычно генерируют «ключ для шифрования» содержимого при первом запуске/инициализации диска. Этот «ключ» никогда не покидает накопитель. Аппаратное шифрование «прозрачно» для ОС, и не отбирает процессорное время. А вот что нам дает такой подход:
1) Данные зашифрованы всегда, и «сдуть» микросхемы памяти и сдампить содержимое - занятие бессмысленное (как и замена контроллера в случае его смерти, если только вендор не решил хранить «ключ» на самих банках памяти).
2) Принципиально полнодисковое шифрование (при поддержке ОС) можно свести к следующему, мы генерируем внутри TPM/TZ «ключ_TPM» и с его помощью «шифруем ключ для шифрования» который был сгенерирован накопителем при инициализации/первом запуске диска. Ввиду того что диск уже зашифрован, и его не нужно перешифровывать - процедура займет доли секунды. Ротацию «ключа_TPM» для «ключа шифрования» можно проводить в любой момент и быстро, например при замене пароля/критерия по которому TPM начинает процедуру расшифровки.
3) Функцию Secure Erase которую вы могли видеть на SSD. (Тут я только про нормальную реализацию). Исходя из того, что наш накопитель полностью зашифрован, чтобы сделать невозможным восстановление данных - достаточно удалить ключ шифрования из контроллера SSD. Данные за долю секунды превращаются в «шум», а SSD генерирует себе новый «ключ шифроаания»
4) Аппаратное шифрование можно дополнительно рассматривать как часть системы wear leveling, для продления жизни накопителю. Но я сомневаюсь были ли подобные исследования
P.S. Написанное выше недостаточно подробно, и возможно местами не полностью корректно, но ряд плюсов я описал
P.P.S.
Скорее всего, о том, что контроллер шифрует данные на SSD в любом случае
А вот тут несколько погорячились, далеко не каждый ssd это делает.
Физически цифры «техпроцесса» отвязаны от названия, и со времен «22 нм» почти не уменьшаются. Имхо, «физически минимальный» в текущих реалиях - цифра не особо интересная.
В 2021 году IBM представили 2 нм техпроцесс, длина затвора транзистора на представленных ими картинках была 12 нм (там GAAFET, честно говоря до сих пор не понял как там считают длину затвора). Но на их картинке был столбик из трех мосфетов, высота столбика 75 нм, ширина 40 нм, шаг между слоями-транзисторами - 5 нм. По идее производство по этому (или его доработанной версии) техпроцессу должно начаться как раз в этом году
P.S. Я извиняюсь что все же на ваш вопрос ответа не дал, но вот относительно актуальные цифры
Для секретных чатов параметры g и p для DH спускается с сервера, но это не обязательно проблема и MITM может их знать, это допустимо. Конечно, если g и p выбираются в соответствии с рекомендациями
Другой вопрос что раньше проверка полученных g и p была на клиенте упрощенной.
Я тестил сам с собой на двух аккаунтах, сообщения отправлялись через официальный клиент с использованием обертки oversec, но десяток тестовых сообщений - не сказать чтобы активное использование
Можно и полнодисковое шифрование приволочь на vps. Для этого в рамдиск вшивают ssh-сервер, и при включении подключаются и вводят пароль. Можно ещё внедрить какой-нибудь tailscale или аналог, чтобы не светить ssh-сервером в открытую. Но при ОЧЕНЬ большом желании, это все ещё уязвимо по доступу к оперативной памяти, что там с внедрением шифрования оперативки - я не знаю
Решения типа Tailscale/ZeroTier не гоняют через себя трафик если можно этого избежать, а если внутри города - прямые соединения (если получится пробить nat) - будут бодрыми. Если не получится пробить nat - ваш вариант решения будет быстрее (но обычно получается). Да и в целом, поиграть детям в локалке - ваше решение более чем достаточно
Хотя тут остается риск утечки метаинформации. Но есть и аналогичные селфхост-решения
использует в своём производстве много американских продуктов
ASML не стесняется покупать патенты, целиком вместе с владельцами/разработчиками технологии, как было с американской Cymer и её источником излучения для EUV-степперов. Да и в целом, они очень активно вкладывались в разработку, скорее американских технологий среди ключевых в их степперах не так чтобы и много
Старлинк не запущен в РФ и не оказывает там услуг. Если же ты каким-то образом проволок тарелку мимо таможни, и у тебя аккаунт страны где он запущен + аддон с роумингом - то работать должно. Если, конечно, регулятор случайно проходить мимо тарелки не будет и не решит возбудиться.
Только вот для простого обхода блокировок это какой-то сложный и дорогой путь
«Местоположение» на небольшое время раньше подменялось с помощью ПК и 3uTool, но это не надолго.
Wifi можно выключить
Sim - esim от какого-нибудь европейского оператора
Ну а страна в apple ID - просто меняется, а может можно в app store просто поставить альтернативный на некоторое время. В общем нужен тест от того, кому не лень
Даже это дает ряд преимуществ, которых нет у накопителей без аппаратного шифрования
Речь про то, что наоборот, не заявляется наличие аппаратного шифрования. А ведь лишняя галка в специфики делает изделие привлекательнее. Вот сейчас открыл местный каталог:
2300 позиций «не заявлено аппаратное шифрование»
460 позиций «заявлено аппаратное шифрование»
Да, данные из каталога могут отличаться от того что говорит производитель, и я не готов изучать вендоров. Но пятикратная разница?
В подавляющем большинстве из этих стран продаются устройства Apple и современные андроиды шифрующие накопитель по умолчанию, с тем же успехом, и ввиду ограничения стойкости криптографии их необходимо немедленно запретить. И вообще, любые современные процессоры
А оно уже массовое? Да, современные SSD имеют более чем серьезные микроконтроллеры, которые не редко умеют его аппаратно. Но ведь многие до сих пор его не заявляют, а ведь это дополнительный маркетинговый «плюс». Исходя из этого делаю вывод что там где не заявлено - его и нет
А ещё можно секрет для расшифровки LUKS передавать удаленно, и сотрудникам работающим непосредственно на железе знать его не обязательно. Ну и скрипт ребутящий комп при выдергивании флешки, находящейся под рукой…
Накопители с аппаратным шифрованием обычно генерируют «ключ для шифрования» содержимого при первом запуске/инициализации диска. Этот «ключ» никогда не покидает накопитель. Аппаратное шифрование «прозрачно» для ОС, и не отбирает процессорное время. А вот что нам дает такой подход:
1) Данные зашифрованы всегда, и «сдуть» микросхемы памяти и сдампить содержимое - занятие бессмысленное (как и замена контроллера в случае его смерти, если только вендор не решил хранить «ключ» на самих банках памяти).
2) Принципиально полнодисковое шифрование (при поддержке ОС) можно свести к следующему, мы генерируем внутри TPM/TZ «ключ_TPM» и с его помощью «шифруем ключ для шифрования» который был сгенерирован накопителем при инициализации/первом запуске диска. Ввиду того что диск уже зашифрован, и его не нужно перешифровывать - процедура займет доли секунды. Ротацию «ключа_TPM» для «ключа шифрования» можно проводить в любой момент и быстро, например при замене пароля/критерия по которому TPM начинает процедуру расшифровки.
3) Функцию Secure Erase которую вы могли видеть на SSD. (Тут я только про нормальную реализацию). Исходя из того, что наш накопитель полностью зашифрован, чтобы сделать невозможным восстановление данных - достаточно удалить ключ шифрования из контроллера SSD. Данные за долю секунды превращаются в «шум», а SSD генерирует себе новый «ключ шифроаания»
4) Аппаратное шифрование можно дополнительно рассматривать как часть системы wear leveling, для продления жизни накопителю. Но я сомневаюсь были ли подобные исследования
P.S. Написанное выше недостаточно подробно, и возможно местами не полностью корректно, но ряд плюсов я описал
P.P.S.
А вот тут несколько погорячились, далеко не каждый ssd это делает.
Физически цифры «техпроцесса» отвязаны от названия, и со времен «22 нм» почти не уменьшаются. Имхо, «физически минимальный» в текущих реалиях - цифра не особо интересная.
В 2021 году IBM представили 2 нм техпроцесс, длина затвора транзистора на представленных ими картинках была 12 нм (там GAAFET, честно говоря до сих пор не понял как там считают длину затвора). Но на их картинке был столбик из трех мосфетов, высота столбика 75 нм, ширина 40 нм, шаг между слоями-транзисторами - 5 нм. По идее производство по этому (или его доработанной версии) техпроцессу должно начаться как раз в этом году
P.S. Я извиняюсь что все же на ваш вопрос ответа не дал, но вот относительно актуальные цифры
Там есть проблемы с работой части режимов, да. Но не со всеми
Для секретных чатов параметры g и p для DH спускается с сервера, но это не обязательно проблема и MITM может их знать, это допустимо. Конечно, если g и p выбираются в соответствии с рекомендациями
Другой вопрос что раньше проверка полученных g и p была на клиенте упрощенной.
Я тестил сам с собой на двух аккаунтах, сообщения отправлялись через официальный клиент с использованием обертки oversec, но десяток тестовых сообщений - не сказать чтобы активное использование
Посмотрите на вот это, конечно всегда есть оговорки, и в целом, понять что это неоригинальный клиент возможно
RAM тоже можно шифровать, ну, по крайней мере, такую фичу разрабатывали как раз для этого
Естественно это ещё зависит и от хост-системы и активных режимах, т.е. фича может быть отключена
А теперь, пожалуйста, дайте определение VPS и VDS, раз уж вы по какой-то странной причине разделяете их в отдельные сущности
Можно и полнодисковое шифрование приволочь на vps. Для этого в рамдиск вшивают ssh-сервер, и при включении подключаются и вводят пароль. Можно ещё внедрить какой-нибудь tailscale или аналог, чтобы не светить ssh-сервером в открытую. Но при ОЧЕНЬ большом желании, это все ещё уязвимо по доступу к оперативной памяти, что там с внедрением шифрования оперативки - я не знаю
Прошлогодняя новость, правда тогда она была вообще без дат
Del
Решения типа Tailscale/ZeroTier не гоняют через себя трафик если можно этого избежать, а если внутри города - прямые соединения (если получится пробить nat) - будут бодрыми. Если не получится пробить nat - ваш вариант решения будет быстрее (но обычно получается). Да и в целом, поиграть детям в локалке - ваше решение более чем достаточно
Хотя тут остается риск утечки метаинформации. Но есть и аналогичные селфхост-решения
ASML не стесняется покупать патенты, целиком вместе с владельцами/разработчиками технологии, как было с американской Cymer и её источником излучения для EUV-степперов. Да и в целом, они очень активно вкладывались в разработку, скорее американских технологий среди ключевых в их степперах не так чтобы и много
Ага, т.е. их роуминговая подписка - не глобальна. Спасибо
Старлинк не запущен в РФ и не оказывает там услуг. Если же ты каким-то образом проволок тарелку мимо таможни, и у тебя аккаунт страны где он запущен + аддон с роумингом - то работать должно. Если, конечно, регулятор случайно проходить мимо тарелки не будет и не решит возбудиться.
Только вот для простого обхода блокировок это какой-то сложный и дорогой путь
«Местоположение» на небольшое время раньше подменялось с помощью ПК и 3uTool, но это не надолго.
Wifi можно выключить
Sim - esim от какого-нибудь европейского оператора
Ну а страна в apple ID - просто меняется, а может можно в app store просто поставить альтернативный на некоторое время. В общем нужен тест от того, кому не лень