Информационная безопасность
Криптография
Лайфхаки для гиков
Системное администрирование
Софт
Комментарии 6
0
Для тех, кому Windows (и мультизагрузка) не требуется, всё намного проще: SecureBoot с собственными ключами (и опционально поглядеть в сторону TrustedBoot, благо TPM, начиная с Sunrise Point, «встроен» в чипсеты Intel в виде TXT, работающей посредством Management Engine (впрочем, никто не запрещает использовать и отдельные модули TPM, лишь бы на мат.плате было соответствующее посадочное место).
+1

Не совсем понятно, зачем описывать дополнительные шаги, которые не дают ничего, кроме ложного чувства безопасности:


  • установка пароля на grub
  • подписывание конфига/модулей grub
  • возможность установить отдельный пароль на root-раздел вместо использования ключ-файла

Всю эту активность с шифрованием имеет смысл рассматривать исключительно в разрезе конкретных рисков:


  • Если атакующий просто получил физический доступ к системе но не может скрыть этот факт (маски-шоу, например), то шифрования диска вполне достаточно.
  • Если атакующий может скрытно получить физический доступ к системе, то, по большому счёту, это оппаньки. Да, если найти комп с UEFI/SecureBoot, который позволяет устанавливать свои ключи в UEFI, и организовать цепочку подписанных загрузчиков, то можно защититься от описанной в статье атаки на Grub с установкой кейлоггера… но в этом нет особого смысла, потому что кейлоггер могут с тем же успехом тупо воткнуть в клавиатуру, в переходник usb, на материнку или даже тупо скрытую видеокамеру пристроить с видом на клавиатуру. И это не фантастика, если кто-то настолько заморочился, что может скрытно установить промежуточный grub, то и usb-переходник он тоже сможет раздобыть.
  • Даже с описанным выше вариантом с SecureBoot на своих ключах, всё равно нет никаких гарантий что это нельзя обойти через уязвимости в Intel AMT и аналогичных "фичах" выполняющихся ещё до SecureBoot.
  • В ситуации с маски-шоу без такого критичного элемента как легко разламываемая ручками флешка с ключевым файлом всё, что мы получим в результате описанный в статье действий — применение терморектального криптоанализа и добровольную сдачу всех паролей.
  • Если атакующий имеет возможность и желание атаковать используя скрытный физический доступ к системе, то крайне высока вероятность, что он так же имеет возможность выполнять более традиционные атаки через сеть и/или локальный не-root доступ, и шифрование всего диска от этого никак не защитит (а вот наличие скрытых шифрованных контейнеров, которые не находятся постоянно в подмонтированном состоянии — оставляет хоть какие-то шансы скрыть их от атакующего).

Резюмируя — шифровать весь диск надо только при наличии конкретных рисков, но при таких рисках делать это без возможности быстро уничтожить ключ шифрования физически (сломав флешку) — не самая лучшая идея. Исключение — шифрование телефона, здесь как раз велик риск именно утери телефона, а риск одновременно с этим нарваться на терморектальный криптоанализ достаточно низок для большинства юзеров. В большинстве остальных ситуаций обычному юзеру полезнее навыки шифрования отдельных файлов (вроде базы KeePass, использования GnuPG, etc.) и возможность создавать хорошо скрытые криптоконтейнеры (подключаемые только изредка, по необходимости).

0
Если хочешь, чтобы ключи не сперли кейлоггеры внедренные в компоненты загрузки, которые осуществляют запрос пароля и расшифровку дисков, то единственный способ — это загрузка с внешнего носителя (флешки и пр.), который находится у тебя в кармане и его точно никто не мог трогать «грязными» руками, либо как уже упомянули — SecureBoot
Только полноправные пользователи могут оставлять комментарии. , пожалуйста.