У кого какой способ ?
vovanvster 12 марта, 2010 - 18:55
Как известно при физическом доступе к машине легко изменить пароль
рута с помощю chroot.
Есть ли способы избежать этого кроме шифрования раздела ?
»
- Для комментирования войдите или зарегистрируйтесь
Отключить загрузку со сменных
Отключить загрузку со сменных носителей, пароль на BIOS, пароль на GRUB... нэ?
Я не смог понять твой комментарий...
И по этому поводу решил подарить тебе запятую: ",". Используй её с умом!
Youshi написал(а): Отключить
+1
2топикстартер
Извините, но написали вы бред полнейший. При физическом доступе можно отрубить питание, вытащить винчестер, подрубить его к другой машине и... если нет шифрования, то просто nano -w /etc/shadow
also Курим...
taaroa написал(а): Youshi
Не совсем бред, существуют моменты когда вытащить винчестер сложно.
Замки на корпусе, дефицит времени и т.д. И кстати Курим... выкурено давно, даже хапчиков нету.
Мышка дура, прав был Суворов.
В BIOS есть возможность
В BIOS есть возможность выбрать носитель с которого загрузится комп НЕ ЗАХОДЯ в BIOS.
Для этого надо нажать ESC после включения компа и ждать появления меню выбора. Таким образом я обычно гружусь с CD диска на ноуте, на BIOS которого пароль давно забыт, а восстанавливать пароль лень.
k1b0rg написал(а): В BIOS
Это зависит от материнки, на чипах nvidia например F12
Мышка дура, прав был Суворов.
,
При физическом доступе легко забирается винт с собой, или подключается к ноуту и меняются пароли.
Пароль на накопитель - но
Пароль на накопитель - но гемморой.
Были системы с привязкой винта к мамке для шизофреников
Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)
Ну уж не для шизофреников а
Ну уж не для шизофреников а для параноиков :)
Дак это что, весь раздел / шифровать ? Или существует возможность
создать маленький раздел и на него shadows и password положить ?
Да и загрузчик на флешку ставить боязно, потеряться может или умереть.
P.S. Выходит систему невозможно обезопасить и остаётся только шифровать ценные данные в домашнем разделе ?
Мышка дура, прав был Суворов.
.
http://en.gentoo-wiki.com/wiki/DM-Crypt_with_LUKS
taaroa
А зачем ? Давно EncFS юзаю.
Неужели никому в голову не приходило реализовать например такую фишку: при загрузке некая програмулька проверяет контрольную сумму passwd и shadows и если что не так halt. А уж файл с которым програмулька сверяется можно где угодно спрятать.
Мышка дура, прав был Суворов.
Исчо рас :) система команд
Исчо рас :)
система команд АТА имеет поддержку лока накопителя по паролю, а так же экстренное стирание инфы средствами самого накопителя.
Ман АТА, вообщем : http://www.t13.org/
Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)
slepnoga написал(а): Исчо рас
А можно исчо раз ? Если можно попроще и желательно применительно
к Gentoo.
Мышка дура, прав был Суворов.
можно - man hdparm
можно - man hdparm
Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)
vovantux@vovantux ~ $ man
Мышка дура, прав был Суворов.
? eix -I hdparm
?
Я ♥ Gentoo & Funtoo
Кроме шифрования можно:
Купить HDD-Box с поддержкой RAID на WiMax, спрятать его в сейф, завести ему питание настроить через вебморду и лазить не стесняясь, хоть с шифрованием, хоть без.
PS: делов-то - штуки на полторы .... зелени ....
Gentoo - Symphony of Creations
DolphinSoft
Гениально ! Ещё можно на необитаемый остров уехать.
Мышка дура, прав был Суворов.
Это было бы здорово
Если бы вы так поступили,
Вместо того чтобы предлагать шифрование, когда от него просят отказаться ....
Не в обиду ...
ЗЫ: на необитаемом острове есть еще хуже враги - конденсат и насекомые ;)
Gentoo - Symphony of Creations
DolphinSoft написал(а): Если
Насекомые фигня они хитиновые, а хитин диелектрик.
Это только в сервисных центрах лохов при помощи тараканов разводят :)
Мышка дура, прав был Суворов.
Ну да, видел я один магнитофон
у которого дорожки на платах разъело от дерьма насекомых за 14 лет...
Вам не кажется что от темы отошли, не?
Gentoo - Symphony of Creations
DolphinSoft написал(а): Вам
Ага, оффтоп начался. =\
По теме:
«Security is a process, not a product» (с) Bruce Schneier
...и веселая картинка.
С темой всё ястно, умерла.
С темой всё ястно, умерла. Надо реализацию вот этого искать:
при загрузке некая програмулька проверяет контрольную сумму passwd и shadows и если что не так halt
Мышка дура, прав был Суворов.
Да?!
Я премного извиняюсь, так как не силён в безопасности...
Ну а если для ограничения физ. доступа к компу использовать
kvm-переключатели (их в продаже тьма под разные нужды и вкусы)?
willy написал(а): Я премного
А причем здесь kvm?!
Клавиатура Видео Мышь - удлинители/переключатели...
А вот при чём
Я извиняюсь за свою ошибку в моём посте выше.
Правильней было написАть "kvm-удлинитель".
willy написал(а): SysA
Да не в словах суть! Тут все понятно.
Вы лучше определитесь: что и от кого защищаете - может проще поставить парочку солдат с автоматами и проблема решена?! :D
А тут, насколько я понял, в основном обсуждаются проблемы программной защиты данных и чисто с академической точки зрения...
В реале подход к решению будет несколько иной ;), - поскольку надо знать не только что и от кого, а также сколько стоит инфа и сколько стоит защита. Иначе можно и микроскопом гвозди..., и бумажные стены перед танком...
Как известно при физическом
Программных - НЕТ.
Шифрованием раздела обеспечишь себе злокачественный геморрой.
Если нужно защитить данные - именно данные - шифруй данные.
Что может быть секретного в настройках сервера?!
Если нужно защитить систему от физического вмешательства - защищай от физического вмешательства. Но это уже платформонезависимая задача.
emerge Your world
Gentoogle
Программных - НЕТ На уровне
На уровне простого хацкора - есть. На уровне замены платы управления HDD - конечно нет.
http://linux.die.net/man/8/hdparm Раздел ATA Security Feature Set - зашита именно от вытаскивания накопителя.
пароль HDD в биосе многих ноутов - именно этот
Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)
Ну есть еще TPM + FDE диски.
Ну есть еще TPM + FDE диски. На некоторых ноутах встрачаются.
Там идет полное шифрование раздела диска на уровне контроллера. Управляется через tpm чип.
Но вот забывать пароли на таких системах не советую. =P
___________________________________________
Working on Gentoo for iPAQ hx4700 and Openmoko Neo Freerunner :-)
Если у вас компьютер с Windows, есть два выхода: выбросить компьютер в форточку или выбросить форточки с компьютера
Вот так вот очень всё ястно !
Вот так вот очень всё ястно ! Я так и думал. Ну была какая-то надежда...
P.S. Данные шифруем, как без этого ?
Мышка дура, прав был Суворов.
Для этого надо загрузить
Для этого надо загрузить машину с внешнего носителя. Собсно закрываем физически доступ к биосу при помощи амбарного замка. Пароль на биос, запрет загрузки со всего кроме харда. Шифрование применяется ежели информация представляет некую коммерческую ценность. Смена пароля рута с украденного винта никому не нужна. Для параноиков есть рещшения аппаратно и за деньги, типа контроллеров с аппаратным шифрованием винта с ключами в usb токене в районе 400 баксов за комплект.
Да все интерисующиеся
Да все интерисующиеся наверняка читали базовые и довольно расхожие мнения о безопасности...
Мышка дура, прав был Суворов.
=/
Бессмысленные занятия это все...
Почему? Да потому, что без разработки модели угроз и модели нарушителей невозможно определить возможные каналы утечки информации, а также обосновать выбор средств защиты.
Microsoft Windows XP (без SP1) кстати была сертифицирована на уровень Common Criteria EAL4+ (: ,что как бы намекает: окружение и модель злоумышленника были подобраны весьма консервативно, в результате чего ни одна из обнаруженных уязвимостей не применима к протестированной конфигурации.
Нужно все таки четко понимать: что защищается, где защищается, от кого и зачем защищается. Банально, но факт.
P.S. для моих умеренно параноидальных потребностей вполне достаточно grsec + pax + rbac + iptables + фэйсконтроль.
Microsoft Windows XP (без
Откуда дровишики ? И главное: кем сертифицирована ? Пруфф можно ?
Compute:
Bosch M2.8.1 -> custom Bosch M2.8.3 clone from Russia.
Speed about 260 km,Ram 2 pers.,HDD - 70 kg,210 FLOPS ;)
да всегда пожалуйста (:
Certified product list -> http://www.commoncriteriaportal.org/products_OS.html
ISO/IEC 15408
grsec + pax + rbac + iptables + фэйсконтроль
+ кодовый замок на двери, а этот урод (злоумышленник) зашел к другу на работу в кабинет на 46 сек и выдернул 8 гб мозга с сервака (чегой-то он открытый стоял - ума не приложу), пока тот начальнику документы относил ...
Пусто все это ... стрелять надо ... только стрелять.
Gentoo - Symphony of Creations
Это уже флэйм...
В описанной вами ситуации варианты дальнейшего ее развития:
0. вы получаете как минимум выговор, задумываетесь, лишаетесь премии, задумываетесь еще глубже, в худшем варианте - по собственному желанию, в еще худшем...
1. о том и речь была выше - модель угрозы, вектор атаки
И еще раз: «Security is a process, not a product» (с) Bruce Schneier
Не, все проще :)
10 С зарплаты покупается память за свой счет
20 код=новый код
30 Ждем 1 месяц
30 Если (события за месяц==повторяются) повторить все сначала, иначе повторить с 20
Вопрос в том, насколько хватит нервов от остатков зарплаты и терпения начальства :)))
Gentoo - Symphony of Creations
электронный замок "Соболь",
электронный замок "Соболь", нэ?
правда, как показывает практика, ключ от такого замка всегда лежит рядом с защищаемой машинкой... ну и по файловым системам ограничения есть... и по операционным...
http://www.securitycode.ru/products/sobol/
Где мало слов, там вес они имеют... (с) W. Sheakespeare
электронный замок "Соболь"
Угу, и самое главное в этой штуке - это
Защита в соответствии с законодательством
Сертификаты ФСБ и ФСТЭК позволяют использовать «Соболь» для защиты информации, составляющей коммерческую или государственную тайну в автоматизированных системах с классом защищенности до 1Б включительно.
P.S. и как показывает печальная практика - человеческий фактор зачастую причина не только техногенных аварий, но и утечек конфиденциальной информации, не осилила блондинка Олечка запомнить новый сложный пароль по предписанию аутсорсинг проверки, прилепила она бумажку с паролем на скотч к монитору.
В точку! :)
При этом весь отдел вокруг нее хороводы водил, забывая про "Соболь", "безопасность" и "Закрыть крышку сервера" :)))
Gentoo - Symphony of Creations
+1
+1
Мышка дура, прав был Суворов.
А куда опыт и интуицию дели ?
А куда опыт и интуицию дели ? Есть и другие подходы. А фейсконтроль в первую очередь... Я когда плохо выгляжу в зеркале то пароль рута и не вспоминаю :)
Мышка дура, прав был Суворов.