Plné šifrování disků Windows Linux nainstalovaných systémů. Šifrované multiboot

Aktualizovaná příručka pro šifrování celého disku v českém internetu V0.2.

Kovbojská strategie:

[A] blokové systémové šifrování Windows 7 nainstalovaného systému;
[B] blokové systémové šifrování GNU/Linux (Debian) nainstalovaného systému (včetně /boot);
[C] konfigurace GRUB2, ochrana zaváděcího programu digitálním podpisem/autentizací/hashováním;
[D] vymazání — zničení nešifrovaných dat;
[E] univerzální zálohování šifrovaných operačních systémů;
[F] útok <na p.[C6]> cíl — zaváděč GRUB2;
[G] užitečná dokumentace.

╭───Schéma # místnosti 40# <BIOS/MBR/1HDD bez lvm>:
├──╼ Nainstalovaná Windows 7 — šifrování celého systému, skryté není;
├──╼ Nainstalovaná GNU/Linux (Debian a odvozené distribuce) — šifrování celého systému skryté není(/, včetně /boot; swap);
├──╼ nezávislé zaváděče: zaváděč VeraCrypt nainstalovaný v MBR, zaváděč GRUB2 nainstalovaný v rozšířené části;
├──╼ instalace/přeinstalace OS není nutná;
└──╼ Používaný šifrovací software: VeraCrypt; Cryptsetup; GnuPG; Seahorse; Hashdeep; GRUB2 – svobodný/bezplatný.

Výše uvedené schéma částečně řeší problém „vynesení boot na flash disk“, umožňuje si užívat šifrované OS Windows/Linux a sdílet data přes „šifrovaný kanál“ z jednoho OS do druhého.

Pořadí zavádění PC (jeden z variantů):

• zapnutí stroje;
• bootování zaváděče VeraCrypt (správné zadání hesla pokračuje ve spuštění Windows 7);
• stisknutí klávesy „Esc“ spustí zaváděč GRUB2;
• zaváděč GRUB2 (výběr distribuce/GNU/Linux/CLI), vyžádá si autentizaci superuživatele GRUB2 <uživatelské jméno/heslo>;
• po úspěšné autentizaci a výběru distribuce bude nutné zadat heslo pro odemčení „/boot/initrd.img“;
• po zadání správných hesel v GRUB2 „bude“ vyžadováno zadání hesla (třetí v pořadí, heslo BIOS nebo heslo uživatelského účtu GNU/Linux – nepočítáno) pro odemčení a spuštění OS GNU/Linux, nebo automatická substituce tajného klíče (dvě hesla + klíč, nebo heslo + klíč);
• vnější zásah do konfigurace GRUB2 zastaví proces zavádění GNU/Linux.

Práce? Dobře, pojďme to automatizovat.

Při dělení pevného disku (tabulka MBR) PC může mít maximálně 4 hlavní oddíly, nebo 3 hlavní a jeden rozšířený, a také nealokovanou oblast. Rozšířený oddíl na rozdíl od hlavního může obsahovat pododdíly. (logické disky=rozšířená oddíl). Jinými slovy, „rozšířený oddíl“ na HDD nahrazuje LVM pro aktuální úkol: úplného systémového šifrování. Pokud je váš disk rozdělen na 4 hlavní oddíly, musíte použít lvm, nebo převést (s formátováním) oddíl z hlavního na rozšířený, nebo správně využít všechny čtyři oddíly a nechat vše tak, jak je, abyste dosáhli požadovaného výsledku. I když na disku máte pouze jeden oddíl, Gparted pomůže rozdělit HDD (na další oddíly) bez ztráty dat, ale přesto s malou cenou za takové akce.

Schéma rozdělení pevného disku, na jehož základě bude probíhat verbalizace celého článku, je uvedeno v tabulce níže.

Tabulka (č. 1) oddílů 1TB.

Něco podobného by mělo být i u vás.
sda1 — hlavní oddíl č. 1 NTFS (šifrovaný);
sda2 — rozšířený oddíl; označení
sda6 — logický disk (na něm je nainstalován bootloader GRUB2);
sda8 — swap (šifrovaný swapovací soubor/ne vždy);
sda9 — testovací logický disk;
sda5 — logický disk pro zvědavé;
sda7 — OS GNU/Linux (přesunutý OS na šifrovaný logický disk);
sda3 — hlavní oddíl č. 2 s OS Windows 7 (šifrovaný);
sda4 — hlavní oddíl č. 3 (v něm se nacházela nešifrovaná GNU/Linux, používá se pro zálohu/ne vždy).

[A] Blokové systémové šifrování Windows 7

A1. VeraCrypt

Bootování z oficiálního webu, nebo z mirroru sourceforge instalační verze šifrovacího softwaru VeraCrypt (v době publikování článku v1.24-Update3, přenosná verze VeraCrypt není vhodná pro systémové šifrování). Zkontrolujte kontrolní součet staženého softwaru

$ Certutil -hashfile "C:VeraCrypt Setup 1.24.exe" SHA256

a porovnejte získaný výsledek s zveřejněným KS na webu vývojáře VeraCrypt.

Pokud je nainstalován software HashTab, je to ještě jednodušší: PCM (VeraCrypt Setup 1.24.exe)-vlastnosti-hash součty souborů.

Pro ověření podpisu programu musí být v systému nainstalován software a veřejný pgp klíč vývojáře gnuPG; gpg4win.

A2. Instalace/spuštění softwaru VeraCrypt s právy administrátora

A3. Výběr parametrů systémového šifrování aktivního oddíluVeraCrypt – Systém – Šifrovat systémový oddíl/disk – Obvyklé – Šifrovat systémový oddíl Windows – Více zavaděč – (varování: „Nedoporučuje se, aby nezkusilí uživatelé tento method používali“ a je to pravda, souhlasíme „Ano“) – Zaváděcí disk („ano“, i když to není pravda, stejně „ano“) – Počet systémových disků „2 a více“ – Více systémů na jednom disku „Ano“ – Ne Windows bootloader „Ne“ (ve skutečnosti „Ano“, ale bootloader VeraCrypt/GRUB2 si neprostředkují MBR mezi sebou, přesněji řečeno, v MBR/bootovací stopě je uchována pouze nejmenší část kódu bootloaderu, jeho hlavní část se nachází v rámci souborového systému) – Multiboot – Nastavení parametrů šifrování…

Pokud se odchýlíte od výše uvedených kroků (schémata blokového systémového šifrování), pak VeraCrypt zobrazí varování a neumožní šifrovat oddíl.

V dalším kroku, k cílené ochraně dat, proveďte „Test“ a vyberte algoritmus šifrování. Pokud máte zastaralý CPU, pravděpodobně bude nejrychlejším algoritmem šifrování Twofish. Pokud je CPU výkonné, rozdíl si všimnete: AES – šifrování podle výsledků testu bude několikrát rychlejší než jeho kryptokonkurové. AES – oblíbený algoritmus šifrování, hardwarová část moderních CPU je speciálně optimalizována na „tajemství“ a také na „průnik“.

VeraCrypt podporuje možnost šifrovat disky kaskádou AES(Twofish)/и другими комбинациями. На старо-ядерном CPU Intel десятилетней давности (bez hardwarové podpory AES, šifrování kaskádou A/T) snížení výkonu je v podstatě nepostřehnutelné. (u CPU AMD téže éry/~parametrů – výkon je mírně snížen). OS funguje dynamicky a spotřeba zdrojů na průhledné šifrování – nepostřehnutelná. Na rozdíl od zjevného snížení výkonu způsobeného nainstalovaným testovacím nestabilním desktopovém prostředí Mate v1.20.1 (nebo v1.20.2, přesně si nepamatuji) V GNU/Linux, nebo kvůli provozu telemetrického podprogramu ve Windows7↑. Obvykle zkušení uživatelé provádějí testy výkonnosti hardwaru před šifrováním. Například v Aida64/Sysbench/systemd-analyze blame a porovnávají výsledky těchto testů po šifrování systému, čímž si vyvracejí mýtus, že „systémové šifrování je škodlivé“. Zpomalení stroje a nepohodlí se jasně projevuje při zálohování/obnově šifrovaných dat, protože samotná operace „systémového zálohování dat“ se měří ne v ms a přidávají se ty „dešifrování/šifrování za běhu“. Nakonec každý uživatel, kterému je dovoleno manipulovat s kryptografií, stanoví rovnováhu mezi algoritmem šifrování, splněním zadaných úkolů, stupněm jeho paranoie a uživatelským pohodlím.

Parametr PIM je lepší ponechat jako ve výchozím nastavení, aby při načítání OS bylo pokaždé nutné nezadávat přesné hodnoty iterací. VeraCrypt používá obrovské množství iterací k vytvoření skutečně „pomalého hashe“. Útok na takovou „krypto hračku“ pomocí metody brute force/rainbow tables dává smysl pouze při krátké „jednoduché“ heslové frázi a osobním charsetu oběti. Cena za odolnost hesla – zpoždění při správném zadání hesla při načítání OS. (mountování svazků VeraCrypt v GNU/Linux – podstatně rychlejší).
Svobodný software pro provádění brute force útoku (extrakce heslové fráze z hlavičky disku VeraCrypt/LUKS) Hashcat. John the Ripper neumí „lámat Veracrypt“, a při práci s LUKS nerozumí kryptografii Twofish.

Kvůli kryptografické odolnosti šifrovacích algoritmů, nezastavitelní šifro pankáči vyvíjejí software s jiným vektorem útoku. Například extrakce metadat/klíčů z RAM (útok studenou botou/přímý přístup k paměti), existuje specializovaný svobodný a nesvobodný software pro tyto účely.

Po dokončení nastavení/generování „unikátních metadat“ šifrovaného aktivního oddílu, VeraCrypt navrhne restartovat PC a otestovat funkčnost svého bootloaderu. Po restartu/startu Windows se VeraCrypt načte v pohotovostním režimu, zbývá jen potvrdit proces šifrování — Y.

Na závěrečném kroku systémového šifrování VeraCrypt se zobrazí možnost vytvořit zálohu záhlaví aktivního zašifrovaného oddílu ve formátu „veracrypt rescue disk.iso“ — je nutné ji udělat. v tomto softwaru je takový postup požadavkem. (v LUKS je to požadavek – bohužel to bylo opomenuto, ale zdůrazněno v dokumentaci). Rescue disk bude užitečný pro všechny, a někomu dokonce i vícekrát. Ztráta (přepsání záhlaví/MBR) zálohy záhlaví navždy odebere přístup k dešifrovanému oddílu s OS Windows.

A4. Vytvoření záchranného usb/disku VeraCryptVe výchozím nastavení VeraCrypt nabízí vypálit „metadata ~2-3MB“ na CD, ale ne všichni lidé mají disky nebo mechaniky DWD-ROM, a vytvoření zaváděcí flashky „VeraCrypt Rescue disk“ se pro někoho může stát technickým překvapením: Rufus/GUIdd-ROSA ImageWriter a další podobný software si s tímto úkolem neporadí, protože kromě kopírování posunutých metadat na zaváděcí flash disk je třeba udělat kopii/paste mimo souborový systém usb úložiště, zkrátka správně zkopírovat MBR/dráhu na klíčenku. Z prostředí OS GNU/Linux lze vytvořit zaváděcí flash disk pomocí utility „dd“, přičemž se podíváte na tuto tabulku.

Vytvoření záchranného disku v prostředí Windows je odlišné. Vývojář VeraCrypt do oficiální dokumentace nezahrnul řešení tohoto úkolu k „rescue disk“, ale nabídl řešení jinou cestou: zveřejnil dodatečný software pro vytvoření „usb rescue disk“ zdarma na svém fóru VeraCrypt. Archiv tohoto software pro Windows – „vytvoření usb veracrypt rescue disk“. Po uložení rescue disk.iso začne proces blokového systémového šifrování aktivního oddílu. Během šifrování se činnost OS nezastavuje, restartování počítače není potřeba. Po dokončení šifrovací operace se aktivní oddíl stává zcela zašifrovaným a může se používat. Pokud se při spuštění počítače nezobrazuje zaváděč VeraCrypt a obnova záhlaví nepomůže, zkontrolujte příznak „boot“, ten by měl být nastaven na oddíl, kde je Windows. dokumentaci (bez ohledu na šifrování a jiné OS, viz tabulka č. 1). Na tomto místě končí popis blokového systémového šifrování s OS Windows.
[B] LUKS. Šifrování GNU/Linux

(~Debian) nainstalované OS. Algoritmus a kroky nainstalovaného operačního systému. Algoritmus a kroky

Aby zaszyfrować zainstalowany system Debian/pochodne dystrybucje, należy przyporządkować przygotowaną partycję do wirtualnego urządzenia blokowego, przenieść na przyporządkowany dysk GNU/Linux i zainstalować/konfigurować GRUB2. Jeśli nie masz gołego serwera i cenisz swój czas, powinieneś korzystać z GUI, a większość poniżej opisanych poleceń terminalowych należy wpisać w „trybie Chucka Norrisa”.

B1. Uruchomienie komputera z Live USB GNU/Linux

„Przeprowadź test kryptograficzny wydajności sprzętu”

lscpu && cryptsetup benchmark

Jeśli jesteś szczęśliwym właścicielem mocnego sprzętu z obsługą AES, wyniki będą podobne do prawej strony terminala; jeśli jesteś szczęśliwy, ale z antycznym sprzętem – do lewej strony.

B2. Podział dysku. Montowanie/formatering systemu plików dysku logicznego HDD w Ext4 (Gparted)

B2.1. Tworzenie zaszyfrowanego nagłówka partycji sda7Nazwy partycji, które opisuję, będą według mojej tabeli partycji zamieszczonej powyżej. Zgodnie z twoim podziałem dysku musisz wstawić swoje nazwy partycji.

Przyporządkowanie szyfrowania dysku logicznego (/dev/sda7 > /dev/mapper/sda7_crypt).
#Простое создание «LUKS-AES-XTS раздела»

cryptsetup -v -y luksFormat /dev/sda7

Opcje:

* luksFormat -inicializacja nagłówka LUKS;
* -y - fraza hasła (nie klucz/plik);
* -v -werbalizacja (wyświetlanie informacji w terminalu);
* /dev/sda7 - twój dysk logiczny z rozszerzonej partycji. (gdzie planowane jest przeniesienie/szyfrowanie GNU/Linux).

Domyślny algorytm szyfrowania <LUKS1: aes-xts-plain64, Klucz: 256 bitów, Szyfrowanie nagłówka LUKS: sha256, RNG: /dev/urandom> (zależy od wersji cryptsetup).

#Проверка default-алгоритма шифрования
cryptsetup  --help #самая последняя строка в выводе терминала.

W przypadku braku sprzętowego wsparcia dla AES w procesorze, najlepszym wyborem będzie stworzenie rozszerzonej „LUKS-Twofish-XTS-partycji”.

B2.2. Rozszerzone tworzenie „LUKS-Twofish-XTS-partycji”

cryptsetup luksFormat /dev/sda7 -v -y -c twofish-xts-plain64 -s 512 -h sha512 -i 1500 --use-urandom

Opcje:
* luksFormat -inicializacja nagłówka LUKS;
* /dev/sda7 twój przyszły zaszyfrowany dysk logiczny;
* -v werbalizacja;
* -y fraza hasła;
* -c wybór algorytmu szyfrowania danych;
* -s rozmiar klucza szyfrowania;
* -h algorytm haszowania/kryptofunkcja, używany przez generator liczb losowych (—use-urandom) pro generování unikátního šifrovacího/dešifrovacího klíče hlavičky logického disku, sekundárního klíče hlavičky (XTS); unikátního master klíče uloženého v zašifrované hlavičce disku, sekundárního XTS klíče, všechny tyto metadata a podprogram šifrování, který s pomocí master klíče a sekundárního XTS klíče šifruje/dešifruje jakákoliv data na oddílu (kromě hlavičky oddílu) jsou uchovávány ~3MB na vybraném oddílu pevného disku.
* -i iterace v milisekundách, místo 'počtu' (zpoždění při zpracování heslové fráze, ovlivňuje bootování OS a kryptografickou odolnost klíčů). Pro udržení rovnováhy kryptografické odolnosti při jednoduchém hesle typu 'russian' je nutné zvyšovat hodnotu -(i), zatímco při složitém hesle typu '?8dƱob/øfh' je možné hodnotu snižovat.
* —use-urandom generátor náhodných čísel, který generuje klíče a sůl.

Po přiřazení oddílu sda7 > sda7_crypt (operace je rychlá, protože se vytváří zašifrovaná hlavička s metadata ~3 MB a na tom to končí), je třeba naformátovat a připojit souborový systém sda7_crypt.

B2.3. Přiřazení

cryptsetup open /dev/sda7 sda7_crypt
# provedení tohoto příkazu vyžaduje zadání tajné heslové fráze.

možnosti:
* open - přiřadit oddíl 's názvem';
* /dev/sda7 - logický disk;
* sda7_crypt - přiřazení jména, které se používá pro připojení zašifrovaného oddílu nebo jeho inicializaci při startu OS.

B2.4. Formátování souborového systému sda7_crypt na ext4. Připojení disku v OS(Poznámka: v Gparted nebude možné pracovat s zašifrovaným oddílem)

#форматирование блочного шифрованного устройства
mkfs.ext4 -v -L DebSHIFR /dev/mapper/sda7_crypt 

možnosti:
* -v - verbalizace;
* -L - značka disku (která se zobrazuje v průzkumníku mezi ostatními disky).

Nyní by mělo být připojeno virtuálně-zašifrované blokové zařízení /dev/sda7_crypt do systému

mount /dev/mapper/sda7_crypt /mnt

Práce s soubory v složce /mnt povede k automatickému šifrování/dešifrování dat v sda7.

Je pohodlnější přiřazovat a montovat oddíl v průzkumníku (nautilus/caja GUI), oddíl již bude v seznamu výběrů disků, stačí pouze zadat heslovou frázi pro otevření/dešifrování disku. Přiřazované jméno bude automaticky vybráno a nebude 'sda7_crypt', ale něco jako /dev/mapper/Luks-xx-xx…

B2.5. Zálohování hlavy disku (metadata ~3MB)Jedna z nejdůležitějších věcí operací, kterou je třeba provést bez odkladu — záloha hlavičky „sda7_crypt“. Pokud přepíšete/položíte hlavičku (například instalací GRUB2 do oddílu sda7 atd.), zašifrovaná data budou trvale ztracena bez jakékoli možnosti jejich obnovení, protože nebude možné znovu vygenerovat stejné klíče, klíče se vytvářejí jedinečné.

#Бэкап заголовка раздела
cryptsetup luksHeaderBackup --header-backup-file ~/Бэкап_DebSHIFR /dev/sda7 

#Восстановление заголовка раздела
cryptsetup luksHeaderRestore --header-backup-file <file> <device>

možnosti:
* luksHeaderBackup —header-backup-file -příkaz pro zálohu;
* luksHeaderRestore —header-backup-file -příkaz pro obnovení;
* ~\/Záloha_DebSHIFR — soubor zálohy;
* \/dev\/sda7 -oddíl, jehož záloha šifrované hlavičky disku je třeba uchovat.
V tomto kroku <vytvoření a editace zašifrovaného oddílu> skončilo.

B3. Přenos OS GNU\/Linux (sda4) na zašifrovaný oddíl (sda7)

Vytvořte složku \/mnt2 (Poznámka — stále pracujeme s live usb, do bodu \/mnt je namontován sda7_crypt), a montujeme náš GNU\/Linux do \/mnt2, který je třeba zašifrovat.

mkdir \/mnt2
mount \/dev\/sda4 \/mnt2

Provádíme správný přenos OS pomocí software Rsync

rsync -avlxhHX --progress \/mnt2\/ \/mnt

Možnosti Rsync jsou popsány v p.E1.

Dále, je nutné provést defragmentaci oddílu logického disku

e4defrag -c \/mnt\/ #po kontrole, e4defrag oznámí, že úroveň defragmentace oddílu ~"0", to je omyl, který vám může způsobit výrazné ztráty výkonu!
e4defrag \/mnt\/ #provádíme defragmentaci šifrované GNU\/Linux

Mějte na paměti: provádět e4defrag na šifrované GNU\/Linux čas od času, pokud máte HDD.
Přenos a synchronizace [GNU\/Linux > zašifrovaná GNU\/Linux] v tomto kroku skončily.

V4. Nastavení GNU\/Linux na zašifrovaném oddílu sda7

Po úspěšném přenosu OS \/dev\/sda4 > \/dev\/sda7 je třeba vstoupit do GNU\/Linux na zašifrovaném oddílu a provést další nastavení (bez restartování PC) ohledně šifrovaného systému. To znamená být v live usb, ale příkazy provádět „vzhledem k kořeni šifrovaného OS“. Simulovat podobnou situaci bude „chroot“. Aby bylo možné rychle získat informace o tom, s jakým OS právě pracujete (v šifrovaném nebo ne, protože data v sda4 a sda7 jsou synchronizována), desynchronizujte OS. Vytvořte v kořenových adresářích (sda4\/sda7_crypt) prázdné soubory-označovače, například \/mnt\/šifrovanáOS a \/mnt2\/dešifrovanáOS. Rychlá kontrola, v jakém OS se nacházíte (včetně budoucnosti):

ls \/<Tab-Tab>

B4.1. „Simulace přístupu do zašifrovaného OS“

mount --bind /dev /mnt/dev
mount --bind /proc /mnt/proc
mount --bind /sys /mnt/sys
chroot /mnt

B4.2. Kontrola, že práce probíhá na zašifrovaném systému

ls /mnt
#a vidíme soubor "/zašifrovanáOS"

history
#v terminálovém výstupu by se měla objevit historie příkazů su pracovního OS.

B4.3. Vytvoření/nastavení zašifrované swap, úprava crypttab/fstabProtože je soubor pro výměnu při každém spuštění OS formátován, nemá smysl nyní vytvářet a připojovat swap k logickému disku a zadávat příkazy jako v p.B2.2. Pro swap se při každém spuštění automaticky generují své dočasné šifrovací klíče. Životní cyklus klíčů swapu: odpojení/vypnutí swapového oddílu (+vyčištění RAM); nebo restart OS. Nastavení swapu, otevřete soubor odpovídající za konfiguraci blokových šifrovaných zařízení (analog fstab souboru, ale odpovídající za kryptografii).

nano /etc/crypttab 

upravujeme

#«target name» «source device» «key file» «options»
swap /dev/sda8 /dev/urandom swap,cipher=twofish-xts-plain64,size=512,hash=sha512

Možnosti
* swap - připojené jméno při šifrování /dev/mapper/swap.
* /dev/sda8 - použijte svůj logický oddíl pro swap.
* /dev/urandom - generátor náhodných šifrovacích klíčů pro swap (s každým novým spuštěním OS — vytvářené nové klíče). Generátor /dev/urandom je méně náhodný než /dev/random, jak asi /dev/random se používá v nebezpečných paranoidních okolnostech. Při spuštění OS /dev/random zpomaluje start o několik ± minut (viz systemd-analyze).
* swap,cipher=twofish-xts-plain64,size=512,hash=sha512: - oddíl ví, že je to swap a je formátován „odpovídajícím způsobem“; šifrovací algoritmus.

#Открываем и правим fstab
nano /etc/fstab

upravujeme

# swap was on /dev/sda8 during installation
/dev/mapper/swap none swap sw 0 0

/dev/mapper/swap -имя , которое задали в crypttab.

Alternativní zašifrovaný swap
Pokud z nějakého důvodu nechcete přidělovat celý oddíl pro swapový soubor, můžete zvolit alternativní a lepší cestu: vytvoření swapového souboru na zašifrovaném oddílu s OS.

fallocate -l 3G /swap #vytvoření souboru o velikosti 3GB (téměř okamžitá operace)
chmod 600 /swap #nastavení práv
mkswap /swap #vytvoření swapu ze souboru
swapon /swap #aktivujeme náš swap
free -m #zkontrolujeme, že swapový soubor je aktivován a funguje
printf "/swap none swap sw 0 0" >> /etc/fstab #pokud je to nutné, swap bude po restartu trvalý

Nastavení swapového oddílu bylo dokončeno.

B4.4. Nastavení zašifrovaného GNU/Linux (úprava souborů crypttab/fstab)Soubor /etc/crypttab, jak jsem již zmínil, popisuje zašifrovaná bloková zařízení, která se nastavují při spuštění systému.

#правим /etc/crypttab 
nano /etc/crypttab 

pokud jste přiřadili oddíl sda7>sda7_crypt jako v p.B2.1

# «target name» «source device» «key file» «options»
sda7_crypt UUID=81048598-5bb9-4a53-af92-f3f9e709e2f2 none luks

pokud jste přiřadili oddíl sda7>sda7_crypt jako v p.B2.2

# «target name» «source device» «key file» «options»
sda7_crypt UUID=81048598-5bb9-4a53-af92-f3f9e709e2f2 none cipher=twofish-xts-plain64,size=512,hash=sha512

pokud jste přiřadili oddíl sda7>sda7_crypt jako v p.B2.1 nebo B2.2, ale nechcete znovu zadávat heslo pro odemknutí a spuštění OS, můžete místo hesla použít tajný klíč/random soubor

# «target name» «source device» «key file» «options»
sda7_crypt UUID=81048598-5bb9-4a53-af92-f3f9e709e2f2 /etc/skey luks

Popis
* none -oznamuje, že při spuštění OS je pro odemknutí kořenového oddílu vyžadováno zadání tajné heslové fráze.
* UUID -identifikátor oddílu. Chcete-li zjistit svůj identifikátor, zadejte v terminálu (připomínka, že po celou tuto dobu a dále pracujete v terminálu v prostředí chroot, nikoli v jiném terminálu live usb).

fdisk -l #kontrola všech oddílů
blkid #mělo by to vypadat nějak takhle 

/dev/sda7: UUID=«81048598-5bb9-4a53-af92-f3f9e709e2f2» TYPE=«crypto_LUKS» PARTUUID=«0332d73c-07»
/dev/mapper/sda7_crypt: LABEL=«DebSHIFR» UUID=«382111a2-f993-403c-aa2e-292b5eac4780» TYPE=«ext4»

tento řádek uvidíte při dotazu blkid z terminálu live usb při připojeném sda7_crypt).
UUID berete právě od svého sdaX (ne sdaX_crypt!, UUID sdaX_crypt – automaticky zmizí při generování konfiguračního souboru grub.cfg).
* cipher=twofish-xts-plain64,size=512,hash=sha512 -luks šifrování v rozšířeném režimu.
* /etc/skey -tajný soubor-klíč, který je automaticky použit pro odemknutí spuštění OS (místo zadání 3. hesla). Soubor může být jakýkoliv do 8MB, ale data budou čtena <1MB.

#Создание "генерация" случайного файла <секретного ключа> размером 691б.
head -c 691 /dev/urandom > /etc/skey

#Добавление секретного ключа (691б) в 7-й слот заголовка luks
cryptsetup luksAddKey --key-slot 7 /dev/sda7 /etc/skey

#Проверка слотов "пароли/ключи luks-раздела"
cryptsetup luksDump /dev/sda7 

Mělo by to vypadat přibližně takto:

(udělejte to sami a sami uvidíte).

cryptsetup luksKillSlot /dev/sda7 7 #odstranění klíče/hesla ze 7. slotu

/etc/fstab содержит описательную информацию о различных файловых системах.

#Правим /etc/fstab
nano /etc/fstab

# «file system» «mount poin» «type» «options» «dump» «pass»
# / was on /dev/sda7 during installation
/dev/mapper/sda7_crypt / ext4 errors=remount-ro 0 1

možnost
* /dev/mapper/sda7_crypt -název přiřazení sda7>sda7_crypt, který je uveden v souboru /etc/crypttab.
Nastavení crypttab/fstab bylo dokončeno.

B4.5. Úprava konfiguračních souborů. Klíčový bodB4.5.1. Úprava konfigu /etc/initramfs-tools/conf.d/resume

#Если у вас ранее был активирован swap раздел, отключите его. 
nano /etc/initramfs-tools/conf.d/resume

a zakomentujte (pokud existuje) řádek „#resume“. Soubor by měl být zcela prázdný.

B4.5.2. Úprava konfigu /etc/initramfs-tools/conf.d/cryptsetup

nano /etc/initramfs-tools/conf.d/cryptsetup

mělo by odpovídat

# /etc/initramfs-tools/conf.d/cryptsetup
CRYPTSETUP=yes
export CRYPTSETUP

B4.5.3. Úprava konfigu /etc/default/grub (tento konfig odpovídá za schopnost generovat grub.cfg při práci se zašifrovaným /boot)

nano /etc/default/grub

přidáme řádek „GRUB_ENABLE_CRYPTODISK=y“
hodnota ‘y’, grub-mkconfig a grub-install budou kontrolovat přítomnost zašifrovaných disků a generovat další příkazy nezbytné pro jejich přístup během spouštění (insmod-ы <cryptomount/udělat root>).
mělo by to vypadat nějak takto

GRUB_DEFAULT=0
GRUB_TIMEOUT=1
GRUB_DISTRIBUTOR=`lsb_release -i -s 2> /dev/null || echo Debian`
GRUB_CMDLINE_LINUX_DEFAULT=„acpi_backlight=vendor“
GRUB_CMDLINE_LINUX="quiet splash noautomount"
GRUB_ENABLE_CRYPTODISK=y

B4.5.4. Úprava konfigurace /etc/cryptsetup-initramfs/conf-hook

nano /etc/cryptsetup-initramfs/conf-hook

Zkontrolujte, že řádek je zakomentovaný .
V budoucnu (a dokonce už nyní nebude tento parametr mít žádný význam, ale někdy brání aktualizaci obrazu initrd.img).

B4.5.5. Úprava konfigurace /etc/cryptsetup-initramfs/conf-hook

nano /etc/cryptsetup-initramfs/conf-hook

přidejte

KEYFILE_PATTERN="/etc/skey"
UMASK=0077

To zabalí tajný klíč „skey“ do initrd.img, klíč je nezbytný pro odemčení kořenového oddílu při spuštění OS (pokud nechcete znovu zadávat heslo, automaticky se použije klíč „skey“).

B4.6. Aktualizace /boot/initrd.img [verze]Abychom zabalili tajný klíč do initrd.img a aplikovali opravy cryptsetup, aktualizujeme obraz

update-initramfs -u -k all

při aktualizaci initrd.img (jak se říká „Možná, ale to není jisté“) mohou se objevit varování týkající se cryptsetup, nebo například oznámení o ztrátě modulů Nvidia — to je normální jev. Po aktualizaci souboru zkontrolujte, že byl skutečně aktualizován podle času (ohledně chroot prostředí. /boot/initrd.img). Pozor! před [update-initramfs -u -k all] je nutné zkontrolovat, že cryptsetup open /dev/sda7 sda7_crypt — to je jméno, které by mělo být uvedeno v /etc/crypttab, jinak po restartu dojde k chybě busybox)
V této fázi je konfigurace konfiguračních souborů dokončena.

[C] Instalace a nastavení GRUB2/Ochrana

C1. Pokud je to nutné, naformátujte vyhrazený oddíl pro zaváděč (oddílu stačí alespoň 20MB)

mkfs.ext4 -v -L GRUB2 /dev/sda6

C2. Připojení /dev/sda6 do /mntJelikož pracujeme v chroot, nebude v kořeni žádný adresář /mnt2 a složka /mnt bude prázdná.
připojujeme oddíl GRUB2

mount /dev/sda6 /mnt

Pokud máte nainstalovanou starou verzi GRUB2, v adresáři /mnt/boot/grub/i-386-pc (možná jiná platforma, například ne „i386-pc“) chybí kryptomoduly (krátce, v adresáři by měly být moduly, včetně těchto .mod: cryptodisk; luks; gcry_twofish; gcry_sha512; signature_test.mod), v takovém případě je třeba GRUB2 'protřepat'.

apt-get update
apt-get install grub2 

Důležité! Během aktualizace balíčku GRUB2 z repozitáře, na otázku „o výběru“, kam nainstalovat zaváděč – je třeba odmítnout instalaci (důvod — pokus o instalaci GRUB2 do „MBR“ nebo na live usb)V opačném případě poškodíte hlavičku/bootloader VeraCrypt. Po aktualizaci balíků GRUB2, a zrušení instalace, je potřeba bootloader nainstalovat ručně na logický disk, nikoli do 'MBR'. Pokud máte ve vašem repozitáři zastaralou verzi GRUB2, zkuste aktualizovat to z oficiálních stránek – neověřoval jsem (pracoval jsem s čerstvými bootloadery GRUB 2.02 ~BetaX).

C3. Instalace GRUB2 do rozšířeného oddílu [sda6]Musíte mít namontovaný oddíl [p.C.2]

grub-install --force --root-directory=/mnt /dev/sda6

možnosti
* —force - instalace bootloaderu, obcházející všechna varování, která prakticky vždy existují a blokují instalaci (povinná volba).
* —root-directory - nastavení adresáře do kořene sda6.
* /dev/sda6 - váš sdaX oddíl (nezapomeňte mezi /mnt /dev/sda6).

C4. Vytvoření konfiguračního souboru [grub.cfg]Zapomeňte na příkaz 'update-grub2', a použijte plnohodnotný příkaz pro generaci konfiguračního souboru

grub-mkconfig -o /mnt/boot/grub/grub.cfg

po dokončení generace/aktualizace souboru grub.cfg by měly v terminálu výstupu být řádky(a) s nalezenými OS na disku ('grub-mkconfig' může najít a převzít OS z live USB, pokud máte multiboot flashku s Windows 10 a spoustou živých distribucí — to je normální). Pokud je v terminálu 'prázdno', soubor 'grub.cfg' nebyl vygenerován, je to ten případ, kdy jsou v systému GRUBové chyby (a pravděpodobně bootloader z testovací větve repozitáře), přeinstalujte GRUB2 z důvěryhodných zdrojů.
Instalace 'jednoduché konfigurace' a nastavení GRUB2 bylo dokončeno.

C5. Proof-test zašifrovaného OS GNU/LinuxSprávně dokončuji kryptomisi. Opatrně opouštíme zašifrovanou GNU/Linux (vystoupíme z prostředí chroot).

umount -a # odpojení všech připojených oddílů zašifrované GNU/Linux
Ctrl+d # vystoupení z prostředí chroot
umount /mnt/dev
umount /mnt/proc
umount /mnt/sys
umount -a # odpojení všech připojených oddílů na live USB
reboot

Po restartu by se měl načíst bootloader VeraCrypt.


* Zadání hesla pro aktivní oddíl – začne se načítání OS Windows.
* Stisknutí klávesy 'Esc' předá kontrolu GRUB2, při výběru zašifrované GNU/Linux – bude vyžadováno heslo (sda7_crypt) pro odemčení /boot/initrd.img (pokud grub2 píše uuid 'nenalezeno' – to je problém bootloaderu grub2, měl by se přeinstalovat, například z testovací větve/stabilní a p.d.).


*V závislosti na tom, jak jste systém nastavili (viz. p.B4.4/4.5) po správném zadání hesla pro odemčení obrazu /boot/initrd.img bude vyžadováno heslo pro načtení jádra/kořenového OS, nebo bude automaticky vložen tajný klíč "skey", což zbaví potřeby opětovného zadání heslové fráze.

(snímek „automatické vložení tajného klíče“).

*Dále proběhne známý proces načítání GNU/Linux s autentizací uživatelského účtu.


*Po autorizaci uživatele a vstupu do OS je třeba znovu aktualizovat /boot/initrd.img (viz V4.6).

update-initramfs -u -k all

A v případě nadbytečných řádků v menu GRUB2 (z podchycení OS z live usb) zbavit se jich

mount /dev/sda6 /mnt
grub-mkconfig -o /mnt/boot/grub/grub.cfg

Stručný souhrn systémového šifrování GNU/Linux:

• GNU/Linux je plně zašifrován, včetně /boot/kernel a initrd;
• tajný klíč je zabalen v initrd.img;
• aktuální schéma autorizace (zadání hesla pro odemčení initrd; heslo/klíč pro načtení OS; heslo pro autorizaci uživatelského účtu Linux).

"Jednoduchá konfigurace GRUB2" - systémové šifrování blokového oddílu bylo dokončeno.

C6. Rozšířené nastavení GRUB2. Ochrana zaváděcího programu digitálním podpisem + ochrana autentizacíGNU/Linux je plně zašifrován, ale zaváděč nelze zašifrovat – tuto podmínku vynucuje BIOS. Z tohoto důvodu je řetězové zašifrované načítání GRUB2 nemožné, ale je možné/dostupné jednoduché řetězové načítání, z hlediska ochrany – není třeba [viz. P. F].
Pro "zranitelný" GRUB2 vývojáři implementovali algoritmus ochrany zaváděče "podpisem/autentizací".

• Při ochraně zaváděče "svým digitálním podpisem" vnější modifikace souborů nebo pokus o načtení dalších modulů do tohoto zaváděče povede k zablokování procesu zavádění.
• Při ochraně zaváděče autentizací pro výběr načtení jakéhokoli distribuce nebo zadání dalších příkazů v CLI bude třeba zadat uživatelské jméno a heslo superuživatele-GRUB2.

C6.1. Ochrana zaváděče autentizacíUjistěte se, že pracujete v terminálu v zašifrovaném OS

ls / #nalezení souboru-žádoucího

vytvořte heslo superuživatele pro autorizaci v GRUB2

grub-mkpasswd-pbkdf2 #zadejte/opakujte heslo superuživatele. 

Získejte hash hesla. Něco podobného tomuto

grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8

Připojujeme oddíl GRUB

mount /dev/sda6 /mnt 

Upravujeme konfiguraci

nano -$ /mnt/boot/grub/grub.cfg 

Zkontrolujte hledání v souboru, zda v „grub.cfg“ kdekoliv neexistují příznaky (» —unrestricted» «—user»,
přidejte na úplný konec (před řádkem ### END /etc/grub.d/41_custom ###)
„set superusers=„root“
password_pbkdf2 root hash“.

Mělo by to být přibližně takto

# This file provides an easy way to add custom menu entries. Simply type the
# menu entries you want to add after this comment. Be careful not to change
# the ‘exec tail’ line above.
### END /etc/grub.d/40_custom ###

### BEGIN /etc/grub.d/41_custom ###
if [ -f ${config_directory}/custom.cfg ]; then
source ${config_directory}/custom.cfg
elif [ -z „${config_directory}“ -a -f $prefix/custom.cfg ]; then
source $prefix/custom.cfg;
fi
set superusers=„root“
password_pbkdf2 root grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8
### END /etc/grub.d/41_custom ###
#

Pokud často používáte příkaz „grub-mkconfig -o /mnt/boot/grub/grub.cfg“ a nechcete pokaždé provádět změny v grub.cfg, přidejte výše uvedené řádky (přihlášení/heslo) do uživatelského skriptu GRUBu na samém konci

nano /etc/grub.d/41_custom 

cat << EOF
set superusers=„root“
password_pbkdf2 root grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8
EOF

Při generování konfigurace „grub-mkconfig -o /mnt/boot/grub/grub.cfg“ budou řádky související s autentizací automaticky přidány do grub.cfg.
V tomto kroku je konfigurace autentizace GRUB2 dokončena.

C6.2. Ochrana zaváděče digitálním podpisemPředpokládá se, že již máte svůj osobní šifrovací pgp-klíč (nebo si vytvořte tento klíč). V systému musí být nainstalován kryptografický software: gnuPG; kleopatra/GPA; Seahorse. Kryto-software značně usnadní váš život v všech podobných záležitostech. Seahorse – stabilní verze balíčku 3.14.0 (verze vyšší, například V3.20 – je nedokončená a má významné chyby).

PGP-klíč je třeba generovat/spustit/přidat pouze ve prostředí su!

Vygenerovat osobní šifrovací klíč

gpg --gen-key

Exportovat svůj klíč

gpg --export -o ~/perskey

Připojte logický disk v OS, pokud ještě není připojen

mount /dev/sda6 /mnt #sda6 – oddíl GRUB2

vyčistěte oddíl GRUB2

rm -rf /mnt/

Nainstalujte GRUB2 na sda6, dejte váš osobní klíč do hlavního obrazu GRUB „core.img“

grub-install --force --modules="gcry_sha256 gcry_sha512 signature_test gcry_dsa gcry_rsa" -k ~/perskey --root-directory=/mnt /dev/sda6

možnosti
* —force -nainstaluje zaváděč, a to i přes všechna varování, která vždy existují (povinná volba).
* —modules=„gcry_sha256 gcry_sha512 signature_test gcry_dsa gcry_rsa“ -instruuje GRUB2 na předběžné načtení potřebných modulů při spuštění PC.
* -k ~/perskey -cesta k „PGP-klíči“ (po zabalení klíče do obrazu jej lze odstranit).
* —root-directory -nastavení adresáře boot na kořen sda6
/dev/sda6 -ваш sdaХ раздел.

Generujeme/aktualizujeme grub.cfg

grub-mkconfig  -o /mnt/boot/grub/grub.cfg

Na konec souboru „grub.cfg“ přidáme řádek „trust /boot/grub/perskey“ (nucené použití pgp-klíče.) Protože jsme nainstalovali GRUB2 s sadou modulů, včetně modulu pro podpis „signature_test.mod“, to eliminuje potřebu přidávat do konfigurace příkazy jako „set check_signatures=enforce“.

Mělo by to vypadat přibližně takto (koncové řádky v souboru grub.cfg)

### BEGIN /etc/grub.d/41_custom ###
if [ -f ${config_directory}/custom.cfg ]; then
source ${config_directory}/custom.cfg
elif [ -z „${config_directory}“ -a -f $prefix/custom.cfg ]; then
source $prefix/custom.cfg;
fi
trust /boot/grub/perskey
set superusers=„root“
password_pbkdf2 root grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8
### END /etc/grub.d/41_custom ###
#

Cestu k „/boot/grub/perskey“ není třeba uvádět na konkrétní oddíl disku, například hd0,6, pro samotný bootloader je „kořen“ výchozí cestou oddílu, na který je GRUB2 nainstalován. (viz set rot=..).

Podepisujeme GRUB2 (všechny soubory ve všech adresářích /GRUB) svým klíčem „perskey“.
Jednoduché řešení, jak podepsat (pro správce souborů nautilus/caja): instalujeme z repozitáře rozšíření „seahorse“ pro správce. Klíč by měl být přidán do prostředí su.
Otevřete správce souborů pomocí sudo „/mnt/boot“ – pravý klik – podepsat. Na obrazovce to vypadá takto

Samotný klíč „/mnt/boot/grub/perskey“ (zkopírovat do adresáře grub) také musí být podepsán svým vlastním podpisem. Zkontrolujte, že v adresáři/podadresářích se objevily podpisy souborů [*.sig].
Výše popsaným způsobem podepisujeme „/boot“ (naše kernel, initrd). Pokud váš čas něco znamená, tento metod eliminuje potřebu psát bash-skript pro podepisování „množství souborů“.

Abychom odstranili všechny podpisy bootloaderu (pokud něco jde špatně)

rm -f $(find /mnt/boot/grub -type f -name '*.sig')

Abychom se nemuseli podpisovat bootloader po aktualizaci systému, zmrazíme všechny aktualizační balíčky související s GRUB2.

apt-mark hold grub-common grub-pc grub-pc-bin grub2 grub2-common

V tomto kroku byla pokročilá konfigurace GRUB2 dokončena.

C6.3. Proof-test bootloaderu GRUB2, chráněného digitálním podpisem a autentizacíGRUB2. Při výběru jakékoli distribuce GNU/Linux nebo vstupu do CLI (příkazového řádku) bude vyžadována autorizace superuživatele. Po zadání správného přihlášení/hesla bude požadováno heslo od initrd.

Obrázek, úspěšná autentizace superuživatele GRUB2.

Pokud se podvrhne jakýkoli z souborů GRUB2/nebo se změní grub.cfg, nebo se odstraní soubor/podpis, načte se škodlivý modul .mod, zobrazí se odpovídající varování. Spuštění GRUB2 bude pozastaveno.

Snímek, pokus o zásah do GRUB2 "zvenku".

Při "normálním" spuštění "bez zásahu" je systémový status kódu výstupu "0". Proto není známo, zda ochrana funguje nebo ne. (to znamená "s ochranou zaváděcího signatury nebo bez ní" při normálním spuštění je status stejný "0" — to je špatně).

Jak zkontrolovat ochranu digitálními podpisy?

Nepohodlný způsob kontroly: padělat/odstranit používaný modul GRUB2, například odstranit podpis luks.mod.sig a získat chybu.

Správný způsob: přihlásit se do CLI zaváděče a zadat příkaz

trust_list

V odpovědi by měl být otisk "perskey", pokud je status "0", znamená to, že ochrana podpisem nefunguje, zkontrolujte znovu p.C6.2.
V tomto kroku je pokročilé nastavení "Ochrana GRUB2 digitálním podpisem a autentizací" ukončeno.

C7 Alternativní metoda ochrany GRUB2 pomocí hashováníPopisaný výše způsob "Ochrana zaváděče CPU/Autentizací" je klasikou. Kvůli nedokonalosti GRUB2, za paranoidních podmínek je náchylný k reálnému útoku, který budu uvádět níže v p.[F]. Kromě toho, po aktualizaci OS/jádra je třeba znovu podepsat zaváděč.

Ochrana zaváděče GRUB2 pomocí hashování

Výhody oproti klasice:

• Vyšší úroveň spolehlivosti (hashování/kontrola probíhá pouze s zašifrovaného lokálního zdroje. Kontroluje se celý vyhrazený oddíl pod GRUB2 na jakékoli změny, zatímco všechno ostatní je zašifrováno; v klasickém schématu s ochranou zaváděče CPU/Autentizací se kontrolují pouze soubory, ale ne volný prostor, do kterého může být "něco zlověstného" napsáno).
• Zašifrované protokolování (do schématu se přidává snadno čitelný osobní zašifrovaný protokol).
• Rychlost (ochrana/kontrola celého oddílu vyhrazeného pro GRUB2 probíhá téměř okamžitě).
• Automatizace všech kryptografických procesů.

Nevýhody oproti klasice.

• Padělání podpisu (teoreticky může existovat zadaná kolize hash funkce).
• Zvýšená úroveň složitosti (ve srovnání s klasikou vyžaduje o něco více dovedností v OS GNU/Linux).

Jak funguje myšlenka s hashováním GRUB2/oddílu

„Podpisuje“ sekci GRUB2, při spuštění operačního systému probíhá kontrola neměnnosti sekce zaváděče s následným logováním v bezpečném prostředí (šifrovaném). V případě kompromitace zaváděče nebo jeho sekce se kromě logu vniknutí spouští taková

věc.

Čtyřikrát denně se provádí podobná kontrola, která nezatěžuje systémy.
Pomocí příkazu „-$ kontrola_GRUB“ probíhá okamžitá kontrola kdykoli bez logování, ale s výstupem informací v CLI.
Pomocí příkazu „-$ sudo podpis_GRUB“ probíhá okamžité podepsání zaváděče GRUB2/sekce a jeho aktualizované logování (nutné po aktualizaci OS/boot), a život pokračuje dál.

Realizace metody hashování zaváděče a jeho sekce

0) Podepíšeme zaváděč/sekci GRUB, předtím ji připojíme do /media/username

-$ hashdeep -c md5 -r /media/username/GRUB > /podpis.txt

1) Vytvoříme skript bez přípony v kořenovém adresáři šifrovaného OS ~/podpis, aplikujeme na něj potřebná práva 744 a ochranu před „hlupákem“.

Naplníme jeho obsah

#!/bin/bash

#Проверка всего раздела выделенного под загрузчик GRUB2 на неизменность.
#Ведется лог "о вторжении/успешной проверке каталога", короче говоря ведется полный лог с тройной вербализацией. Внимание! обратить взор на пути: хранить ЦП GRUB2 только на зашифрованном разделе OS GNU/Linux. 
echo -e "******************************************************************n" >> '/var/log/podpis.txt' && date >> '/var/log/podpis.txt' && hashdeep -vvv -a -k '/podpis.txt' -r '/media/username/GRUB' >> '/var/log/podpis.txt'

a=`tail '/var/log/podpis.txt' | grep failed` #не использовать "cat"!! 
b="hashdeep: Audit failed"

#Условие: в случае любых каких-либо изменений в разделе выделенном под GRUB2 к полному логу пишется второй отдельный краткий лог "только о вторжении" и выводится на монитор мигание gif-ки "warning".
if [[ "$a" = "$b" ]] 
then
echo -e "****n" >> '/var/log/vtorjenie.txt' && echo "vtorjenie" >> '/var/log/vtorjenie.txt' && date >> '/var/log/vtorjenie.txt' & sudo -u username DISPLAY=:0 eom '/warning.gif' 
fi

Spustíme skript od su, dojde k kontrole hashování sekce GRUB a jeho zaváděče, uloží log.

Vytvoříme nebo zkopírujeme například „škodlivý soubor“ [virus.mod] do sekce GRUB2 a spustíme dočasnou kontrolu/testování:

-$ hashdeep -vvv -a -k '/podpis.txt' -r '/media/username/GRUB

V CLI bychom měli vidět vniknutí do naší -citadely-#Урезанный лог в CLI

Stř  2. led 11:41 MSK 2020
/media/username/GRUB/boot/grub/virus.mod: Přesunuto z /media/username/GRUB/1nononoshifr
/media/username/GRUB/boot/grub/i386-pc/mda_text.mod: Ok
/media/username/GRUB/boot/grub/grub.cfg: Ok
hashdeep: Audit selhal
   Prozkoumané vstupní soubory: 0
  Známe soubory očekávající: 0
          Zápasy souborů: 325
Částečné zápasy souborů: 0
            Přesunuto souborů: 1
        Nové soubory nalezeny: 0
  Známe soubory nenalezeny: 0

#как видим появилось «Files moved: 1 и Audit failed» означает, что проверка не прошла.
Vzhledem k vlastnostem testované sekce místo „Nové soubory nalezeny“ > „Přesunuto souborů“

2) Umístíme gifku sem > ~/warning.gif, nastavíme práva 744.

3) Nastavujeme fstab na automatické připojení sekce GRUB při spuštění

-$ sudo nano /etc/fstab

LABEL=GRUB /media/username/GRUB ext4 defaults 0 0

4) Provedeme rotaci logu

-$ sudo nano /etc/logrotate.d/podpis 

/var/log/podpis.txt {
denně
rotate 50
size 5M
dateext
compress
delaycompress
olddir /var/log/old
}

/var/log/vtorjenie.txt {
měsíčně
rotate 5
size 5M
dateext
olddir /var/log/old
}

5) Přidáme úkol do cron

-$ sudo crontab -e

reboot '/podpis'
0 */6 * * * '/podpis

6) Vytvoříme trvalé aliasy

-$ sudo su
-$ echo "alias podpis_GRUB='hashdeep -c md5 -r /media/username/GRUB > /podpis.txt'" >> /root/.bashrc && bash
-$ echo "alias kontrola_GRUB='hashdeep -vvv -a -k '/podpis.txt' -r /media/username/GRUB'" >> .bashrc && bash

Po aktualizaci OS -$ apt-get upgrade znovu podepíšeme naši sekci GRUB
-$ podpis_GRUB
V tomto kroku je ochrana hašováním oddílu GRUB dokončena.

[D] Úklid — zničení nešifrovaných dat

Odstraňte své osobní soubory tak důkladně, že „ani Bůh je nemůže přečíst,” citoval zástupce Jižní Karolíny Trey Gowdy.

Jak už to bývá, existují různé „mýty a legendyo obnově dat po jejich smazání z pevného disku. Pokud věříte na kybernetické čáry nebo jste členem komunity Dr. Web, a nikdy jste se nepokoušeli o obnovu dat po jejich smazání/přepsání (například obnova pomocí R-studio), pak vám navrhovaný způsob pravděpodobně nebude vyhovovat, používejte to, co vám je bližší.

Po úspěšném přesunu GNU/Linux na šifrovaný oddíl je starou kopii nutné odstranit bez možnosti obnovy dat. Univerzální způsob čištění: software pro Windows/Linux, volně dostupný GUI program BleachBit.
Rychle naformátujeme oddíl, jehož data je třeba zničit (pomocí Gparted), spustíme BleachBit, vybereme „Vyčištění volného místa“ – vybereme oddíl (váš sdaX s předchozí kopií GNU/Linux), spustí se proces úklidu. BleachBit — mazání disku probíhá jedním průchodem — to je to, co „potřebujeme“, Ale! funguje to takto pouze v teorii, pokud jste disk naformátovali a čistili v BB v2.0.

Pozor! BB maže disk a ponechává metadata, názvy souborů se při likvidaci dat uchovávají (Ccleaner — nezanechává metadata).

A mýtus o možnosti obnovení dat není zcela mýtem.Bleachbit V2.0-2, bývalý stabilní balíček OS Debian (a jakýkoli další podobný software: sfill; wipe-Nautilus také byly zaznamenány v tomto podivném případě) ve skutečnosti měly kritickou chybu: funkce „vyčištění volného místa“ funguje nesprávně na HDD/Flashkách (ntfs/ext4). Software tohoto typu při čištění volného místa přepisuje ne celý disk, jak si mnozí uživatelé myslí. A některá (mnohá) smazaná data OS/software považují tato data za nezmazaná/uživatelská a při čištění „volného místa“ tyto soubory vynechávají. Problém je v tom, že po takovém dlouhém čištění disku „smazané soubory“ lze obnovit dokonce i po 3+ průchodech mazáním disku.
Na GNU/Linux v Bleachbit 2.0-2 Funkce nezvratného mazání souborů a adresářů fungují spolehlivě, ale nevymaže volné místo. Pro srovnání: na Windows v aplikaci CCleaner funkce "OSP pro ntfs" funguje správně, a Bůh opravdu nebude moci přečíst smazaná data.

Aby bylo možné důkladně odstranit „kompromitující“ staré nešifrované údaje, je potřeba přímý přístup Bleachbit k těmto údajům, dále použít funkci „mazání souborů/adresarů nezvratně“.
Pro odstranění „smazaných souborů standardními prostředky OS“ ve Windows použijte CCleaner/BB s funkcí „OSP“. V GNU/Linux nad tímto problémem (odstranění smazaných souborů) musíte získat zkušenosti samostatně (odstranění dat+samočinný pokus o jejich obnovení a není třeba se spoléhat na verzi softwaru (pokud není zadní vrátka, tak je to chyba)), pouze tak pochopíte mechanismus tohoto problému a trvale se zbavíte smazaných dat.

Bleachbit v3.0 jsem nezkoumal, možná už problém opravili.
Bleachbit v2.0 pracuje poctivě.

V tomto kroku je „čištění disku“ dokončeno.

[E] Univerzální zálohování šifrovaných OS

Každý uživatel má svou metodu zálohování dat, ale šifrovaná data „Systémových OS“ vyžadují poněkud odlišný přístup. Unifikovaný software, jako například „Clonezilla“ a podobné programy nemohou pracovat přímo se šifrovanými daty.

Stanovení úkolu zálohování šifrovaných blokových zařízení:

1. univerzálnost - stejný algoritmus/software pro zálohování pro Windows/Linux;
2. možnost pracovat v konzoli s jakýmikoliv live usb GNU/Linux bez potřeby dodatečného stahování softwaru (ale stále doporučuji GUI);
3. bezpečnost záloh - uložené „obrazy“ by měly být šifrovány/chráněny heslem;
4. velikost šifrovaných dat by měla odpovídat velikosti reálně kopírovaných dat;
5. pohodlné extrakce potřebných souborů z zálohy (aniž by bylo nutné nejprve dešifrovat celé oddíly).

Například záloha/obnovení pomocí utilitky „dd“

dd if=/dev/sda7 of=/cesta/sda7.img bs=7M conv=sync,noerror
dd if=/cesta/sda7.img of=/dev/sda7 bs=7M conv=sync,noerror

Splňuje téměř všechny body zadané úlohy, ale podle bodu 4 je nedostatečné, protože zkopíruje celou část disku včetně volného prostoru – nezajímá.

Například záloha GNU/Linux přes archivátor [tar» | gpg] je pohodlná, ale pro zálohu Windows je potřeba hledat jiné řešení – nezajímá.

E1. Univerzální zálohování Windows/Linux. Sada rsync (Grsync) + VeraCrypt svazek.Algoritmus pro vytvoření zálohy:

1. vytvoření zašifrovaného kontejneru. (svazek/soubor). VeraCrypt pro OS;
2. přenos/synchronizace OS pomocí softwaru Rsync do šifrovaného kontejneru VeraCrypt;
3. v případě potřeby nahrání svazku VeraCrypt na www.

Vytvoření šifrovaného kontejneru VeraCrypt má své zvláštnosti:
vytvoření dynamického svazku. (dynamický svazek lze vytvořit pouze ve Windows, použitelný je i v GNU/Linux).;
vytvoření běžného svazku, ale existuje požadavek "paranoických charakterů". (podle slov vývojáře). – formátování kontejneru.

Dynamický svazek se vytváří prakticky okamžitě v OS Windows, ale při kopírování dat z OS GNU/Linux > VeraCrypt DS, celkový výkon operace zálohování se výrazně snižuje.

Běžný svazek Twofish o 70 GB se vytváří (řekněme, na průměrně výkonném PC). na HDD ~ za půl hodiny. (přepsání bývalých dat kontejneru v jednom průchodu, způsobeno požadavkem na bezpečnost). Z VeraCrypt Windows/Linux byla odstraněna funkce rychlého formátování svazku při jeho vytváření, a proto je možné vytvořit kontejner pouze pomocí "přepsání v jednom průchodu" nebo vytvořením slabě výkonného dynamického svazku.

Vytvoříme běžný svazek VeraCrypt (ne dynamický/ntfs),, žádné problémy by neměly nastat.

Nastavujeme/vytváříme/otevíráme kontejner ve VeraCrypt GUI > GNU/Linux live usb. (svazek bude automaticky připojen v /media/veracrypt2, svazek OS Windows bude připojen v /media/veracrypt1). Vytvoříme šifrovanou zálohu OS Windows pomocí GUI rsync (grsync),, nastavíme zaškrtávací políčka.

Počkejte na dokončení procesu. Po skončení zálohování budeme mít jeden zašifrovaný soubor.

Podobně vytvořte zálohu OS GNU/Linux, zrušením zaškrtávacího políčka v GUI rsync "kompatibilita s Windows".

Pozor! kontejner Veracrypt pro "zálohu GNU/Linux" vytvářejte v souborovém systému ext4.Pokud uděláte zálohu v kontejneru ntfs, při obnovení takové kopie ztratíte všechna práva/skupiny na všechna vaše data.

Všechny operace lze provést i v terminálu. Hlavní možnosti pro rsync:
* -g -zachovat skupiny;
* -P —progress — stav doby zpracování souboru;
* -H -kopírovat hardlinky tak, jak jsou;
* -a -archivní režim (několik flagů rlptgoD);
* -v -verbosní výstup.

Pokud chcete připojit "Windows VeraCrypt volume" přes konzolu v softwaru cryptsetup, můžete vytvořit alias (su)

echo "alias veramount='cryptsetup open --veracrypt --tcrypt-system --type tcrypt /dev/sdaX Windows_crypt && mount /dev/mapper/ Windows_crypt /media/veracrypt1'" >> .bashrc && bash

Nyní po příkazu "veramount pictures" se objeví výzva k zadání hesla, a v OS se připojí zašifrovaný systémový oddíl Windows.

Příkaz pro připojení/namontování systémového oddílu VeraCrypt v cryptsetup

cryptsetup open --veracrypt --tcrypt-system --type tcrypt /dev/sdaX Windows_crypt
mount /dev/mapper/Windows_crypt /mnt

Příkaz pro připojení/namontování oddílu/kontejneru VeraCrypt v cryptsetup

cryptsetup open --veracrypt --type tcrypt /dev/sdaY test_crypt
mount /dev/mapper/test_crypt /mnt

Místo aliasu přidáme (skript pro automatické spuštění) systémový oddíl s OS Windows a logický zašifrovaný disk NTFS do automatického spuštění GNU/Linuxu

Vytvoříme skript a uložíme ho do ~/VeraOpen.sh

printf 'Ym9i' | base64 -d | cryptsetup open --veracrypt --tcrypt-system --type tcrypt /dev/sda3 Windows_crypt && mount /dev/mapper/Windows_crypt /media/Winda7 #dešifrujeme heslo z base64 (bob) a posíláme ho na výzvu k zadání hesla při montování systémového disku OS Windows.
printf 'Ym9i' | base64 -d | cryptsetup open --veracrypt --type tcrypt /dev/sda1 ntfscrypt && mount /dev/mapper/ntfscrypt /media/ContainerNTFS #analogicky, ale namontujeme logický disk NTFS.

Nastavujeme "správná" práva:

sudo chmod 100 /VeraOpen.sh

Vytvoříme dva identické soubory (stejné jméno!) v /etc/rc.local a ~/etc/init.d/rc.local
Naplníme soubory

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will «exit 0» on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

sh -c "sleep 1 && '/VeraOpen.sh'" #после загрузки ОС, ждём ~ 1с и только потом монтируем диски.
exit 0

Nastavujeme "správná" práva:

sudo chmod 100 /etc/rc.local && sudo chmod 100 /etc/init.d/rc.local 

Hotovo, nyní při spuštění GNU/Linuxu nemusíme zadávat hesla pro montování zašifrovaných disků NTFS, disky se montují automaticky.

Poznámka stručně o tom, co bylo popsáno výše v p.E1 po krocích (ale nyní pro OS GNU/Linux)
1) Vytvořte oddíl v fs ext4 > 4gb (pro soubor) Linux ve Veracrypt [Crypto Box].
2) Restartujte z live usb.
3) ~$ cryptsetup open /dev/sda7 Lunux #připojení šifrovaného oddílu.
4) ~$ mount /dev/mapper/Linux /mnt #montování šifrovaného oddílu do /mnt.
5) ~$ mkdir mnt2 #vytvoření adresáře pro budoucí zálohu.
6) ~$ cryptsetup open --veracrypt --type tcrypt ~/Crypto Box Crypto Box && mount /dev/mapper/Crypto Box /mnt2 #Připojení oddílu Veracrypt s názvem "Crypto Box" a montování Crypto Box do /mnt2.
7) ~$ rsync -avlxhHX --progress /mnt /mnt2/ #operace zálohování šifrovaného oddílu do šifrovaného oddílu Veracrypt.

(p/s/ Pozor! Pokud přenášíte šifrovaný GNU/Linux z jedné architektury/stroje na jiný, například z Intel na AMD (tedy obnovujete zálohu z jednoho šifrovaného oddílu na jiný šifrovaný oddíl Intel na AMD), nezapomeňte po přenosu šifrovaného systému opravit tajný substituční klíč místo hesla, protože předchozí klíč ~/etc/skey — již nevyhovuje jinému šifrovanému oddílu, a nový klíč „cryptsetup luksAddKey“ by se neměl vytvářet pod chroot — může nastat glitsch, prostě v ~/etc/crypttab místo „/etc/skey“ dočasně uveďte „none“, po restartu a přihlášení do systému vytvořte svůj tajný substituční klíč znovu).

Jak veteráni IT nezapomínají samostatně dělat zálohy hlaviček šifrovaných oddílů OS Windows/Linux, nebo šifrování se obrátí proti vám samotným.
V tomto kroku je zálohování šifrovaných systémů dokončeno.

[F] Útok na zaváděč GRUB2

DetailyPokud jste svůj zaváděč zabezpečili digitálním podpisem a/nebo autentizací (viz str. C6.), tak to nijak nechrání před fyzickým přístupem. Šifrovaná data budou stále nedostupná, ale obejít ochranu (reset ochrany digitálního podpisu) GRUB2 umožňuje kyberzločinci vložit svůj kód do zaváděče, aniž by to vzbudilo podezření (pokud uživatel ručně nesleduje stav zaváděče nebo nevymyslí svůj vlastní pevný náhodně-script-kód pro grub.cfg).

Algoritmus útoku. Útočník

* Spouští PC z live USB. Jakákoli změna (pachatelem) souborů povede k upozornění skutečného majitele PC o průniku do zaváděče. Ale jednoduchá přeinstalace GRUB2 se zachováním grub.cfg (a následnou možností jeho editace) umožní útočníkovi editovat jakékoli soubory (při této situaci, při spuštění GRUB2, upozornění skutečného uživatele nenastane. Stav zůstává )
* Připojuje nešifrovaný oddíl, ukládá u sebe „/mnt/boot/grub/grub.cfg“.
* Přeinstalovává zaváděč (vyhazuje „perskey“ z obrazu core.img)

grub-install --force --root-directory=/mnt /dev/sda6

* Vrací „grub.cfg“ > „/mnt/boot/grub/grub.cfg“, pokud je třeba, editoval ho, například přidáním svého modulu „keylogger.mod“ do složky s moduly zaváděče, do „grub.cfg“ > řádku „insmod keylogger“. Nebo, pokud je nepřítel zrádný, po přeinstalaci GRUB2 (všechny podpisy zůstávají na svém místě) Shromažďuje základní obraz GRUB2 pomocí „grub-mkimage s volbou (-c).“ Volba „-c“ umožní načíst váš konfiguraci před načtením hlavního „grub.cfg“. Konfigurace může obsahovat pouze jednu řádku: přesměrování na jakýkoli „modern.cfg“, smíchaný například s ~400 soubory. (moduly+podpisy) ve složce „/boot/grub/i386-pc“. Útočník může zadat libovolný kód a načíst moduly, aniž by se dotýkal „/boot/grub/grub.cfg“, i když uživatel použil „hashsum“ na soubor a dočasně ho zobrazoval na obrazovce.
K prolomení přihlašovacího jména/hesla superuživatele GRUB2 útočník nepotřebuje, stačí jen zkopírovat řádky (odpovídající za autentizaci) „/boot/grub/grub.cfg“ do svého „modern.cfg“

set superusers=„root“
password_pbkdf2 root grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8

A pro majitele počítače stále platí ověření superuživatele GRUB2.

Řetězové načítání (bootloader načítá jiný bootloader), jak jsem uvedl výše, nemá smysl (je určena pro jiný účel). Z důvodu BIOSu nelze načíst šifrovaný bootloader (při řetězovém načítání dochází k restartu GRUB2 > šifrovaný GRUB2, chyba!). Pokud byste přesto využili myšlenku řetězového načítání, můžete si být jisti, že se načítá právě šifrovaný (nemodernizovaný) „grub.cfg“ ze šifrované části. A to je také falešný pocit bezpečnosti, protože vše, co je uvedeno v šifrovaném „grub.cfg“ (načítání modulů) se spojuje s moduly, které se načítají z nezašifrovaného GRUB2.

Pokud to chcete ověřit, vyčleňte/zašifrujte další část sdaY, zkopírujte na ni GRUB2 (operace grub-install na šifrovanou část není možná) a v „grub.cfg“ (nezašifrované konfigurace) změňte řádky podobné těmto

menuentry ‘GRUBx2’ —class parrot —class gnu-linux —class gnu —class os $menuentry_id_option ‘gnulinux-simple-382111a2-f993-403c-aa2e-292b5eac4780’ {
load_video
insmod gzio
if [ x$grub_platform = xxen ]; then insmod xzio; insmod lzopio; fi
insmod part_msdos
insmod cryptodisk
insmod luks
insmod gcry_twofish
insmod gcry_twofish
insmod gcry_sha512
insmod ext2
cryptomount -u 15c47d1c4bd34e5289df77bcf60ee838
set root='cryptouuid/15c47d1c4bd34e5289df77bcf60ee838'
normal /boot/grub/grub.cfg
}

řádky
* insmod - Načítání potřebných modulů pro práci se šifrovaným diskem;
* GRUBx2 - název zobrazované řádky v nabídce GRUB2;
* cryptomount -u 15c47d1c4bd34e5289df77bcf60ee838 - viz. fdisk -l (sda9);
* set root - nastavení kořenového adresáře;
* normal /boot/grub/grub.cfg - vykonávací soubor konfigurace na šifrované části.

Jistota, že se načítá právě zašifrovaný „grub.cfg“, je pozitivní odezvou na zadání hesla/odemčení „sdaY“ při výběru položky „GRUBx2“ v nabídce GRUB.

Při práci v CLI, abyste se nepopletli (a zkontrolovali, zda proměnná prostředí „set root“ funguje), vytvořte prázdné souborové značky, například v zašifrované části „/shifr_grub“, v nezašifrované části „/noshifr_grub“. Zkontrolujte v CLI

cat /Tab-Tab

Jak bylo zmíněno výše, to nepomůže proti načtení škodlivých modulů, pokud se na vašem PC takové moduly objeví. Například keylogger, který může ukládat stisknutí kláves do souboru a mísit se s jinými soubory v „~/i386“, dokud ho nestáhne útočník s fyzickým přístupem k PC.

Nejjednodušší způsob, jak zkontrolovat, že ochrana digitálního podpisu aktivně funguje (nebyla resetována), a nikdo se nevměšuje do zaváděče, do CLI zadejte příkaz

list_trusted

v odpovědi dostaneme otisk našeho „perskey“, nebo nic nezískáme, pokud jsme byli napadeni (je také nutné zkontrolovat „set check_signatures=enforce“).
Významnou nevýhodou tohoto kroku je ruční zadávání příkazů. Pokud tuto příkaz přidáte do „grub.cfg“ a zajistíte konfiguraci digitálním podpisem, pak se předchozí výstup otisku klíče na obrazovce objeví příliš krátce a můžete ho nestihnout vidět, což povede k načítání GRUB2.
Nelze se na někoho zvlášť obracet: vývojář ve svém dokumentaci p.18.2 oficiálně uvádí

„Všimněte si, že i při ochraně heslem GRUB nemůže GRUB sám zabránit tomu, aby někdo s fyzickým přístupem k zařízení měnil konfiguraci firmwaru (např. Coreboot nebo BIOS), aby způsobil, že se zařízení spustí z jiného (útočníkem ovládaného) zařízení. GRUB je v tom nejlepším pouze jedním článkem v řetězci zabezpečeného spuštění.“

GRUB2 je příliš přeplněn funkcemi, které mohou poskytnout pocit falešné bezpečnosti, a jeho vývoj již předběhl funkčnost OS MS-DOS, a přitom je to pouze zaváděč. Je zajímavé, že GRUB2 – „zítra“ se může stát OS, zatímco virtuální stroje GNU/Linux se pro něj načítají.

Krátké video o tom, jak jsem odstranil ochranu digitálního podpisu GRUB2 a oznámil své proniknutí skutečnému uživateli (vyděsil jsem ho, a namísto toho, co je ukázáno ve videu, lze napsat neškodný libovolný kód/.mod).

Závěry:

1) Blokové šifrování systému pro Windows se implementuje snadněji, a ochrana jedním heslem je pohodlnější, než ochrana několika hesly při blokovém šifrování GNU/Linux, spravedlnosti pro říci: poslední je automatizováno.

2) Článek byl napsán jako relevantní, podrobný jednoduchý návod na šifrování celého disku VeraCrypt/LUKS na jednom domácím stroji, který je v současnosti nejlepší na ruském Internetu (podle mého názoru). Návod má více než 50 k znaků, a proto se v něm nezabývaly některé zajímavé kapitoly: o kryptografech, kteří mizí/drží se ve stínu; o tom, co se v různých knihách GNU/Linux málo nebo vůbec nepíše o kryptografii; o článku 51 ústavy Ruské federace; o licencování/запрете šifrování v Ruské federaci, o tom, proč je potřeba šifrovat "root/boot". Návod je i tak poměrně obsáhlý, ale podrobný (popisující i jednoduché kroky), což vám na oplátku ušetří spoustu času, když se pustíte do "skutečného šifrování".

3) Šifrování celého disku bylo realizováno na Windows 7 64; GNU/Linux Parrot 4x; GNU/Debian 9.0/9.5.

4) Úspěšně jsem realizoval útok na svůj bootloader GRUB2.

5) Tutoriál byl vytvořen, aby pomohl všem paranoidům ze SNS, kde je práce se šifrováním povolená na legislativní úrovni. A na prvním místě pro ty, kteří chtějí provést šifrování celého disku, aniž by museli zničit své nastavené systémy.

6) Přepracoval jsem a aktualizoval svůj návod, který je aktuální k roku 2020.

[G] Užitečná dokumentace

1. Uživatelská příručka TrueCrypt (únor 2012 RU)
2. Dokumentace VeraCrypt
3. /usr/share/doc/cryptsetup(-run) [локальный ресурс] (oficiální podrobná dokumentace pro nastavení šifrování GNU/Linux pomocí cryptsetup)
4. Oficiální FAQ cryptsetup (stručná dokumentace pro nastavení šifrování GNU/Linux pomocí cryptsetup)
5. Šifrování zařízení LUKS (dokumentace archlinux)
6. Podrobný popis syntaxe cryptsetup (manuál arch)
7. Podrobný popis crypttab (manuál arch)
8. Oficiální dokumentace GRUB2.

Štítky: šifrování celého disku, šifrování oddílu, šifrování celého disku Linux, plné šifrování systému LUKS1.

Pouze registrovaní uživatelé se mohou účastnit ankety. Přihlaste se, prosím.

Šifrujete?

• 17,1%Šifruji vše, co jen jde. Mám paranoiu.

• 34,2%Šifruji jen důležitá data.

• 14,6%Někdy šifruji, někdy zapomínám.

• 34,2%Ne, nešifruji, je to nepraktické a nákladné.

Hlasovalo 82 uživatelů. Zdrželo se 22 uživatelů.

Zdroj: habr.com