Täisdiskide krüpteerimine Windows Linux installitud süsteemide jaoks. Krüpteeritud mitme käivitusega.

Uuendatud järkjärguline juhend täielikuks kettakrüptimiseks Venemere ruumis V0.2.

Kauboistrateegia:

[A] plokk-süsteemi krüptimine Windows 7 paigaldatud süsteemis;
[B] plokk-süsteemi krüptimine GNU/Linux (Debian) paigaldatud süsteem (sh /boot);
[C] GRUB2 seadistamine, laadijate kaitsmine digitaalallkirjade/autentimise/hashimisega;
[D] andmete eemaldamine — kõigi mittesalvestatud andmete hävitamine;
[E] universaalne varukoopia krüpteeritud OS-ide jaoks;
[F] rünnak <sihtp.[C6]> eesmärgiga — GRUB2 laadija;
[G] kasulik dokumentatsioon.

╭───Kohaskeem #ruum 40# <BIOS/MBR/1HDD ilma lvm-ita>:
├──╼ Paigaldatud Windows 7 — täiustatud krüptimine, mitte peidetud;
├──╼ Paigaldatud GNU/Linux (Debian ja derivatiivsed distributsioonid) — täiustatud krüptimine mitte peidetud( /, sh /boot; swap);
├──╼ iseseisvad laadijad: VeraCrypt laadija paigaldatud MBR-s, GRUB2 laadija paigaldatud laiendatud partitsioonis;
├──╼ operatiivsystemi installimist/uuesti installimist ei nõuta;
└──╼ kasutatav krüptograafia tarkvara: VeraCrypt; Cryptsetup; GnuPG; Seahorse; Hashdeep; GRUB2 – tasuta/avatud.

Ülaltoodud skeem lahendab osaliselt probleemi, mis on seotud „käivitusel boot’iga mälupulgal”, võimaldades nautida krüpteeritud Windows/Linux OS-e ja vahetada andmeid „krüpteeritud kanali” kaudu ühelt OS-ilt teisele.

Arvuti käivitamise järjekord (üks võimalustest):

• masina sisselülitamine;
• VeraCrypti laadija laadimine; (õige parooli sisestamine jätkab Windows 7 laadimist);;
• klahvi «Esc» vajutamine laadib GRUB2 laadijat;
• GRUB2 laadija (distributsiooni/GNU/Linuxi/CLI valimine);, nõuab GRUB2 superkasutaja autentimist <kasutajanimi/parool>;
• pärast eduka autentimise ja distributsiooni valimist, tuleb sisestada võtmefraas, et avada „/boot/initrd.img”;
• pärast GRUB2-sse õigete paroolide sisestamist, on nõutav parooli sisestamine (kolmas, BIOS-i parool või GNU/Linuxi kasutaja konto parool – mitte arvesse võtta); GNU/Linuxi OS-i avamiseks ja laadimiseks, või salajase võtme automaatne sisestamine (kaks parooli + võti, või parool + võti);;
• GRUB2 konfiguratsiooni väline sekkumine külmutab GNU/Linuxi laadimisprotsessi.

Töötav? Okei, läme protsesside automatiseerimise juurde.

Kõvaketta partitsioneerimisel (MBR tabel) Plaadil võib olla rohkem kui neli põhiosa või kolm põhiosa ja üks laiendatud osa, samuti pole märgistatud ala. Laiendatud osa, erinevalt põhiosasest, võib sisaldada alamosasid. (loogilised kettad = laiendatud osa). Teisisõnu, „laiendatud osa” HDD-l asendab LVM-i praeguses ülesandes: täieliku süsteemi krüpteerimise. Kui teie kettal on neli põhiosa, peate kasutama lvm-i või teisendama (vormindamisega) põhiosa laiendatuks või õigesti kasutama kõiki nelja osa ja jätma kõik nii nagu on, saavutades soovitud tulemuse. Isegi kui teie kettal on ainult üks osa, aitab Gparted HDD-d jagada (lisadiskideks) andmete kaotamata, kuid siiski väikese hinna eest selliste toimingute eest.

Ketta partitsioneerimise skeem, mille järgi läheb kogu artikli verballiseerimine, on esitatud allolevas tabelis.

Tabel (nr 1) 1TB osi.

Midagi sarnast peaks olema ka teil.
sda1 — põhiosa nr 1 NTFS (krüpteeritud);
sda2 — laiendatud osa marker;
sda6 — loogiline ketas (sellele on installitud laadija GRUB2);
sda8 — swap (šifreeritud vahetusfail/ei pruugi alati olla);
sda9 — testdisk loogiline kettad;
sda5 — loogiline kettas uudishimulikele;
sda7 — GNU/Linux operatsioonisüsteem (üle kantud operatsioonisüsteem šifreeritud loogilisele kettale);
sda3 — peamine partitsioon nr 2 Windows 7 operatsioonisüsteemiga (šifreeritud);
sda4 — peamine partitsioon nr 3 (selles paiknes šifreerimata GNU/Linux, kasutatakse varukoopiana/ei pruugi alati olla).

[А] Windows 7 plokkide süsteemne šifreeimine

A1. VeraCrypt

Käivitamine ametlik veebisait, kas peegelduse kaudu sourceforge VeraCrypt krüptograafilise tarkvara installimise versiooni (artikli avaldamise hetkel v1.24-Update3, portatiivne versioon VeraCrypt ei sobi süsteemi šifreerimiseks). Kontrollige allalaaditud tarkvara kontrollsummat

$ Certutil -hashfile "C:VeraCrypt Setup 1.24.exe" SHA256

ja võrrelge saadud tulemust arendaja VeraCrypt veebisaidil avaldatud KSI-ga.

Kui HashTab tarkvara on installitud, on see veelgi lihtsam: hiire parema nupuga (VeraCrypt Setup 1.24.exe)- omadused - failide hash summad.

Programmi allkirja kontrollimiseks peab süsteemis olema installitud tarkvara ja arendaja avalik pgp võti gnuPG; gpg4win.

A2. VeraCrypt tarkvara installimine/ka käivitamine administraatori õigustega

A3. Aktiivse partitsiooni süsteemi šifreerimise parameetrite valimineVeraCrypt – Süsteem – Krüpteeri süsteemiosa/ketas – Tavaline – Krüpteeri Windows süsteemiosa – Mitme tõuke – (hoiatus: „Kogenematutele kasutajatele ei soovitata seda meetodit“ ja see on tõsi, nõustume „Jah“) – Käivitatav ketas („jah“, isegi kui mitte, siis ikkagi „jah“) – Süsteemide arv „2 või enam“ – Mitmed süsteemid ühel kettal „Jah“ – Mitte Windowsi käivitusprogrammi „Ei“ (tegelikult „Jah“, kuid VeraCrypti/GRUB2 käivitusprogrammid ei jaga MBR-i omavahel, täpsemalt, MBR-is/käivitusteadel hoitakse vaid kõige väiksem osa käivitusprogrammi koodist, peamine osa paikneb failisüsteemi piires) – Mitme tõuke – Krüpteerimisparameetrite seaded…

Kui kõrvale kalduda ülaltoodud sammudest (plokki süsteemse krüpteerimise skeem), siis VeraCrypt kuvab hoiatuse ja ei luba jagu krüpteerida.

Järgmises etapis, suunatud andmekaitsele, viige läbi "Test" ja valige krüpteerimise algoritm. Kui teie CPU on vananenud, on tõenäoliselt kõige kiiremini Twofish krüpteerimise algoritm. Kui CPU on võimas, märkate vahet: AES - testide järgi on krüpteerimine mitmekordselt kiiremad kui konkurentide omad. AES on populaarne krüpteerimise algoritm, tänapäevaste CPU-de riistvaraline osa on spetsiaalselt optimeeritud nii "saladuse" kui ka "murdmiseks".

VeraCrypt toetab võimalust krüpteerida kettaid AES-i kaskaadis.(Twofish)/и другими комбинациями. На старо-ядерном CPU Intel десятилетней давности (ilma AES-i riistvara toetusega, A/T kaskaadi krüpteerimine) tootlikkuse langus on põhimõtteliselt märkamatult. (AMD CPU-d samast ajast/ ~parameetritest - tootlikkus on veidi madalam). OS töötab dünaamiliselt ja ressursikasutus läbipaistva krüpteerimise jaoks - märkamatult. Erinevalt näiteks märgatavast tootlikkuse langusest, mis on tingitud paigaldatud testi ebastabiilsest desktop keskkonnast Mate v1.20.1. (või v1.20.2, ei mäleta täpselt) GNU/Linuxis või Windows 7 telemeetriateenuse töö tõttu↑. Tavalised kogenud kasutajad teevad jõudlustestid enne süsteemi krüpteerimist. Näiteks Aida64, Sysbench ja systemd-analyze blame tulemusi võrreldakse nendelt testidelt saadud tulemustega pärast süsteemi krüpteerimist, seeläbi ümber lükates müüdi „süsteemi krüpteerimine on kahjulik.” Masina aeglustumine ja ebamugavustunne on samuti tunda enkrüpteeritud andmete varundamise ja taastamise käigus, kuna operatsioon „süsteemi andmete varundamine” ei mudi millisekundites, ja lisanduvad reaalsed . Lõppkokkuvõttes seab iga kasutaja, kellele on lubatud krüptimisega töötada, tasakaalu krüptimisalgoritmi, ülesannete täitmise rahulolu, enda paranoiataseme ja kasutusmugavuse vahel.

PIM parameeterit on parem jätta vaikimisi seadistusse, et iga kord, kui operatsioonisüsteemi käivitate, ei peaks te sisestama täpseid iteratsioonide väärtusi. VeraCrypt rakendab tohutul hulgal iteratsioone, et luua tõeliselt "aeganõudev räsiväärtus". Rünnak sellise "krüptoorava" vastu, kasutades Brute force/kaarte, on mõttekas ainult lühikese "lihtsa" parooli fraasi ja ohvri isikupärase charset-i loendi puhul. Parooli vastupidavuse hind on viivitus õige parooli sisestamisel operatsioonisüsteemi käivitamisel. (VeraCrypti kogusid GNU/Linuxis montaaž on oluliselt kiirem).
Tarkvara brute force ründe teostamiseks. (parooli fraasi väljavõtmine VeraCrypti/LUKS ketta pealkirjast). Hashcat. John the Ripper ei oska "VeraCrypti murda" ja LUKS-i puhul ei mõista ta Twofish krüptograafiat.

Krüptimisalgoritmide teostusvõime tõttu arendavad peatumatud krüptohäkkijad tarkvara erineva ründevektoriga. Näiteks metainformatsiooni/võtmete väljavõttmine RAM-ist. (külma jalatsiga rünnak/mälu otse pääsemine), on olemas spetsialiseeritud tasuta ja tasulist tarkvara nende eesmärkide saavutamiseks.

Pärast «unikaalsete metaandmete» krüpteeritud aktiivse osa seadistamist/generatsiooni pakub VeraCrypt arvuti taaskäivitamist ja laadib oma laadijat testimiseks. Pärast Windowsi taaskäivitamist jääb VeraCrypt ooterežiimile, tuleb vaid kinnitada krüpteerimisprotsess — Y.

Süsteemi krüpteerimise lõppfaasis pakub VeraCrypt luua aktiivse krüpteeritud jaotise päise varukoopia nimega «veracrypt rescue disk.iso» — see tuleb kindlasti teha — selles tarkvaras on see toiming nõue. (LUKS-is on see kahjuks dokumentatsioonis tähelepanuta jäetud, kuid rõhutatult ära toodud). Abidisk on vajalik kõigile, ja mõnel juhul isegi korduvalt. Kaotus (päise/MBR ülekirjutamine) varukoopia peatub igaveseks ligipääse avatud Windowsi OS jaotisele.

A4. VeraCrypti päästekettaga USB/diskVaikimisi pakub VeraCrypt kirjutada "metainfo ~2-3 MB" kompaktsele kettale, kuid mitte kõikidel inimestel ei ole CD-d või DVD-ROM draive, ja VeraCrypti päästeplaadi loomine võib olla tehniline üllatus: Rufus / GUIdd-ROSA ImageWriter ja muud sarnased programmid ei suuda ülesannet täita, sest peale nihkunud metainformatsiooni kopeerimise laadimisflashile tuleb pildist teha copy/paste väljaspool USB-mäluseadmest, lühidalt, õigesti kopeerida MBR / rada võtmele. GNU / Linuxi operatsioonisüsteemist saab laadimisflashi luua, kasutades utiliiti "dd", viidates sellele tabelile.

Päästediskide loomine Windowsi keskkonnas on erinev. VeraCrypti arendaja ei ole selle ülesande lahendust ametlikult. dokumentatsiooni по «rescue disk», но предложил решение другим путем: выложил дополнительное ПО по созданию «usb rescue disk» в свободный доступ, на своем форуме VeraCrypt. Архивариус этого ПО для Windows – «создание usb veracrypt rescue disk». После сохранения rescue disk.iso начнется процесс блочного системного шифрования активного раздела. Во время шифрования работа ОС не останавливается, перезагрузка ПК не требуется. По завершению операции криптования, активный раздел становится полностью зашифрованным, можно пользоваться. Если при запуске ПК не появляется загрузчик VeraCrypt, и не помогает операция восстановления заголовка, то проверьте флаг «boot», он должен быть установлен на раздел, где присутствует Windows (независимо от шифрования и других ОС, см. таблица №1).
На этом описание блочного системного шифрования с ОС Windows закончено.

[B] LUKS. Шифрование GNU/Linux (~Debian) установленной ОС. Алгоритм и Шаги

Ettevalmistatud jaotuse krüpteerimiseks Debian/tüvi distributiivis peab ettevalmistatud jaotus sobima virtuaalse plokiseadmestikuga, seejärel tuleb see GNU/Linux'i sobitatud kettale edastada ning GRUB2 paigaldada/konfigureerida. Kui teil pole puhta serveri keskkonda ja hindate oma aega, siis on soovitatav kasutada GUI-d, samas kui enamik allpool kirjeldatud terminalikäske eeldab „Chuck Norris” režiimis sisestamist.

B1. Arvuti käivitamine live USB GNU/Linux'ist

„Tehke krüpto- jaostuse jõudluse test”

lscpu && cryptsetup benchmark

Kui olete õnnelik tugeva riistvara omanik AES-i riistvaratoega, siis numbrid näivad terminali paremas osas, kui olete õnnelik, kuid vanade komponentidega — vasakus osas.

B2. Ketta partitsioneerimine. HDD loogilise ketta fs-i monteerimine/vorming Ext4 (Gparted)

B2.1. Krüpteeritud jaotuse pealkirja loomine sda7Jaotuste nimed on kirjeldatud vastavalt minu jagustabelile, mis on ülaltoodud. Te peate oma kettasaagidevastust vastavalt oma ketta jaotusele sisestama.

Loogilise ketta krüpteerimise sobitamine (/dev/sda7 > /dev/mapper/sda7_crypt).
#Простое создание «LUKS-AES-XTS раздела»

cryptsetup -v -y luksFormat /dev/sda7

Valikud:

* luksFormat - LUKS pealkirja initsialiseerimine;
* -y - parool fraas (mitte võti/fail);
* -v - verbaliseerimine (informatsiooni väljastamine terminalis);
* /dev/sda7 - teie loogiline ketas laiendatud sektsioonist (koht, kuhu plaanitakse üleviimine/krüpteerimine GNU/Linuxis).

Vaikimisi krüpteerimise algoritm <LUKS1: aes-xts-plain64, Võti: 256 bitti, LUKS pealkirja hashing: sha256, RNG: /dev/urandom> (sõltub cryptsetup versioonist).

#Проверка default-алгоритма шифрования
cryptsetup  --help #самая последняя строка в выводе терминала.

Kui CPU-l ei ole AES-i riistvaralist tuge, siis on parem valida laiendatud "LUKS-Twofish-XTS-sektsioon".

B2.2. Laiendatud "LUKS-Twofish-XTS-sektsiooni" loomine

cryptsetup luksFormat /dev/sda7 -v -y -c twofish-xts-plain64 -s 512 -h sha512 -i 1500 --use-urandom

Valikud:
* luksFormat - LUKS pealkirja initsialiseerimine;
* /dev/sda7 teie tulevane krüpteeritud loogiline ketas;
* -v verbaliseerimine;
* -y parool fraas;
* -c krüpteerimise algoritmi valik;
* -s krüpteerimise võtme suurus;
* -h hashimise algoritm/krüptofunktsioon, kasutatakse juhusliku arvude genereerijat (—use-urandom) loogilise ketta tiitli unikaalse krüpteerimise/dekrüpteerimise võtme, teise tiitli võtme (XTS) genereerimiseks; unikaalne master-võti, mis salvestatakse ketta krüpteeritud tiitlisse, teise XTS võtme, kõik need metaandmed ja krüpteerimisalgoritm, mis kasutavad master-võtit ja teist XTS-võtit andmete krüpteerimiseks/dekrüpteerimiseks jagamisel. (välja arvatud jagamise tiitel) salvestatakse ~3 MB valitud kõvakettaja jagamisel.
* -i iteratsioonid millisekundites, mitte "kogus" (time delay in processing passphrase, affecting OS loading and key cryptographic strength). Lihtsa parooli, näiteks "russian" puhul tuleb krüptograafilise tugevuse tasakaalu hoidmiseks suurendada -(i) väärtust; keeruka parooli, näiteks "?8dƱob/øfh" puhul võib väärtust vähendada.
* —use-urandom juhuslike arvude generaator, genereerib võtmeid ja soola.

Pärast jaotuse sda7 vastavust > sda7_crypt (operatsioon on kiire, kuna luuakse krüpteeritud tiitel metaandmete ~3 MB ja sellega on kõik), tuleb vormindada ja mountida failisüsteem sda7_crypt.

B2.3. Vastavus

cryptsetup open /dev/sda7 sda7_crypt
# selle käsu täitmine nõuab salajase parooli sisestamist.

valikud:
* open -siduda jaotist 'nimega';
* /dev/sda7 -loogiline ketas;
* sda7_crypt -sidumisnimetus, mida kasutatakse krüpteeritud jaotise monteerimiseks või selle initsialiseerimiseks opsüsteemi laadimise ajal.

B2.4. Failisüsteemi sda7_crypt vormindamine ext4. Ketta monteerimine opsüsteemis(Märkus: Gpartedis ei saa krüpteeritud jaotisega töötada)

#форматирование блочного шифрованного устройства
mkfs.ext4 -v -L DebSHIFR /dev/mapper/sda7_crypt 

valikud:
* -v -verbaalsus;
* -L -ketta märgis (mis kuvatakse failihalduris muude kettade seas).

Seejärel tuleb virtuaalne krüpteeritud plokiseade /dev/sda7_crypt süsteemi monteerida

mount /dev/mapper/sda7_crypt /mnt

Failidega töötamine kaustas /mnt toob automaatselt kaasa andmete krüpteerimise/dekrüpteerimise sda7-s.

Mugavam on jaotist siduda ja monteerida failihalduris (nautilus/caja GUI), jaotis on juba kettavaliku nimekirjas, jäänud on vaid sisestada parool, et avada/dekrüpteerida ketas. Sidumisnimetus valitakse automaatselt ja ei ole 'sda7_crypt', vaid midagi sellist nagu /dev/mapper/Luks-xx-xx…

B2.5. Ketta pea varundamine (metaandmed ~3MB)Üks kõige olulisemaid tegevusi, mis tuleb teha viivitamata — varukoopia pealkirjast «sda7_crypt». Kui pealkiri kirjutatakse üle/katkeb, (näiteks GRUB2 installimise kaudu partitsioonile sda7 jne.), siis šifreeritud andmed kaotatakse igaveseks ja nende taastamine ei ole võimalik, kuna identsete võtmete genereerimine pole võimalik — võtmed on unikaalsed.

#Бэкап заголовка раздела
cryptsetup luksHeaderBackup --header-backup-file ~/Бэкап_DebSHIFR /dev/sda7 

#Восстановление заголовка раздела
cryptsetup luksHeaderRestore --header-backup-file <file> <device>

valikud:
* luksHeaderBackup —header-backup-file - varukoopia käsk;
* luksHeaderRestore —header-backup-file - taastamise käsk;
* ~/Backup_DebSHIFR — varukoopia fail;
* /dev/sda7 - partitsioon, mille šifreeritud ketta pealkirja varukoopia tuleb salvestada.
Sel etapil <šifreeritud partitsiooni loomine ja redigeerimine> on lõppenud.

B3. GNU/Linuxi operatsioonisüsteemi üleviimine (sda4) šifreeritud partitsioonile (sda7)

Loome kausta /mnt2 (Märkus — töötame endiselt live USB-ga, punktis /mnt on mountitud sda7_crypt), ja monteerime meie GNU/Linuxi /mnt2, mille tuleb šifreerida.

mkdir /mnt2
mount /dev/sda4 /mnt2

Teostame operatsiooni korrektse üleviimise koos Rsync tarkvaraga

rsync -avlxhHX --progress /mnt2/ /mnt

Rsynci valikud on kirjeldatud p.E1.

Edasi, vajalik teha loogilise ketta partitsiooni defragmentatsioon

e4defrag -c /mnt/ # pärast kontrollimist näitab e4defrag, et jaotise defragmenteerimise aste on ~"0", see on eksitus, mis võib põhjustada olulist jõudluse kadu!
e4defrag /mnt/ # teeme defragmenteerimise krüpteeritud GNU/Linux süsteemil

Tehke reegliks: tehke e4defrag krüpteeritud GNU/Linux-is aeg-ajalt, kui teil on HDD.
Ülekanne ja sünkroonimine [GNU/Linux > GNU/Linux-krüpteeritud] on selle sammu korralikult lõpetatud.

V4. GNU/Linux seadistamine krüpteeritud jaotises sda7

Pärast operatsioonisüsteemi eduka ülekande teostamist /dev/sda4 > /dev/sda7 peate sisenema GNU/Linux-i krüpteeritud jaotisesse ja teostama edasist seadistamist (ilma arvuti taaskäivitamiseta) krüpteeritud süsteemi osas. See tähendab, et peate olema live USB-s, kuid käske täitma "krüpteeritud OS-i juurest". Sarnase olukorra simuleerimiseks kasutatakse "chroot". Et kiiresti teada saada, millise OS-iga te hetkel töötate (kas see on krüpteeritud või mitte, kuna andmed sda4 ja sda7 on sünkroonitud), desünkroniseerige OS-id. Looge juurkataloogidesse (sda4/sda7_crypt) tühjad markerfailid, näiteks /mnt/krüpteeritudOS ja /mnt2/deskrüpteeritudOS. Kiire kontroll, millises OS-is te viibite (sealates tulevikuks):

ls /

B4.1. „Sissejuhatus krüpteeritud operatsioonisüsteemi”

mount --bind /dev /mnt/dev
mount --bind /proc /mnt/proc
mount --bind /sys /mnt/sys
chroot /mnt

B4.2. Kontrollimine, et töö toimub krüpteeritud süsteemi suhtes

ls /mnt
# ja näeme faili "/krüpteeritudOS"

history
# terminali väljundis peaks olema su töötluse ajalugu.

B4.3. Krüpteeritud swap'i loomine/seadistamine, crypttab/fstab muutmineKuna vahetuseFail formaat on iga operatsioonisüsteemi käivituse ajal, ei ole mõtet luua ja siduda swap'i loogilise kettaga nüüd ja sisestada käsud nagu p.B2.2. Swap'i puhul genereeritakse igal käivitamisel automaatselt oma ajutised krüpteerimise võtmed. Swap-võtmete elutsükkel: vahetuse jaotuse lahtivõtmine/lukustamine (+RAM-i puhastamine); või operatsioonisüsteemi taaskäivitamine. Swap'i seadistamine, avame faili, mis vastutab plokkide krüpteeritud seadmete konfigureerimise eest (sarnane fstab failile, kuid vastutav krüptimise eest).

nano /etc/crypttab 

muudame

#«target name» «source device» «key file» «options»
swap /dev/sda8 /dev/urandom swap,cipher=twofish-xts-plain64,size=512,hash=sha512

Valikud
* swap -sümboliseeritud nimi krüpteerimisel /dev/mapper/swap.
* /dev/sda8 -kasutage oma loogilist jagu swap'i jaoks.
* /dev/urandom -krüpteerimise võtmete juhusliku genereerimise generaator swap'i jaoks (iga uue operatsioonisüsteemi laadimisega — loodud uued võtmed). Generaator /dev/urandom on vähem juhuslik kui /dev/random, lõpuks /dev/random'i kasutatakse ohtlikes paranoilistes tingimustes. Operatsioonisüsteemi laadimise ajal /dev/random peatab laadimise paariks ± minutiks. (vt. systemd-analyze).
* swap,cipher=twofish-xts-plain64,size=512,hash=sha512: -partitsioon teab, et see on swap ja vormindatakse "vastavalt"; krüptimisalgoritm.

#Открываем и правим fstab
nano /etc/fstab

muudame

# swap was on /dev/sda8 during installation
/dev/mapper/swap none swap sw 0 0

/dev/mapper/swap -имя , которое задали в crypttab.

Alternatiivne krüpteeritud swap
Kui mingil põhjusel ei soovi te kogu partitsiooni swapifailiks kasutada, siis on olemas alternatiivne ja parem tee: loon swapifaili krüptitud partitsioonis, kus asub operatsioonisüsteem.

fallocate -l 3G /swap #loome faili, mille suurus on 3GB (peaaegu kohene toiming)
chmod 600 /swap #seame õigused
mkswap /swap #loome failist swapifaili
swapon /swap #lülitame meie swap'i sisse
free -m #kontrollime, et swapifail on aktiveeritud ja töötab
printf "/swap none swap sw 0 0" >> /etc/fstab #vajadusel jääb swap pärast taaskäivitamist püsivaks

Swap-i konfigureerimine on lõpetatud.

B4.4. Krüptitud GNU/Linux seadistamine (failide crypttab/fstab redigeerimine)Fail /etc/crypttab, nagu eelnevalt mainitud, kirjeldab krüpteeritud plokiseadmeid, mis seadistatakse süsteemi käivitamise ajal.

#правим /etc/crypttab 
nano /etc/crypttab 

kui olete kaardistanud osaku sda7>sda7_crypt nagu p.B2.1

# «target name» «source device» «key file» «options»
sda7_crypt UUID=81048598-5bb9-4a53-af92-f3f9e709e2f2 none luks

kui olete kaardistanud osaku sda7>sda7_crypt nagu p.B2.2

# «target name» «source device» «key file» «options»
sda7_crypt UUID=81048598-5bb9-4a53-af92-f3f9e709e2f2 none cipher=twofish-xts-plain64,size=512,hash=sha512

kui olete kaardistanud osaku sda7>sda7_crypt nagu p.B2.1 või B2.2, kuid ei soovi parooli uuesti sisestada süsteemi avamiseks ja käivitamiseks, siis parooli asemel võib kasutada salajast võtit/ildistantfaili

# «target name» «source device» «key file» «options»
sda7_crypt UUID=81048598-5bb9-4a53-af92-f3f9e709e2f2 /etc/skey luks

Kirjeldus
* none - teatab, et süsteemi käivitamisel on vajalik salajase paroolifraasi sisestamine juure avamiseks.
* UUID - osaku identifikaator. Oma identifikaatori saamiseks sisestage terminalis (meeldetuletus, et kogu selle aja ja edaspidi töötate terminalis chroot keskkonnas, mitte teises live usb terminalis).

fdisk -l # kõigi osakute kontrollimiseks
blkid # peaks välja nägema midagi sarnast 

/dev/sda7: UUID=«81048598-5bb9-4a53-af92-f3f9e709e2f2» TYPE=«crypto_LUKS» PARTUUID=«0332d73c-07»
/dev/mapper/sda7_crypt: LABEL=«DebSHIFR» UUID=«382111a2-f993-403c-aa2e-292b5eac4780» TYPE=«ext4»

seda rida näete blkid käsu pärimise korral live usb terminalis, kui sda7_crypt on monteeritud).
UUID võtate just teie sdaX-st (mitte sdaX_crypt!, UUID sdaX_crypt – eemaldatakse automaatselt grub.cfg konfi genereerimisel).
* cipher=twofish-xts-plain64,size=512,hash=sha512 -luks krüpto laiendatud režiimis.
* /etc/skey -salajane võtmefail, mis lisatakse automaatselt operatsioonisüsteemi laadimise avamiseks. (kolmanda parooli sisselugemise asemel). Faili võib määrata igaüks kuni 8MB, kuid andmed loetakse <1MB.

#Создание "генерация" случайного файла <секретного ключа> размером 691б.
head -c 691 /dev/urandom > /etc/skey

#Добавление секретного ключа (691б) в 7-й слот заголовка luks
cryptsetup luksAddKey --key-slot 7 /dev/sda7 /etc/skey

#Проверка слотов "пароли/ключи luks-раздела"
cryptsetup luksDump /dev/sda7 

See näeb välja umbes nii:

(tehke seda ise ja näete ise).

cryptsetup luksKillSlot /dev/sda7 7 #salajase võtme/parooli kustutamine 7. slotist.

/etc/fstab содержит описательную информацию о различных файловых системах.

#Правим /etc/fstab
nano /etc/fstab

# «file system» «mount poin» «type» «options» «dump» «pass»
# / was on /dev/sda7 during installation
/dev/mapper/sda7_crypt / ext4 errors=remount-ro 0 1

valik
* /dev/mapper/sda7_crypt -sda7>sda7_crypt seose nimi, mis on määratud failis /etc/crypttab.
crypttab/fstab seadistamine on lõpule viidud.

B4.5. Konfiguratsioonifailide redigeerimine. Peamine punkt.B4.5.1. Konfiguratsiooni redigeerimine /etc/initramfs-tools/conf.d/resume.

#Если у вас ранее был активирован swap раздел, отключите его. 
nano /etc/initramfs-tools/conf.d/resume

ja kommenteerige. (kui see eksisteerib). «#» rida «resume». Fail peab olema täiesti tühi.

B4.5.2. Konfiguratsiooni redigeerimine /etc/initramfs-tools/conf.d/cryptsetup.

nano /etc/initramfs-tools/conf.d/cryptsetup.

peab vastama.

# /etc/initramfs-tools/conf.d/cryptsetup
CRYPTSETUP=yes.
export CRYPTSETUP.

B4.5.3. Konfiguratsiooni redigeerimine /etc/default/grub. (just see konfiguratsioon vastutab grub.cfg genereerimise eest, kui töötatakse krüpteeritud /bootiga).

nano /etc/default/grub.

lisame rea «GRUB_ENABLE_CRYPTODISK=y».
‘y’ väärtus, grub-mkconfig ja grub-install kontrollivad krüpteeritud ketaste olemasolu ning genereerivad täiendavad käsklused nendele juurdepääsuks käivitamise ajal. (insmod-id ).
peab olema sarnasus

GRUB_DEFAULT=0
GRUB_TIMEOUT=1
GRUB_DISTRIBUTOR=`lsb_release -i -s 2> /dev/null || echo Debian`
GRUB_CMDLINE_LINUX_DEFAULT="acpi_backlight=vendor"
GRUB_CMDLINE_LINUX="quiet splash noautomount"
GRUB_ENABLE_CRYPTODISK=y

B4.5.4. Konfiguratsiooni redigeerimine /etc/cryptsetup-initramfs/conf-hook

nano /etc/cryptsetup-initramfs/conf-hook

veenduge, et rida oleks kommenteeritud .
Tulevikus (ja isegi juba praegu, see parameeter ei oma mingit tähtsust, kuid mõnikord takistab see initrd.img pildi uuendamist).

B4.5.5. Konfiguratsiooni redigeerimine /etc/cryptsetup-initramfs/conf-hook

nano /etc/cryptsetup-initramfs/conf-hook

lisame

KEYFILE_PATTERN="/etc/skey"
UMASK=0077

See pakib salajase võtme «skey» initrd.img, võtme, mis on vajalik süsteemi käivitamisel juurdepääsu saamiseks. (kui ei soovi parooli uuesti sisestada, kasutatakse automaatselt võtme «skey»).

B4.6. Uuendamine /boot/initrd.img [version]Et pakendada salajane võtmes initrd.img ja rakendada cryptsetup'i parandusi, uuendame pilti

update-initramfs -u -k all

initrd.img uuendamisel (nagu öeldakse „Võib-olla, kuid see ei ole kindel“) kui ilmuvad hoiatused, mis on seotud cryptsetup'iga, või näiteks teade Nvidia moodulite kadumisest — see on normaalne. Pärast faili uuendamist kontrollige, et see on tõeliselt uuendatud, vt ajamärkuse järgi. (seoses chroot keskkonnaga./boot/initrd.img). Tähelepanu! enne [update-initramfs -u -k all] kontrollige kindlasti, et cryptsetup open /dev/sda7 sda7_crypt — see on see nime, mis peab olema /etc/crypttab, vastasel juhul enne reboot'i on viga busybox)
Sellel sammul on konfigureerimise failide seadistamine lõpetatud.

[C] GRUB2 paigaldamine ja seadistamine/Kaitse

C1. Kui vajalik, vormindage laadija jaoks määratud partitsioon (partitsioon peab olema vähemalt 20MB suurune)

mkfs.ext4 -v -L GRUB2 /dev/sda6

C2. Mountimine /dev/sda6 kausta /mntKuna töötame chrootis, siis juurtas ei ole katalooge /mnt2, vaid kaust /mnt — on tühi.
mountime GRUB2 partitsiooni

mount /dev/sda6 /mnt

Kui teil on installitud vana versioon GRUB2, kataloogis /mnt/boot/grub/i-386-pc (võib olla ka teine platvorm, näiteks mitte „i386-pc“) puuduvad krüptomoodulid ( lühidalt, kaustas peavad olema moodulid, sealhulgas need .mod: cryptodisk; luks; gcry_twofish; gcry_sha512; signature_test.mod), sellisel juhul tuleb GRUB2 uuesti installida.

apt-get update
apt-get install grub2 

Oluline! GRUB2 paketi värskendamise ajal, kui küsitakse, kuhu laadija paigaldada – peab loobuma paigaldamisest. (põhjus – GRUB2 proovimise tõttu paigaldada – «MBR» või live usb-le). Vastasel juhul kahjustate VeraCrypti päist/loaderit. Pärast GRUB2 paketide värskendamist ja paigaldamisest loobumist tuleb laadija käsitsi paigaldada loogilisele kettale, mitte «MBR»-le. Kui teie hoidlas on aegunud versioon GRUB2-st, proovige uuendada seda ametlikult veebilehelt – ei ole kontrollinud (olen töötanud uute GRUB 2.02 ~BetaX loaderitega).

C3. GRUB2 paigaldamine laiendatud osi [sda6]Teie [p.C.2] partitsioon peab olema monteeritud

grub-install --force --root-directory=/mnt /dev/sda6

valikud
* —force - laadija paigaldamine, mööda kõigist hoiatustest, mis peaaegu alati eksisteerivad ja blokeerivad paigalduse (kohustuslik lipp).
* —root-directory - <boot/grub> katalooge paigaldamine sda6 juurte.
* /dev/sda6 - teie sdaХ partitsioon (ärge unustage <vahe> vahel /mnt /dev/sda6).

C4. Konfiguratsioonifaili [grub.cfg] loomineUnustage käsk «update-grub2» ja kasutage täielikku käsku konfiguratsioonifaili genereerimiseks

grub-mkconfig -o /mnt/boot/grub/grub.cfg

Pärast grub.cfg faili genereerimise/uuendamise lõppu peaks väljundite terminalis olema rida(ridade) leidmist OS-dest kettal. („grub-mkconfig“ võib leida ja enamasti võtta arvesse OS-e live USB-lt, kui teil on multiboot USB, millel on Windows 10 ja hulk live distributsioone — see on normaalne). Kui terminalis on „tühi“, faili „grub.cfg“ ei genereeritud, siis on see juhtum, mil GRUB-is on vead. (ja tõenäoliselt laadija katsetab säilitusest), installige GRUB2 usaldusväärsetest allikatest.
Paigaldamine „lihtne konfiguratsioon“ ja GRUB2 seadistamine on lõpetatud.

C5. Tõend-test krüpteeritud GNU/Linux OS-iKorrektselt lõpetame krüptimise missiooni. Lahkume ettevaatlikult krüpteeritud GNU/Linuxist. (väljumine chroot keskkonnast).

umount -a #krüpteeritud GNU/Linux kõikide paigaldatud jaotuste lahtiühendamine
Ctrl+d #väljumine chroot keskkonnast
umount /mnt/dev
umount /mnt/proc
umount /mnt/sys
umount -a #live USB-lt kõikide paigaldatud jaotuste lahtiühendamine
reboot

Pärast arvuti taaskäivitamist peab VeraCrypti laadija käivituma.


*Sisestage aktiivse jaotuse parool — OS Windows hakkab laadima.
*Klaviatuuri «Esc» vajutamine edastab GRUB2 kontrolli, kui valite krüpteeritud GNU/Linux - on vajalik parool (sda7_crypt) /boot/initrd.img avamiseks (kui grub2 kirjutab, et uuid «ei leitud» - see on grub2 laadija probleem, tuleks see uuesti installida, näiteks testharust/stabiilne ja pд).


*Sõltuvalt sellest, kuidas olete süsteemi seadistanud (vt p.B4.4/4.5) pärast õige parooli sisestamist /boot/initrd.img avamiseks, on vajalik parool tuumale/OS-i juurtele, või automaatselt asendatakse salajane võti «skey», vabastades teid paroolifraasi uuest sisestamisest.

(screenshot «salajase võtme automaatne sisestamine»).

*Seejärel kulgeb tuttav GNU/Linux laadimisprotsess kasutaja autentimisega.


*Pärast kasutaja autoriseerimist ja OS-i sisenemist on vaja uuesti värskendada /boot/initrd.img (vt V4.6).

update-initramfs -u -k all

Ja kui GRUB2 menüüs on soovimatuid ridu (OS-i kätte saamise alt live usb-st) tuleb neist vabaneda

mount /dev/sda6 /mnt
grub-mkconfig -o /mnt/boot/grub/grub.cfg

Lühikokkuvõte GNU/Linuxi süsteemse krüptimise kohta:

• GNU/Linux on täiesti krüpteeritud, sealhulgas /boot/kernel ja initrd;
• salajane võti on pakitud initrd.img-i;
• praegune autoriseerimise skeem (parooli sisestamine initrd ihaldamiseks; parool/võti operatsioonisüsteemi laadimiseks; Linuxi konto autoriseerimise parool).

„Lihtne GRUB2 konfiguratsioon” blokiukse süsteemi krüpteerimine on lõpule viidud.

C6. Täiendav GRUB2 seadistamine. Laadimise kaitse digitaalse allkirjaga + autentimisega kaitseGNU/Linux on täielikult krüpteeritud, kuid laadijat ei saa krüpteerida — see tingimus on dikteeritud BIOS-i poolt. Seetõttu ei ole ketta krüpteeritud laadimine GRUB2 kaudu võimalik, kuid lihtne kettalaadimine on võimalik/saadaval, kaitse seisukohalt — ei ole vajalik [vt punkt F].
Haavatava GRUB2 jaoks on arendajad rakendanud laadija kaitse algoritmi „allkirja/autentimisega”.

• Kui laadijat kaitseb „oma digitaalne allkiri”, toob väliste failide modifitseerimine või liidese laadimiseks täiendavate moodulite laadimiseks kaasa laadimisprotsessi blokeerimise.
• Kui laadijat kaitseb autentimine, siis mõne distro laadimiseks või CLI-s täiendavate käskude sisestamiseks on vaja sisestada superkasutaja-GRUB2 kasutajanimi ja parool.

C6.1. Laadija kaitse autentimisegaVeenduge, et töötate terminalis krüpteeritud operatsioonisüsteemis.

ls / #leida failikaard

looge GRUB2 autoriseerimiseks superkasutaja parool

grub-mkpasswd-pbkdf2 #sisestage/kinnitage superkasutaja parool. 

Saage parooli hash. Midagi sellist nagu see

grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8

mount GRUB sektsioon

mount /dev/sda6 /mnt 

redigeerime konfiguratsiooni

nano -$ /mnt/boot/grub/grub.cfg 

kontrollige, et failis «grub.cfg» ei oleks kuskil lippusid (» —unrestricted» «—user»,
lisage lõppu (enne rida ### END /etc/grub.d/41_custom ###)
«set superusers=»root»
password_pbkdf2 root hash.

See peaks olema umbes nii

# This file provides an easy way to add custom menu entries. Simply type the
# menu entries you want to add after this comment. Be careful not to change
# the ‘exec tail’ line above.
### END /etc/grub.d/40_custom ###

### BEGIN /etc/grub.d/41_custom ###
if [ -f ${config_directory}/custom.cfg ]; then
source ${config_directory}/custom.cfg
elif [ -z «${config_directory}» -a -f $prefix/custom.cfg ]; then
source $prefix/custom.cfg;
fi
set superusers=«root»
password_pbkdf2 root grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8
### END /etc/grub.d/41_custom ###
#

Kui kasutate sageli käsku «grub-mkconfig -o /mnt/boot/grub/grub.cfg» ja te ei soovi iga kord grub.cfg-s muudatusi teha, lisage ülaltoodud read (kasutajanimi/parool) GRUB-i isiklike skriptide viimasesse ossa

nano /etc/grub.d/41_custom 

cat << EOF
set superusers=«root»
password_pbkdf2 root grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8
EOF

Konfiguratsiooni genereerimisel „grub-mkconfig -o /mnt/boot/grub/grub.cfg“ lisatakse autentimisread automaatselt grub.cfg faili.
Selle sammu puhul on GRUB2 autentimise seadistamine lõpetatud.

C6.2. Laadimisseadmestiku kaitsmine digitaalse allkirjagaEeldatakse, et teil on juba isiklik PGP-šifreerimise võti. (või looge selline võti). Süsteemis peab olema installitud krüptograafiline tarkvara: gnuPG; kleopatra/GPA; Seahorse. Krüpto-tarkvara lihtsustab nende asjadega tegelemist teie jaoks. Seahorse'i stabiilne versioon on 3.14.0. (Üksikasjad, nagu V3.20, on puudulikud ja sisaldavad tõsiseid vigu).

PGP-võtit tuleb genereerida/käivitada/vahetada ainult keskkonnas su!

Genereerige isiklik šifreerimiskood

gpg --gen-key

Ekspordige oma võti

gpg --export -o ~/perskey

Mountige loogiline ketas operatsioonisüsteemis, kui see pole veel monteeritud

mount /dev/sda6 /mnt #sda6 – GRUB2 partitsioon

kustutage GRUB2 partitsioon

rm -rf /mnt/

Installige GRUB2 sda6 ja asetage oma isiklik võti GRUBi põhifaili „core.img“

grub-install --force --modules="gcry_sha256 gcry_sha512 signature_test gcry_dsa gcry_rsa" -k ~/perskey --root-directory=/mnt /dev/sda6

valikud
* —force - installer bootloader, ignore all warnings that always exist (kohustuslik lipp).
* —modules="gcry_sha256 gcry_sha512 signature_test gcry_dsa gcry_rsa" - instructs GRUB2 to preload necessary modules at PC startup.
* -k ~/perskey - path to the "PGP key" (after packaging the key in the image, it can be removed).
* —root-directory - set the boot directory to root sda6
/dev/sda6 -ваш sdaХ раздел.

Generate/update grub.cfg

grub-mkconfig -o /mnt/boot/grub/grub.cfg

Add the line "trust /boot/grub/perskey" at the end of the file "grub.cfg" (enforce PGP key usage.) Since we installed GRUB2 with a set of modules, including the signature module "signature_test.mod", this eliminates the need to add commands like "set check_signatures=enforce" to the config.

It should look roughly like this (ending lines in the grub.cfg file)

### BEGIN /etc/grub.d/41_custom ###
if [ -f ${config_directory}/custom.cfg ]; then
source ${config_directory}/custom.cfg
elif [ -z «${config_directory}» -a -f $prefix/custom.cfg ]; then
source $prefix/custom.cfg;
fi
trust /boot/grub/perskey
set superusers=«root»
password_pbkdf2 root grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8
### END /etc/grub.d/41_custom ###
#

The path to "/boot/grub/perskey" doesn't need to specify a particular disk partition, for the bootloader "root" is the default path of the partition where GRUB2 is installed (see set rot=..).

Sign GRUB2 (all files in all directories /GRUB) with your key "perskey".
A simple solution for signing (for nautilus/caja file manager): installime laienduse 'seahorse' failihaldurist. Võti peab olema su keskkonda lisatud.
Ava failihaldur sudo '/mnt/boot' – Paremklikk – allkirjastada. Ekraanipildil näeb see välja nii.

Peamine võti '/mnt/boot/grub/perskey' (kopeerida grub katalooge) peab olema samuti oma allkirjaga allkirjastatud. Kontrolli, et kataloogis/alamkataloogides on failide allkirjad [*.sig].
Allkirjastame '/boot' ülaltoodud meetodil. (meie kernel, initrd). Kui su aeg on väärtuslik, siis see meetod vabastab teid bash-skripti kirjutamisest 'paljude failide' allkirjastamiseks.

Kuna eemaldada kõik alglaadimisallkirjad, (kui midagi läks valesti)

rm -f $(find /mnt/boot/grub -type f -name '*.sig')

Et mitte allkirjastada alglaadijat pärast süsteemi värskendamist, külmutame kõik GRUB2-d puudutavad värskenduspakkumised.

apt-mark hold grub-common grub-pc grub-pc-bin grub2 grub2-common

Sellega on täiendav GRUB2 seadistamine lõpule viidud <digitalse allkirja kaitse alglaadimisse>.

C6.3. Testi GRUB2 alglaadijat, mis on kaitstud digitaalse allkirja ja autentimisega.GRUB2. Valides mõne GNU/Linuxi distributsiooni või sisenedes CLI-sse (kommando rea) nõutakse superkasutaja autoriseerimist. Pärast õige kasutajanime/parooli sisestamist on vajalik parool initrd jaoks.

Ekraan, GRUB2 superkasutaja edukas autentimine.

Kui GRUB2 faile mingil viisil valevõi muudatusi grub.cfg-sse, või kustutada fail/algallikas, laadida kahjulik modulaator .mod, ilmub vastav hoiatus. GRUB2 laadimine peatub.

Ekraan, katse sekkuda GRUB2 'väljast'.

Normaalses laadimises 'ilma sekkumiseta' on süsteemi väljakood '0'. Seega ei ole teada, kas kaitse töötab või mitte. (ehk siis 'kas laadijakaitse on allkirja või ilma selleta' normaalsete laadimiste puhul on staatus sama '0' — see on halb).

Kuidas kontrollida kaitset digiallkirjaga?

Ebamugav kontrollimise meetod: valevõi kustutada kasutatav GRUB2 moodul, näiteks eemaldada allkiri luks.mod.sig ja saada viga.

Õige meetod: sisestada laadija CLI-sse ja kirjutada käsk

trust_list

Vastuseks peaks saama 'perskey' sõrmejälje, kui staatus on '0', siis tähendab, et allkirjakaitse ei tööta, kontrollige uuesti p.C6.2.
Selles etapis on pikendatud seadistamine 'GRUB2 digiallkirja ja autentimise kaitse' lõppenud.

C7 Alternatiivne meetod GRUB2 käivitaja kaitsmiseks hashimise teelÜlaltoodud meetod "Käivitaja kaitsmine CPU/auditimisega" on klassika. GRUB2 ebatäiuslikkuse tõttu on ekstremistlikes tingimustes see tegelikult haavatav rünnaku suhtes, millest ma räägin allpool [F]. Lisaks tuleb pärast operatsioonisüsteemi/kerneli värskendamist käivitaja uuesti allkirjastada.

GRUB2 käivitaja kaitsmine hashimisega

Eelised klassika ees:

• Kõrgem usaldusväärsuse tase (hashimine/kontroll viiakse läbi ainult krüpteeritud kohalikult ressursilt. Kontrollitakse kogu GRUB2 alla eraldatud partitsiooni muudatuste osas, samas kui kõik muu on krüpteeritud, klassikalises skeemis CPU/auditimise kaitsega kontrollitakse vaid faile, mitte vabade kohtade osas, kuhu „midagi salakavalat” võib juurde kirjutada).
• Krüpteeritud logimine (skeemile lisandub loetav isiklik krüpteeritud logi).
• Kiirus (kogu GRUB2 alla eraldatud partitsiooni kaitsete kontroll toimub praktiliselt koheselt).
• Kõikide krüptograafiliste protsesside automatiseerimine.

Puudused klassika ees.

• Allkirja vale. (teoreetiliselt on võimalik leida antud hash-funktsiooni kokkupõrge).
• Suurenenud keerukuse tase (klassikaga võrreldes on vajalik veidi rohkem oskusi GNU/Linuxi operatsioonisüsteemis).

Kuidas töötab häshet GRUB2/partitsiooni ideega

GRUB2 partitsioon on "allkirjastatud"; operatsioonisüsteemi käivitamisel kontrollitakse laadimissektori muutumatust ja logitakse see turvalises (krüpteeritud) keskkonnas. Kui laadimissektor või selle partitsioon on kompromiteeritud, käivitub peale sissetungi logi täiendav

asi.

Sarnane kontroll toimub neli korda päevas, mis ei koorma süsteemi ressursse.
Käsku "-$ kontroll_GRUB" saab kasutada igal ajal hetkeseisu kontrollimiseks ilma logitamiseta, kuid CLI-s kuvatakse teave.
Käsku "-$ sudo allkiri_GRUB" kasutatakse GRUB2 laadimissektori ja selle uuendatud logimise koheseks allkirjastamiseks (vajalik pärast operatsioonisüsteemi/boot uuendamist), ja elu läheb edasi.

Laadimissektori ja selle partitsiooni hashimise meetodi rakendamine

0) Allkirjastame laadimissektori/partitsiooni GRUB, eelnevalt monteerides selle /media/username.

-$ hashdeep -c md5 -r /media/username/GRUB > /allkiri.txt

1) Создаем скрипт без расширения в корне зашифрованной ОС ~/podpis, применяем к нему нужные права 744 секьюрити и защита от «дурака».

Наполняем его содержимое

#!/bin/bash

#Проверка всего раздела выделенного под загрузчик GRUB2 на неизменность.
#Ведется лог "о вторжении/успешной проверке каталога", короче говоря ведется полный лог с тройной вербализацией. Внимание! обратить взор на пути: хранить ЦП GRUB2 только на зашифрованном разделе OS GNU/Linux. 
echo -e "******************************************************************n" >> '/var/log/podpis.txt' && date >> '/var/log/podpis.txt' && hashdeep -vvv -a -k '/podpis.txt' -r '/media/username/GRUB' >> '/var/log/podpis.txt'

a=`tail '/var/log/podpis.txt' | grep failed` #не использовать "cat"!! 
b="hashdeep: Audit failed"

#Условие: в случае любых каких-либо изменений в разделе выделенном под GRUB2 к полному логу пишется второй отдельный краткий лог "только о вторжении" и выводится на монитор мигание gif-ки "warning".
if [[ "$a" = "$b" ]] 
then
echo -e "****n" >> '/var/log/vtorjenie.txt' && echo "vtorjenie" >> '/var/log/vtorjenie.txt' && date >> '/var/log/vtorjenie.txt' & sudo -u username DISPLAY=:0 eom '/warning.gif' 
fi

Запускаем скрипт от su, произойдет проверка хэширования раздела GRUB и его загрузчика, save лог.

Создадим или скопируем, например, «вредоносный файл» [virus.mod] в раздел GRUB2 и запустим временную проверку/тестирования:

-$ hashdeep -vvv -a -k '/podpis.txt' -r '/media/username/GRUB

В CLI должны увидеть вторжение в нашу -цитадель-#Урезанный лог в CLI

Ср янв  2 11::41 MSK 2020
/media/username/GRUB/boot/grub/virus.mod: Moved from /media/username/GRUB/1nononoshifr
/media/username/GRUB/boot/grub/i386-pc/mda_text.mod: Ok
/media/username/GRUB/boot/grub/grub.cfg: Ok
hashdeep: Audit failed
   Input files examined: 0
  Known files expecting: 0
          Files matched: 325
Files partially matched: 0
            Files moved: 1
        New files found: 0
  Known files not found: 0

#как видим появилось «Files moved: 1 и Audit failed» означает, что проверка не прошла.
Из-за особенностей тестируемого раздела вместо «New files found» > «Files moved»

2) Кладём гифку сюда > ~/warning.gif, задаем права 744.

3) Настраиваем fstab на автомонтирование раздела GRUB при загрузке

-$ sudo nano /etc/fstab

LABEL=GRUB /media/username/GRUB ext4 defaults 0 0

4) Проводим ротацию лога

-$ sudo nano /etc/logrotate.d/podpis 

/var/log/podpis.txt {
daily
rotate 50
size 5M
dateext
compress
delaycompress
olddir /var/log/old
}

/var/log/vtorjenie.txt {
monthly
rotate 5
size 5M
dateext
olddir /var/log/old
}

5) Добавляем задание в cron

-$ sudo crontab -e

taaskäivita ‘/podpis’
0 */6 * * * ‘/podpis

6) Создаем постоянные алиасы

-$ sudo su
-$ echo "alias подпись_GRUB='hashdeep -c md5 -r /media/username/GRUB > /podpis.txt'" >> /root/.bashrc && bash
-$ echo "alias проверка_GRUB='hashdeep -vvv -a -k '/podpis.txt' -r /media/username/GRUB'" >> .bashrc && bash

Pärast operatsioonisüsteemi uuendamist -$ apt-get upgrade allkirjastame meie GRUB jaotise uuesti
-$ подпись_GRUB
Selle sammu jaoks on GRUB jaotise kaitse lõpetatud.

[D] Kustutamine — krüpteerimata andmete hävitamine

Kustutage oma isiklikud failid nii täielikult, et «isegi Jumal ei saa neid lugeda», nagu ütles Lõuna-Carolina esindaja Trey Gowdy.

Nagu tavaliselt, eksisteerivad erinevad «müüdid ja legendid», andmete taastamisest pärast nende kõvakettalt kustutamist. Kui usute kübersoovidesse või olete Dr .webi kogukonna liige ja pole kunagi proovinud andmeid taastada pärast nende kustutamist/ülekirjutamist, (näiteks taastamine R-studio abil), siis pakutud meetod ei pruugi teile sobida, kasutage seda, mis teile lähemale tuleb.

Pärast GNU/Linuxi eduka üleviimist krüpteeritud jaotisse tuleb vana koopia kustutada andmete taastamise võimaluseta. Üks universaalne kustutamisviis: Windowsi/Linuxi tarkvara, tasuta GUI-tarkvara BleachBit.
Kiire vormindame jaotise, mille andmed tuleb hävitada (Gparted abil), käivitame BleachBit'i, valime „Vaba ruumi puhastamine“ – valime partitions (teie sdaX koos eelmise GNU/Linux koopia), käivitatakse puhastusprotsess. BleachBit puhastab ketast ühe mööda – see on just see, mida „me vajame“, kuid! see töötab ainult teoorias, kui olete ketast vormindanud ja puhastanud BB v2.0 tarkvaraga.

Tähelepanu! BB puhastab ketast, jättes metainformatsiooni, failide nimed jäävad andmete hävitamisel alles (Ccleaner – ei jäta metainformatsiooni).

Ja müüt andmete taastamise võimalusest ei ole päris müüt.Bleachbit V2.0-2 oli hetkel unstable OS Debian pakett (ja mistahes sarnane tarkvara: sfill; wipe-Nautilus – ka neid on selles räpases töös nähtud) oli tegelikult kriitiline viga: funktsioon „vaba ruumi puhastamine“ töötab ebakorrektselt HDD/dekoodrites (ntfs/ext4). Selline tarkvara vaba ruumi puhastamisel ei üle kirjutada kogu ketast, nagu paljud kasutajad arvavad. Ja mõned (palju) kustutatud andmed OS/tarkvara peavad neid andmeid kustutamatuks/kasutajateks ja “VRS” puhastamisel jätavad need failid vahele. Probleem on selles, et pärast sellist pikaajalist kettapuhastust „kustutatud failid“ võivad taastada даже через 3+ прохода протирания диска.
На GNU/Linux в Bleachbit 2.0-2 надежно работают функции безвозвратного удаления файлов и каталогов, но не очистка свободного пространства. Для сравнения: на Windows в ПО CCleaner функция «ОСП для ntfs» работает исправно, и Бог действительно не сможет прочитать удаленные данные.

И так, чтобы основательно удалить «компрометирующие» старые нешифрованные данные, необходим прямой доступ Bleachbit к этим данным, далее, воспользоваться функцией «удаление файлов/каталогов безвозвратно».
Для удаления «удаленных файлов штатными средствами ОС» в Windows используйте CCleaner/BB с функцией «ОСП». В GNU/Linux над этой проблемой (удаление удаленных файлов) вам необходимо получить практику самостоятельно (удаление данных+самостоятельная попытка их восстановления и не стоит полагаться на версию ПО (если не закладка, то баг)), только в таком случае вы сможете понять механизм этой проблемы и избавиться от удаленных данных окончательно.

Bleachbit v3.0 не проверял, возможно, проблему уже поправили.
Bleachbit v2.0 работает честно.

На этом шаге «зачистка диска» завершена.

[E] Üks universaalne krüpteeritud operatsioonisüsteemide varundus

Igal kasutajal on oma andmete varundamise meetod, kuid krüpteeritud 'Süsteemi OS' andmed vajavad veidi erinevat lähenemist. Ühtne tarkvara, nagu näiteks 'Clonezilla' ja sarnased tööriistad, ei saa otse krüpteeritud andmetega töötada.

Krüpteeritud plokkseadmete varundamise ülesande seadmine:

1. universaalsus — sama algoritm/tarkvara varundamiseks Windowsi ja Linuxi jaoks;
2. võimalus töötada käsureas igas live USB GNU/Linuxis, ilma et oleks vaja täiendavalt tarkvara alla laadida (aga ma soovitaksin ikkagi GUI-d);
3. varukoopiate turvalisus — salvestatud 'pildid' peavad olema krüpteeritud/parooliga kaitstud;
4. krüpteeritud andmete suurus peab vastama tegelikele kopeeritavatele andmete suurusele;
5. mugav vajalike failide hankimine varukoopiast (ilma vajaduseta esmalt kogu jaotust dekrüpteerida).

Näiteks varundamine/taastamine utiliidiga 'dd'

dd if=/dev/sda7 of=/path/sda7.img bs=7M conv=sync,noerror
dd if=/path/sda7.img of=/dev/sda7 bs=7M conv=sync,noerror

Tingib peaaegu kõik ülesande punktid, kuid punktis 4 ei vasta kriitikale, kuna kopeerib kogu kettasektaori, sealhulgas vaba ruumi - ei ole huvitav.

Näiteks GNU/Linuxi varukoopia [tar» | gpg] on mugav, kuid Windowsi varukoopiate jaoks tuleb otsida teistsuguseid lahendusi - ei ole huvitav.

E1. Universaalne varundamine Windowsi ja Linuxi jaoks. Kombo rsync (Grsync) + VeraCrypt maht.Varukoopia loomise algoritm:

1. krüpteeritud konteineri loomine. (maht/fail) VeraCrypt operatsioonisüsteemile;
2. operatsioonisüsteemi üleviimine/sünkroniseerimine VeraCrypti krüptokonteinerisse Rsynci tarkvara abil;
3. vajadusel VeraCrypti ketta laadimine www.

VeraCrypti krüpteeritud konteineri loomisel on oma eripärad:
dünaamilise mahu loomine (dünaamilise mahu loomine on saadaval ainult Windowsis, kuid saab kasutada ka GNU/Linuxis);
tava mahu loomine, kuid on nõue 'paranoilisest iseloomust' (arendaja sõnul) – konteineri vormindamine.

Dünaamiline maht luuakse Windowsis praktiliselt momentaalselt, kuid andmete kopeerimisel GNU/Linuxist > VeraCrypti DT-sse on üldiselt varundamisoperatsiooni tulemuslikkus oluliselt madalam.

Tavaline Twofishi maht 70 GB luuakse (ütleme nii, keskmise jõudlusega arvutis) HDD-l umbes poole tunni jooksul (varasema konteineri andmete ülekirjutamine ühes tsüklis, mis on tagatud turvanõuete tõttu). VeraCryptis Windowsi/Linuxi jaoks on eemaldatud mahtude kiire vormindamise funktsioon loomise käigus, seega on konteineri loomine võimalik ainult „ühe tsükli ülekirjutamise” või nõrkade dünaamiliste mahtude loomise kaudu.

Loome tavalise VeraCrypti mahu (mitte dünaamiline/ntfs), probleeme tekkida ei tohiks.

Seadistame/loome/avatud konteineri VeraCrypti GUI> GNU/Linux live usb (maht monteeritakse automaatselt /media/veracrypt2, Windowsi OS maht monteeritakse /media/veracrypt1). Loome krüpteeritud varukoopia Windows OS-st GUI rsynci abil (grsync), märkides linnukesed.

Oodake protsessi lõpuleviimist. Varukoopia lõppedes on meil üks krüpteeritud fail.

Sarnasel viisil looge GNU/Linuxi OS-i varukoopia, eemaldades linnukese GUI rsyncis „ühilduvus Windowsiga”.

Tähelepanu! VeraCrypti konteinerit GNU/Linuxi varukoopia jaoks tuleks luua failisüsteemis ext4. Kui teete varukoopia ntfs konteinerisse, kaotate taastamise käigus kõik õigused/grupid kõigile oma andmetele.

Kõiki toiminguid saab teha ka terminalis. Peamised rsynci valikud:
* -g -säilitada grupid;
* -P —progress — faili töötamise aja olek;
* -H -kopeerida kõvakettalinke sellisena;
* -a -arhiivimise režiim (mitmed lipud rlptgoD);
* -v -verbaalsus.

Kui soovite mountida „Windows VeraCrypti partitsiooni“ läbi console soft cryptsetupi, saate luua alias (su)

echo "alias veramount='cryptsetup open --veracrypt --tcrypt-system --type tcrypt /dev/sdaX Windows_crypt && mount /dev/mapper/ Windows_crypt /media/veracrypt1'" >> .bashrc && bash

Nüüd käsklusega „veramount pictures“ küsitakse sisestama parooli fraasi ja Windowsi krüpteeritud süsteemimahtu monteeritakse OS-sse.

VeraCrypti süsteemimahtu cryptsetupis sidumise/mountimise käsk

cryptsetup open --veracrypt --tcrypt-system --type tcrypt /dev/sdaX Windows_crypt
mount /dev/mapper/Windows_crypt /mnt

VeraCrypti partitsiooni/konteinerit cryptsetupis sidumise/mountimise käsk

cryptsetup open --veracrypt --type tcrypt /dev/sdaY test_crypt
mount /dev/mapper/test_crypt /mnt

Alias'i asemel lisame (skripti automaatlaadimisse) süsteemi Windows OS ja loogilise krüpteeritud ntfs-disk GNU/Linuxi automaatlaadimisse

Loome skripti ja salvestame selle ~/VeraOpen.sh

printf 'Ym9i' | base64 -d | cryptsetup open --veracrypt --tcrypt-system --type tcrypt /dev/sda3 Windows_crypt && mount /dev/mapper/Windows_crypt /media/Winda7 # dekodeerime salasõna base64-st (bob) ja saadame selle nõudmise kaudu parooli sisestamiseks Windows operatsioonisüsteemi süsteemideketta mountimisel.
printf 'Ym9i' | base64 -d | cryptsetup open --veracrypt --type tcrypt /dev/sda1 ntfscrypt && mount /dev/mapper/ntfscrypt /media/KonteinerNtfso # analoogselt, aga mountime ntfs loogilise ketta.

Käivita „õiged“ õigused:

sudo chmod 100 /VeraOpen.sh

Loome kaks identset faili (identse nimega!) /etc/rc.local ja ~/etc/init.d/rc.local
Täidame failid

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will «exit 0» on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.

sh -c "sleep 1 && '/VeraOpen.sh'" #после загрузки ОС, ждём ~ 1с и только потом монтируем диски.
exit 0

Käivita „õiged“ õigused:

sudo chmod 100 /etc/rc.local && sudo chmod 100 /etc/init.d/rc.local 

Kõik, nüüd ei pea me GNU/Linuxi käivitamisel sisestama paroole krüpteeritud kõvakettaste mountimiseks, kettad mountitakse automaatselt.

Märkus lühidalt selle kohta, mis on eespool kirjeldatud p.E1 sammust (aga nüüd GNU/Linuxi jaoks)
1) Loo partiit ext4 > 4gb (faili jaoks) Linuxis Veracrypt [Krüptosahtel].
2) Taaskäivita live USB-st.
3) ~$ cryptsetup open /dev/sda7 Lunux # krüpteeritud jaotuse vastavus.
4) ~$ mount /dev/mapper/Linux /mnt # krüpteeritud jaotuse mountimine /mnt-sse.
5) ~$ mkdir mnt2 # kausta loomine tulevase varukoopia jaoks.
6) ~$ cryptsetup open —veracrypt —type tcrypt ~/Krüptokast Krüptokast && mount /dev/mapper/Krüptokast /mnt2 # Veracrypti mahuti nimega «Krüptokast» sidumine ja Krüptokasti mountimine /mnt2.
7) ~$ rsync -avlxhHX --progress /mnt /mnt2/ # krüpteeritud partitsiooni varundamise operatsioon krüpteeritud Veracrypti mahutisse.

(p/s/ Tähelepanu! Kui peate krüpteeritud GNU/Linuxi versi ühelt arhitektuurilt/masinalt teisele, näiteks Intelilt AMD-le (st taastate varukoopia ühelt krüpteeritud osast teisele krüpteeritud osale Intelilt AMD-le), ärge unustage peale krüpteeritud OS-i üleviimist korrigeerida salajane sisestatav võti, mitte parool, kuna eelmine võti ~/etc/skey — ei sobi uuele krüpteeritud osale, ja uut võtit „cryptsetup luksAddKey” ei ole soovitatav luua chroot’i alt — võib juhtuda viga, lihtsalt märkige ~/etc/crypttabis ajutiselt „none” asemel „/etc/skey”, pärast rebooti ja sisselogimist OS-i täiustage oma salajane sisestatav võti uuesti).

IT veteranid ei unusta eraldi teha varukoopiaid krüpteeritud Windows/Linux partitsioonide peadest, vastasel juhul võib krüpteerimine teid enda vastu töötada.
Sellel etapil on krüpteeritud OS-i varundamine lõpetatud.

[F] Rünnak GRUB2 laadijale

ÜksikasjadKui olete kaitsnud oma alglaadurit digitaalse allkirjaga ja/või autentimisega (vt p.C6.), ei kaitse see teid füüsilise juurdepääsu eest. Krüpteeritud andmed jäävad endiselt kättesaamatuks, kuid kaitse obstruktsioon (digitaalallkirjade kaitse ümbersättimine) GRUB2 võimaldab küberkurjategijal oma koodi alglaadurisse sisestada, äratamata kahtlust (kui kasutaja ei jälgi manuaalselt alglaaduri olekut või ei leidnud välja oma jäätme vastupidava skripti koodi grub.cfg jaoks).

Rünnaku algoritm. Kurjategija

* Käivitab arvuti live usb-ilt. Igakuine muudatus (rikkumises) failides teavitab tegelikku arvuti omanikku sissetungist alglaadurisse. Kuid lihtne GRUB2 uuesti installimine grub.cfg säilitamisega (ja sellele järgnev võimalus seda redigeerida) annab kurjategijale võimaluse redigeerida kõiki faile (sellise arenguga ei teavitata GRUB2 käivitamisel tegelikku kasutajat. Oleku staatus on sama )
* Mountib krüpteerimata jao, salvestab endale „/mnt/boot/grub/grub.cfg”.
* Uuesti installib alglaaduri (viskab „perskey” välja core.img pildist)

grub-install --force --root-directory=/mnt /dev/sda6

* Tagastab «grub.cfg» > «/mnt/boot/grub/grub.cfg», vajadusel redigeerib selle, näiteks lisades oma mooduli «keylogger.mod» käivitusmoodulite kausta, «grub.cfg» > rida «insmod keylogger». Või näiteks, kui vaenlane on salajane, siis pärast GRUB2 uuesti installimist. (kõik allkirjad jäävad paika) ta kogub GRUB2 põhifaili, kasutades «grub-mkimage» koos valikuga (-s). Valik «-s» võimaldab laadida oma konfiguratsiooni enne põhifaili «grub.cfg» laadimist. Konfiguratsioon võib koosneda isegi ainult ühest reast: suunamine igale «modern.cfg»-ile, segatuna näiteks ~400 failiga. (moodulid+allkirjad) kaustas «/boot/grub/i386-pc». Samal ajal saab ründaja sisse viia meelevaldset koodi ja laadida mooduleid, mõjutamata «/boot/grub/grub.cfg», isegi kui kasutaja on rakendanud «hashsum» faili ja ajutiselt selle ekraanile väljastanud.
Superkasutaja GRUB2 sisselogimise/parooli häkkimiseks ei ole ründajal vaja, lihtsalt tuleb kopeerida read (mis vastutavad autentimise eest) «/boot/grub/grub.cfg» oma «modern.cfg»-sse.

set superusers=«root»
password_pbkdf2 root grub.pbkdf2.sha512.10000.DE10E42B01BB6FEEE46250FC5F9C3756894A8476A7F7661A9FFE9D6CC4D0A168898B98C34EBA210F46FC10985CE28277D0563F74E108FCE3ACBD52B26F8BA04D.27625A4D30E4F1044962D3DD1C2E493EF511C01366909767C3AF9A005E81F4BFC33372B9C041BE9BA904D7C6BB141DE48722ED17D2DF9C560170821F033BCFD8

Ja arvuti omaniku jaoks töötab endiselt superkasutaja GRUB2 autentimise kontroll.

Ahelkäivitamine (käivitusprogramm laadib teise käivitusprogrammi), nagu eelnevalt mainitud, ei oma see mõtet (see on mõeldud teise eesmärgi jaoks). BIOS-i tõttu ei saa krüpteeritud käivitajat laadida (ahelkäivitamisel taaskäivitub GRUB2 > krüpteeritud GRUB2, viga!). Siiski, kui kasutada ahelkäivituse mõtet, võib olla kindel, et laaditakse just see krüpteeritud (mitte uuendatud) «grub.cfg» krüpteeritud osast. Ja see on samuti vale turvatunne, sest kõik, mis on märgitud krüpteeritud «grub.cfg» (moodulite laadimine) koondub moodulitega, mis laaditakse lahti krüpteeritud GRUB2-st.

Kui soovite seda kontrollida, siis eraldage/krüpteerige veel üks osa sdaY, kopeerige sellele GRUB2 (operatsioon grub-install krüpteeritud osale on võimatu) ja «grub.cfg» (lahti krüpteeritud konfiguraatsiooni) muutke selliseid ridu nagu

menuentry ‘GRUBx2’ —class parrot —class gnu-linux —class gnu —class os $menuentry_id_option ‘gnulinux-simple-382111a2-f993-403c-aa2e-292b5eac4780’ {
load_video
insmod gzio
if [ x$grub_platform = xxen ]; then insmod xzio; insmod lzopio; fi
insmod part_msdos
insmod cryptodisk
insmod luks
insmod gcry_twofish
insmod gcry_twofish
insmod gcry_sha512
insmod ext2
cryptomount -u 15c47d1c4bd34e5289df77bcf60ee838
set root=’cryptouuid/15c47d1c4bd34e5289df77bcf60ee838′
normal /boot/grub/grub.cfg
}

read
* insmod - vajalikud moodulid, et töötada krüpteeritud kettaga;
* GRUBx2 - GRUB2 laadimismenüüs kuvatud rida;
* cryptomount -u 15c47d1c4bd34e5289df77bcf60ee838 - vt fdisk -l (sda9);
* set root - juure seadistamine;
* normal /boot/grub/grub.cfg - käivitatav konfiguratsiooni fail krüpteeritud osas.

Kindel teadmise, et laaditakse just krüpteeritud «grub.cfg» — see on positiivne tagasiside parooli sisestamise/«sdaY» avamise korral, kui valitakse rida «GRUBx2» GRUB-i menüüs.

CLI-s töötades, et mitte segadusse minna (ja kontrollida, kas keskkonnamuutus «set root» töötab), looge tühjad märgiste failid, näiteks krüpteeritud osas «/shifr_grub», krüpteerimata osas «/noshifr_grub». Kontrollimine CLI-s

cat /Tab-Tab

Kuidas eespool mainitud, see ei aita kaitsta pahavara laadimist, kui sellised moodulid on teie arvutisse sattunud. Näiteks klahvivajutuste salvestamiseks mõeldud nuhkvara, mis võib salvestada klahvivajutusi faili ja segada neid teiste failidega «~/i386», kuni ründaja selle füüsilise juurdepääsu kaudu alla laadib.

Lihtsaim viis kontrollida, et digitaalse allkirja kaitse töötab aktiivselt (ei ole nullitud), ja keegi ei ole laadijat rünnanud, on CLI-s järgmise käsu sisestamine

list_trusted

vastu saame meie „perskey“ koopia, või ei saa midagi, kui meid ründatakse (samuti on vajalik kontrollida „set check_signatures=enforce“).
Oluline miinus sellise sammu puhul on käskude käsitsi sisestamine. Kui see käsk lisada „grub.cfg“ faili ja kaitsta konfiguratsiooni digitaalse allkirjaga, siis eelvaade võtme koopia kuvamiseks ekraanil on ajaliselt liiga lühike, et jõuda väljundit näha, mis toob kaasa GRUB2 laadimise.
Nõude esitamiseks ei ole kedagi konkreetset: arendaja ütles ametlikult oma dokumentatsioonis p.18.2

„Pange tähele, et isegi GRUBi parooli kaitse korral ei suuda GRUB takistada kellelgi, kellel on füüsiline juurdepääs seadmele, muuta selle seadme püsivara (nt Coreboot või BIOS) konfiguratsiooni, et sundida seadet käivituma erinevalt (ründaja kontrollitud) seadmel. GRUB on parimal juhul vaid üks link turvalises käivitusahelas.“

GRUB2 on liiga üleküllastatud funktsioonidega, mis võivad anda vale turvatunde, ja selle areng on juba ületanud MS-DOS-i funktsionaalsuse, olles vaid laadija. Naljakas, et GRUB2 – „homme“ võib saada operatsioonisüsteemiks ja GNU/Linuxi virtuaalmasinad on selle jaoks laaditavad.

Lühike video sellest, kuidas ma GRUB2 digitaalse allkirja kaitse tühistasin ja teavitasin reaalset kasutajat oma sissetungist (hirmutades, kuid selle asemel, mis videos näidatud – saab kirjutada mitteohutut, meelevaldset koodi/mod).

Järeldused:

1) Plokkpõhine süsteemiline krüpteerimine Windowsis — on lihtsam teostada ja ühe parooliga on mugavam kaitsta kui mitme parooliga GNU/Linuxi plokkpõhise süsteemilise krüpteerimise puhul, õigusemõistmise nimel: viimane on automatiseeritud.

2) Artikli kirjutasin, kuna see on asjakohane, detailne lihtne juhend VeraCrypti/polldiskide krüpteerimiseks LUKS, mis on tänapäeval parim Russki veebis (IMHO). Juhend sisaldab rohkem kui 50 000 tähemärki, seega ei olnud seal kajastatud mõned huvitavad peatükid: krüptograafidest, kes kaovad/hoiduvad varjus; millest erinevates GNU/Linuxi raamatutes krüptograafia kohta vähe/mitte kirjutatakse; Venemaa põhiseaduse § 51; krüpteerimise/запрете licentseerimine Venemaal, samuti sellest, miks on vajalik „juure/boot“ krüpteerimine. Juhend sai ja ilma selleta ulatuslik, kuid põhjalik (kirjeldab isegi lihtsaid samme), mis omakorda säästab teile hulga aega, kui hakkate tegelema „päris krüpteerimisega“.

3) Täiskarcodonilise krüpteerimise teostasin Windows 7 64; GNU/Linux Parrot 4x; GNU/Debian 9.0/9.5.

4) Viisin ellu eduka rünnaku oma GRUB2 laadijale.

5) Juhend on loodud, et aidata kõiki KSN-ides, kus krüpteerimise kasutamine on seadusega lubatud. Esiteks neile, kes soovivad seadistada täisketta krüpteerimist oma seadistusi kustutamata.

6) Ümber töötatud ja ajakohastatud minu juhend, mis on актуален 2020. aastal.

[G] Kasulik dokumentatsioon

1. TrueCrypti kasutusjuhend (veebruar 2012 RU)
2. VeraCrypti dokumentatsioon
3. /usr/share/doc/cryptsetup(-run) [локальный ресурс] (ametlik üksikasjalik dokumentatsioon GNU/Linuxi krüpteerimise seadistamiseks cryptsetupi abil)
4. Ametlik cryptsetupi FAQ (lühike dokumentatsioon GNU/Linuxi krüpteerimise seadistamiseks cryptsetupi abil)
5. LUKS-seadmise krüpteerimine (archlinuxi dokumentatsioon)
6. Cryptsetupi süntaksi üksikasjalik kirjeldus (archi käsiraamatu leht)
7. Crypttabi üksikasjalik kirjeldus (archi käsiraamatu leht)
8. Ametlik GRUB2 dokumentatsioon.

Märksõnad: täielik ketta krüpteerimine, jagu krüpteerimine, täisketta krüpteerimine Linuxis, täielik süsteemi krüpteerimine LUKS1.

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.

Krüpteerite?

• 17,1%Krüpteerin kõik, mis võimalik. Mul on paranoia.

• 34,2%Krüpteerin ainult olulisi andmeid.

• 14,6%Mõnikord krüpteerin, mõnikord unustan.

• 34,2%Ei, ei krüpteeri, see on ebamugav ja kallis.

82 kasutajat hääletas. 22 kasutajat jäid erapooletuks.

Allikas: habr.com