Как зашифровать мою малину?

Малина все хорошо и может работать довольно быстро. Но как я могу защитить мою SD-карту от атак данных в автономном режиме. SSH может быть защищен хорошим паролем или ключом SSH, но если кто-то завладеет картой, я бы хотел, чтобы она была зашифрована по большей части.

Например, все мои исходные файлы php или любой другой исходный код хранятся на SD-карте и могут быть легко смонтированы в другой системе Linux. Но я хочу предотвратить это шифрованием всей SD-карты.

Какие-либо предложения?

boot security Вилли Вонка
источник

Какую операционную систему вы используете, или вы хотели бы получить ответ для каждой ОС, чтобы помочь вам выбрать между ними?

Марк Бут

Руководство предлагает использовать AES. Возможно, значение по умолчанию изменилось, но не используйте AES. Его легко взломать.

Петр Кула

Вам нужно оставить / boot расшифрованным и ввести пароль для монтирования корневой файловой системы, которую я подозреваю.

Алекс Чемберлен

LOL - Так много для DRM, хахаха :-) Думаю, понадобится какая-то более сложная система, чтобы создать одноразовые ключи из интернет-сервиса? Но это означает, что вам нужно загрузить ядро - создать скрипт получения ключа и, возможно, каким-то образом смонтировать зашифрованный раздел. Вы знаете, как WoW DRM - нет сети, нет игры.

Петр Кула

Тогда вы можете просто загрузить его по сети. Если они не украдут ваш загрузочный сервер, они не смогут атаковать в автономном режиме :)

XTL

Ответы:

Вы можете зашифровать весь диск, pv или том, используя LUKS / dm-crypt, если ваш дистрибутив поддерживает это. Также возможно зашифровать файлы или каталоги на диске , оставляя файловую систему монтируемой (но шифрованной).

В любом случае вы столкнетесь с проблемой: перед тем, как использовать чистые данные, кто-то должен ввести ключ. Если ключ хранится на карте, злоумышленник не сможет прочитать ключ с украденной карты. Если он введен человеком, ему нужно вручную вводить ключ после каждой загрузки.

XTL
источник

Могут ли они дешифровать данные с помощью ключа в автономном режиме? (Я подозреваю, что ответ - да). Есть ли способ привязать ядро к MAC-адресу, CPUID или к чему-то конкретному HW?

WillyWonka

Обычно да. Неважно, расшифровывает ли ваша программа или их, если у них есть ключ. Вы можете использовать идентификатор HW для генерации ключа. Это не поможет, если злоумышленник будет иметь доступ ко всей доске, но может спасти вас, если кто-то просто заберет или клонирует карту.

XTL

Да, я не беспокоюсь о том, что они загружаются. Они по-прежнему не могут получить доступ к Shell (если только Linux не работает для получения прав root ???). Как правило, они попытаются взять SD-карту и получить исходные файлы, чтобы увидеть все секретные вещи на другом компьютере или что-то в этом роде :)

WillyWonka

Если физический доступ доступен, каждый может легко получить доступ к оболочке. Вы можете искать single-user mode. Вот пример для Пи. Загрузочный раздел не зашифрован!

macrojames

как насчет этого для начала

sudo apt-get install ecryptfs-utils
sudo apt-get install lsof
sudo ecryptfs-migrate-home -u pi

Там будет немного больше, но это основная часть - она будет охватывать только вашу домашнюю папку. Если вы хотите сделать больше, то это что-то вроде:

https://www.howtoforge.com/how-to-encrypt-directories-partitions-with-ecryptfs-on-debian-squeeze

Дэвид Ли
источник

Ссылка выглядит усеченной и / или мертвой.

XTL