Mikä olisi? Sellainen joka kryptaa levyt ja ei annan itsestään tietoja netissä?
Turvallinen linux
No tails
16263
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Turvaa tilisi vahvistamalla puhelinnumerosi. Voit silloin palauttaa unohtuneen salasanan tekstiviestillä.
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 16
Vanhimmat
Käytännössä kaikki. Jos viittii säätää ne päälle.
Valmiina löytyy tästä linkistä: https://www.bestvpn.com/blog/10314/linux-distributions-built-for-security-and-anonymity/
Aivan tavallinen Debian käy siihen aivan hyvin.
Koitin laittaa Debian asentuu, mutta levyn kryptaaminen tuo ongelmia. Se salas levyä yön yli, mut en päässy jatkaa. Nyt se tekee sitä uudestaan. Onpas vaikeeta..
Mikäli käyttää normaalia asennusvaihtoehtoa niin homma on suoraviivainen kun vain valitsee
"Ohjattu - käytä koko levyä ja tee salattu LVM"
ja seuraavaksi
"Tee yksi levyosio (suositellaan uusille käyttäjille)"
Tämän jälkeen asennusohjelma kirjoittaa levyn täyteen bittimössöä. Operaatio on hidas ja saattaa kestää kymmeniä tunteja. Bittimössön kirjoittamisvaiheen voi ohittaa "peruuta" napista. Operaation kannattaa kuitenkin tehdä. Se estää salauksen purkua yrittävää tietämästä missä kohtaa levyä on tietoa ja missä ei.
Sen jälkeen asennusohjelma ilmoittaa mitä se levylle haluaa tehdä. Näyttä asiaan perehtymättömälle sekavalta mutta helpointa on valita kohta
"Lopeta osioiden teko ja tallenna muutokset levylle"
Sitten homma jatkuukin normaalisti.
Asennuksessa voi valita ja säätää tekoa tarkemminkin mutta se vaatii tutustumista Linuxin levynkäyttöön. Nyt tehty systeemi on sellainen, jossa levyllä on kaksi osiota /boot ja salattu. /boot osiolta kone potkaistaan käyntiin ja se on salaamaton.
Kun Linux on pystyssä niin se kysyy salasanaa. Oikealla salasanalla salattu osio alkaa näkyä salausbittimyllyn läpi selväkielisenä mielikuvituslevynä. Tämä virtuaaliosio on sitten jaettu LVM systeemillä juuriosioksi ja swap osioksi. Näin myös swap on suojassa eikä siihen pääse käsiksi ilman oikeaa salasanaa. Kun nämä osiot on liitetty tiedostojärjestelmää, jatkuu boottaus ja koneen käyttö tavalliseen tapaan.
LVM (Logigal Volume Management) on oikeastaan laajojen levyfarmien hallinnointiin tehty työkalu mutta sitä käytetään tässä siksi ettei virtuaaliosiota voi jakaa normaalilla osiointisysteemeillä.
Yksi asia pitää muistaa. Salaus perustuu yksinomaan salasanaan. Siksi sala(sanan/lauseen) on oltava hyvä ja riittävän pitkä. Yli 25 merkkinen alkaa olla riittävä. Se myös pitää olla sellainen, jota ei mistään kirjoista löydä mutta sen pystyy itse helposti muistamaan. Mikäli salasana unohtuu niin kaikki tiedot on menetetty. Mitään keinoa tiedon palauttamiseksi ei ole.
Salasin swapin komennolla:
~$ sudo ecryptfs-setup-swap
Homma meni ok läpi, mutta gpartedin mukaan swap osio on nyt tuntematon eikä käytössä.
Fstab:sta swap vanha teksti oli kommentoitunu ja tilalla:
/dev/mapper/cryptswap1 none swap sw 0 0
/etc/crypttab :sta löyty tämmönen:
cryptswap1 UUID=5e37c9cd-ba35-4907-8c77-556a308d1491 /dev/urandom swap,cipher=aes-cbc-essiv:sha256
Toimiiko toi swap enää? Voiko sen testaa jotenkin?
Hittooko sitä salaamaan?
Ethän sä voi sinne mitään kirjoittaakaan?
Sinne saatetaan kirjoittaa. Riippuu tietysti muistin määrästä ja ajettavien ohjelmien laadusta. Viimeistään sinne kirjoitetaan kun kone siirtyy lepotilaan, jolloin muistin sisältö tallennetaan swap osiolle.
Jos swapin haluaa salata kannattaa käyttikselle tehdä salauksen-purku-ohjeet.
Kai sen salatun swapin saa tuhottua ja tehtyä uudelleen?
Siinähän se swapin salaus tulee samalla kun asennusohjelma tekee salatun LVM osion. Swap (kuten juuriosiokin) pysyy aina salattuna eikä sitä pureta koskaan. Mutta käyttis näkee nämä bittisekoittimen läpi selväkielisenä kunhan vain saa sen tärkeän salasanan.
Eli toisin sanoen. Kun käyttis kirjoittaa levylle se menee sekoittimen läpi ja levyn pinnalle kirjoitetaan bittimössöä. Kun käyttis lukee levyä niin levyllä oleva bittimössö tulee bittisekoittimen läpi ja tieto muuttuu selväkieliseksi.
Taisin saada toimimaan näiden ohjeiden avulla:
https://help.ubuntu.com/community/EnableHibernateWithEncryptedSwap
Kysyy swap salasanaa bootissa.
$ sudo blkid
/dev/sda1: UUID="blablaa.." TYPE="crypto_LUKS"
/dev/sda2: UUID="blablaa.." TYPE="ext4"
/dev/sda3: UUID="blablaa.." TYPE="ext4"
/dev/sda4: UUID="blablaa.." TYPE="ext4"
/dev/mapper/cryptswap1: UUID="blablaa.." TYPE="swap"
Mikäli käytit asennuksessa vaihtoehtoa
"Ohjattu - käytä koko levyä ja tee salattu LVM"
on swap osio automaattisesti salauksen sisällä eikä mitään muita toimenpiteitä tarvita.
Kun siirrytään lepotilaan kone tallentaa muistin kuvan svappiin ja sammuttaa koneen. Käynnistettäessä taas kysyy ensin salasanaa ja kun on saanut salauksen auki, tarkistaa oliko sammutettu lepotilaan. Mikäli näin oli niin palataan normaalisti lukemalla muistikuva sisään ja potkaistaan käyntiin. Muussa tapauksessa tehdään normaali bootti.
Kun kaikki on salauksen sisällä eikä vain kotihakemisto niin myös kaikki väliaikaiset tiedostot ovat salattuja. Asennetuista ohjelmista ei saa vinkkiä mitä koneella tehdään ja ohjelmien ansoittaminen ei ole mahdollista.
$home on salattu eryptfs ohjelmalla asennuksen yhteydessä ja swap nyt jälkeenpäin LUKSilla. Vielä olisi koneessa yksi juureen liitetty osio jossa on useita gigoja tiedostoja. Puhdas asennus tekee salaamisen helposti, mutta kaikki tiedostot katoavat tässä tapauksessa.
Onnistuukohan tuon salaaminen jälkeen päin enää millään? Täytyy tutustua tuohon EncFS nimiseen ohjelmaan, mikä nopeasti katsottuna sopii hakemistojen salaamiseen.
Varmistat ne tiedostot ensin toiselle medialle, asennat sitten uuden salatun järjestelmän ja siirrät tiedostot takaisin. Lopuksi vielä tuhoat tietoturvallisella tavalla sen tallennusmedian, jolla tiedostot oli asennuksen aikana.
Omat tiedostot tulee aina pitää varmuuskopiolla. Helpointa on salata varmistuslevy LUKS:illa. Koneen saa myös muistamaan salasanan niin ettei tarvitse kuin tökäta varmistuslevy koneeseen ja kopioida koko kotihakemisto. Näin myös varmuuskopiot ovat suojassa pahalta maailmalta.
Rsync on helppo ja nopea kopioija. Grafiikkaa haluavalle vaikka Luckybackup.
Kaikki on mahdollista mutta ei välttämättä helppoa ja järkevää. Periaatteessahan homma menisi niin että ensi järjestettäisiin tulevan LUKS oson alkuun LUKS headrin (mitä on suomeksi header) verran tyhjää tilaa eli kasvatetaan alkupäästä. Sitten asennetaan se headeri. Avataan LUKS osio. Lopuksi luetaan sektori suoraan levyltä ja tungetaan se samaan paikkaan bittisekoittimen läpi. Näin jatketaan levyn loppuun asti. Homma on niin monimutkainen että hyvin helposti sitä varakopiota tarvitaan. Eli helpompi on ottaa kotikansiosta kopio, asentaa käyttis uusiksi ja kopioida kotikansio takaisin.
On olemassa sellainen kuin gnome-encfs-manager. Sillä on helppo käpistellä noita encfs juttuja. Taisi olla ettei sitä ole Debianin repoissa mutta kotisivulla on ohje miten se lisätään repoihin.
Itse käytän Dropboxia encfs jutun läpi. Näin saa tehtyä kiusaa NSA:lle ja muille vakoojille ja samalla omat tiedotkin pysuvät suojassa.