hei,
onko järkevää tehdä moinen eli:
/boot partio 1 GB ext4
/root lvm ja sinne btrfs encrypt luks = ?!
idea vaan käyttää btrfs parempi file sydeemi kuin ext4 jos data korruputoituu sähkö
katkon takia niitä tapahtuu ja samalla salausta päälle, onko moinen huono idea?
onko järkevää tehdä moinen eli:
/boot partio 1 GB ext4
/root lvm ja sinne btrfs encrypt luks = ?!
idea vaan käyttää btrfs parempi file sydeemi kuin ext4 jos data korruputoituu sähkö
katkon takia niitä tapahtuu ja samalla salausta päälle, onko moinen huono idea?
Vastaukset 11
Vanhimmat
Kannattaa käyttää jakelun omaa salausta, eikä ummikkona kikkailla itse.
Päin vastoin
Jos intoo riittää kaikkee kannattaa kokeilla (näin tulee "ehkä" jotain uutta)
Itse kokeillut puoli live linuxsii
(live linux paras alusta ei sekoile vaikka sähkö loppuu kesken kaiken?)
Ohjelmat "asennettu" kovalevylle < KOVALEVYLLE ja live linuxsissa vaan "symlinkit" niihin näin muistinkulutus minimaallinen ja kumminkin "raskaat" ohjelmat käytettävissä.
Luks btrfs.
Btrfs voi korvata LVM:n.
/boot on turhan iso ja lvm ehkä kotikäytössä turha. btrfs makuasia. Osin jo vakaa ja jos haluaa vain kokeilla saahan sitä tehdä vaikka mitä. Usein tärkeämpää salata datat eikä koko systeemiä. Koko systeemin salaaminen haastavampaa eli myös boot on salattu.
Luks-LVM-tiedostojärjestelmät on erittäin hyvä systeemi. Salauksen sisäpuoli voidaan osioida halutulla tavalla ja myös swap saadaan saman salauksen sisään. Btrfs sisältää samaoja ominaisuuksia kuin LVM, jolloin sitä käytettäessä voi LVM välivaiheen jättää pois.
Koko systeemi on hyvä salata. Näin tietoa ei pääse vuotamaan eikä systeemitiedostoja voi ulkopuolinen muuttaa. Käytössä salaus ei näy ja kaikki toimii normaalisti. Levyjen kirjoituksen ja luvun raskauskaan ei enää ole ongelma koska nykyprosessoreissa alkaa olla oma piiri AES-myllyä pyörittämään.
Valitettavasti /boot osiota ei voi salata koska kernel pitää ensin potkaista käyntiin ennen kuin voidaan levyllä oleva salaus purkaa. Se altistaa koneen hyökkäyksille mutta senkään salaaminen ei poista ongelmaa koska kuitenkin tarvitaan salauksen purkuun ajettavaa koodia, joka on altis peukaloinnille.
Ei mitään järkeä.
Paljon tärkeämpää on huolehtia kunnollisesta varmuukopioinnista.
Kyllä /boot osio voidaan salata. /boot & lataaja voi olla myös tikulla. Varmuuskopiointi tärkeää. Jos jotain menee pieleen vaikka päivityksessä voi menettää kaikki datat.
/boot osin salauksesta ei ole hyötyä koska tarvitaan joka tapauksessa ohjelmakoodia, jolla puretaan salaus. /boot-osion tikulla kuljettaminenkaan ei vielä estä piilottamasta koneeseen keyloggeria.
Varmuuskopiot pitää aina olla oli kone salattu tai ei. Mitä vain voi sattua ja sattuukin. Salatulla levyllä kaikki toimii samoin kuin salaamattomalla. Bitit vain ovat sotkussa ja levy näkyy bittisekoittimen läpi.
PS
Myös varmuuskopiot pitää salata.
Kyllä grub osaa salatunkin levyn. Pitää lisätä
GRUB_ENABLE_CRYPTODISK=y
GRUB_PRELOAD_MODULES="luks cryptodisk"
ja vähän muutakin, jotta saa kaikki salatuksi.
Kaksi Linux asennusta samalla levyllä hieman vaikeampi -
siten että myös /boot on salattu.
Moni käyttää uutta ja vanhaa rinnakkain. Vanha poistuu kun uusi on
todettu vakaaksi. Itse en ikinä asenna uutta systeemiä vanhan päälle
kokeilematta.
/boot osion siirtäminen salatuksi ei poista varsinaista ongelmaa eli sitä että esiin jää aina koodi, jolla salaus puretaan.
Varmaan itsekin jossain vaiheessa siirryn salattuun /boot osioon. Grub2 vain on niin painajaismainen systeemi ettei siihen oikein ole vielä luottoa.
Osta läppäri, siinä on akku.