[ubuntu-ar] Problema con eCryptfs

Fri Nov 12 01:42:39 GMT 2010

>
> > ¿Te parece que vale la pena cifrar el root y swap?
> En este caso particular el cifrado es mandatorio.
>
>
>
> Hay unos discos duros que vienen preparados para cifrado automático por
> > hardware y son bastante caros porque apuntan al sector corporativo,
> > pero en tu caso que vas a usar un cifrado por software no sé si vale la
> > pena tener cifrado el root.
> Cuando dije /root me refería a la "home" de root. Si hacés "sudo su" a
> partir de ahí empezás a escribir el ".bash_history" de root, fuera del
> alcance de eCryptfs... :-S
>

Exacto.

>
>
>
> El swap... podria ser, si pensamos que
> > contenidos sensibles que hay en memoria queden en el swap y alguien con
> > el suficiente conocimiento pueda recuperarlo, aunque habría que ver
> > cuánto usa de swap tu sistema.
> Respecto a la swap, me sorprendí luego de hacerle un "dd" y después
> correr los programas "strings", "photorec", "foremost"... Como uso
> máquinas virtuales, siempre ocupo algunos cientos de MB de intercambio.
>

Ok.

>
>

> > Volviendo al tema del root, ¿estás seguro que vale la pena cifrarlo? Le
> > vas a quitar mucha (mucha) performance a tu máquina, empezando por
> > ralentizar el sistema sobrecargándolo de trabajo, desgaste más rápido
> > del disco duro, vaciado mucho más rápido de la batería... no sé si
> > conviene, pensalo.
> Lo sé... pero es mandatorio. :-(
>
>
>
> Una cosita más:
> > "Sé que esto es mejor porque se cifra /root, la swap (excepto /boot por
> > obvias razones)."
> >
> > Siempre es una sana práctica de uso el tener a tu /home separado del
> > root, SIEMPRE. De esta forma no importa lo que le pase a tu / tus datos
> > van a estar protegidos.
> >
> > Saludos!
> Sí, yo uso una partición /home y por eso tengo muchas preguntas:
> Dentro de un LVM (cifrado o no) puedo tener prácticamente el mismo esquema
> de particiones.
> El punto es... ¿alguien hizo esto? Si toca reinstalar el sistema (dejando
> intacta a la partición "/home") ¿podrías hacerlo usando LVM? ¿El instalador
> reconocería correctamente el esquema? Si el LVM está cifrado... ¿el
> instalador solicitaría la contraseña del volumen para reconocer las
> particiones que están dentro y así poder elegir el punto de montaje, el
> sistema de archivos, si se formateará o no, etc.?
>
>
Corríjanme si me equivoco:

LVM es una solución ideada para poder escalar fácilmente la capacidad de
almacenamiento de un sistema, funciona tomando el control de los medios de
almacenamiento de un sistema de forma automática y los presenta al usuario
como un gran y uníco medio de almacenamiento. Esto hace que escalar un
sistema dedicado a almacenar datos -por ejemplo un hosting- sea algo trivial
ya que el LVM automáticamente distribuye particiones a través de los medios
del sistema liberando al administrador de tener que luchar con esta tarea
engorrosa y consumidora de tiempo. Una de las contras del LVM es que para
dividir los medios de almacenamiento de forma tradicional hay que quitarlo
primero lo que evidentemente ocasiona la pérdida de todos los datos
contenidos en los medio de almacenamiento.

Por esta razón no veo utilidad en que tengas el disco duro de tu computadora
portátil formateado como LVM, al contrario, creo que te va a complicar
infinitamente la vida tenerlo de esta manera.
Lo que hay que hacer, mal que te pese, es resguardar la información útil que
tenga la máquina y reparticionar el disco sin usar LVM, ahí sí vas a poder
optar por cifrar todas las particiones y sacarle el máximo provecho al
disco. No te olvides también que los discos encriptados por software son en
realidad un único archivo hasheado, por eso que la performance cae
drásticamente sobretodo cuando tenés un alto uso de archivos chicos (/) o
cuando intentás copiar archivos grandes de varios cientos de megas, ni
hablar de varios gigas .:S

> Espero que haya podido explicarme algo más sobre este tema.
> Lo cierto es que no puedo "sacar a la calle" una laptop sin cifrar los
> archivos de trabajo.
> Algo tengo que hacer...
>
> Nuevamente gracias por tu respuesta!
>
> Saludos cordiales,
> Fernando.-
>
>
Creo que haciéndolo de esta manera vas a tener un sistema de archivos
encriptado bastante robusto.

A continuación te ofrezco un decálogo muy amateur con las posibilidades que
se me ocurren para asegurar más tu sistema, recordá siempre que los mejores
métodos de protección son los proactivos, los demás es cuando todo está
perdido:

1. No decir que tenés información tan valiosa =)
"En este caso particular el cifrado es mandatorio.", "Lo sé... pero es
mandatorio. :-(" y "Lo cierto es que no puedo "sacar a la calle" una laptop
sin cifrar los archivos de trabajo." + tu nombre y apellido (que presumo no
es ficticio) son un faro que llama a buscarte en la web, ver quien sos, qué
hacés, a qué te dedicás, dónde trabajás, qué cargo tenés, dónde vivís, etc.
¿Te parece demasiado?
Te aseguro que no lo es... hace un tiempo leí que en una conferencia de
hacking ético en Las Vegas un expositor afirmaba poder juntar 500 hojas de
información sobre cualquier persona de la que tuviera unos pocos datos en 10
minutos. :P
Con esto quiero decir que las capas de protección de la información a nivel
hard y soft vienen al final, el tema de la protección de datos es muy
sensible y hay que manejarlo con los cuidados del caso.
Mi recomendación sería que este tipo de preguntas las hagas desde un email
falso con un nombre de fantasía (¡y si es posible usando Tor o desde una red
que no sea las habituales que usás!).
Nuevamente, vos repetís tres veces y de forma enfática que tus datos son
valiosísimos: actuá en consecuencia!! La primer y mejor defensa para cuidar
nuestra información es estar atentos, no distraernos y sobretodo no dejar
librado al azar ningún vector de ataque ni mucho menos generarlo nosotros =)

2. Usá el password de BIOS y sistema que tiene tu PC y el password del grub.
Aunque en el caso que -toquemos madera- pierdas el equipo estas contraseñas
no sirvan de mucho siempre ayudan a reforzar la seguridad, y esta es la
clave del tema: más que hacerlo inaccesible, lo que es practicamente
imposible, asegurar un sistema significa GANAR TIEMPO, que aunque al final
lo puedan abrir, tarden tanto en hacerlo que al momento de crackearlo la
información contenida ya no valga de nada.

3. Logueate por consola en vez de usar un gestor de acceso gráfico -
nuevamente el tema de eliminar todos los vectores de ataque posible.

4. Los passwords que uses, ya que es información tan valiosa, deberían
contener mayúsculas y minúsculas, números y símbolos y por lo menos un largo
de 20 caracteres.

5. Desactivá las tty que no sea imprescindible usar. Ubuntu (y en general el
resto de los sistemas GNU/Linux) activan 6 terminales virtuales. Dejá
activas solamente dos o mejor todavía una sola y si necesitás funcionalidad
extra, que seguramente va a ser así, podés usar GNU/Screens o Byobu, este
último un Screens muchísimo más potente y práctico.

6. Usá la aplicación VLOCK. Esta aplicación se encarga de bloquear las tty
de forma que es imposible acceder al sistema una vez que está bloqueado y no
conocés la contraseña. Vos sabés que aunque la sesión esté bloqueada en un
servidor X podés cambiar tranquilamente a cualquier consola virtual y
loguearte desde ahí. Este un agujero de seguridad muy común que a veces no
tenemos en cuenta al estar cada vez más y más acostumbrados a usar una
terminal gráfica :P

7. Desactiva el [ CTRL+ALT+DEL ] y el [ Alt izq. + Pet.Sis. (Impr. Pantalla)
+ REISUB ]

8. Desactivá el soporte para USB y las demás vías potenciales de salida de
datos que no sean absolutamente necesarias: siempre podés cargarlos al vuelo
con un alias de una letra cuando necesites usarlos.

9. Chau al sudo!

10. Si tu portátil cuenta con cámara web incorporada instalá el PREY o algún
software similar. Aunque parezca mentira este software es culpable que
agarraran a varios delincuentes que robaron notebooks/netbooks y que se las
hayan podido restituir a sus dueños.

Saludos!
------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: https://lists.ubuntu.com/archives/ubuntu-ar/attachments/20101111/a3a59052/attachment-0001.htm 