Sistem saya penuh dengan data yang sangat sensitif, jadi saya perlu mengenkripsi sebanyak mungkin dari itu.
Saya memiliki instalasi Debian terenkripsi yang meminta kata sandi panjang setiap kali selama boot. Apakah ada cara sederhana untuk mengaturnya sehingga saya dapat memasukkan kata sandi itu dari jarak jauh?
Jika beberapa distribusi lain dapat melakukannya, saya tidak keberatan menginstal sesuatu yang lain daripada Debian.
2
Vektor serangan seperti apa yang Anda khawatirkan? Apakah penyimpanan kunci perangkat keras (di mana kunci pribadi tidak dapat diekstraksi oleh perangkat lunak, tetapi siapa pun yang memiliki perangkat keras itu dapat mendekripsi konten Anda) sesuai? (BTW, perhatikan bahwa banyak sistem enkripsi disk penuh membuka kunci master saat Anda menggunakannya, dan kemudian menyimpan kunci itu dalam RAM - artinya siapa pun yang memiliki hak istimewa yang cukup berpotensi dapat menyalin kunci master itu dari sistem tidak terkunci, bahkan jika mereka tidak tidak pernah mendapatkan kata sandi Anda; ini adalah tempat di mana dekripsi aktual terjadi di perangkat keras bisa lebih aman).
—
Charles Duffy
@CharlesDuffy Perhatian utama adalah server (atau disk-disknya) dicuri secara fisik, jadi kunci perangkat keras tidak mungkin, karena dapat dicuri juga. Saya secara khusus menetapkan 40+ kata sandi sistem file simbol dan 20+ password root simbol (yang merupakan satu-satunya pengguna di seluruh sistem), jadi saya seharusnya aman dalam banyak kasus, bukan?
—
user2363676
Dihapus dan dicuri, atau Anda khawatir penyerang mendapatkan akses fisik saat perangkat keras masih dinyalakan? Jika seseorang dapat menyambungkan perangkat baru ke bus PCI, mereka dapat membuat salinan memori fisik, sehingga mereka dapat mencuri kunci enkripsi dari sistem yang sedang berjalan dan tidak terkunci. (Mereka tidak dapat mencuri kata sandi yang digunakan untuk mengenkripsi kunci, tetapi jika Anda memiliki kunci itu sendiri, itu tidak relevan).
—
Charles Duffy
Vektor serangan lain adalah bagi seseorang untuk memodifikasi urutan boot untuk membuat salinan kata sandi selama proses dekripsi / membuka, me-reboot mesin Anda, dan kemudian menunggu Anda untuk login dan membuka kunci (sehingga membiarkan kode yang mereka tambahkan menyimpan salinan) dari kata sandi out-of-band) sebelum mencuri perangkat keras. Datang dengan model ancaman yang komprehensif (dan mitigasi terhadap mereka) kadang-kadang rumit. (Saya melihat madscientist159 sudah menunjukkan kemungkinan itu).
—
Charles Duffy