id: Гость   вход   регистрация
текущее время 02:44 29/03/2024
Автор темы: _owl, тема открыта 13/06/2011 19:12 Печать
Категории: софт, инфобезопасность, защита дисков, truecrypt, операционные системы
http://www.pgpru.com/Форум/ПрактическаяБезопасность/СкрытаяОССВнешнимЗагрузчиком
создать
просмотр
ссылки

скрытая ОС с внешним загрузчиком


Добрый день!


собираюсь подготавливать к работе ноутбук, нужен совет. Вредполагаемые условия использования подразумевают, с одной стороны, обработку чувствительных данных (составляющих не гос., но коммерческую тайну). Отсюда целесообразность применения шифрования диска. С другой стороны ноут предполагается таскать с собой на международных рейсах, вносить/выносить из учреждений и пр., где он может быть как гласно, так и не гласно досмотрен. Поэтому желательно, чтобы факт использования крипто было трудно определить и еще труднее доказать.


Собираюсь установить две ОС. Первую – для основной работы – скрытую ОС на зашифрованном разделе, наверное PC-BSD. вторую – фэйк – WinXP, на разделе без шифрования. Вобщем это похоже на конструкцию, описанную Здесь.


Разница в том, что в моем случае при включении компа хотелось бы не видеть меню загрузчика или любых других признаков наличия скрытой ОС. При обычном включении должен обычным образом загрузиться Win c безобидным содержанием. Скрытые разделы при этом должны отображаться, оптимально, как свободное место внутри раздела Win, либо как неразмеченные разделы (что хуже). Для загрузки BSD нужно будет вставить флэшку с загрузчиком и ввести пароль (а еще лучше – флэшку с загрузчиком, предъявить токен и ввести пароль). тогда должна загрузиться скрытая ОС.


Вопрос: как лучше всего реализовать данную конструкцию опенсорсными средствами (dm-crypt, truecrypt и пр.)? Можно ли организовать обмен файлами между двумя системами, например через отдельный раздел, без риска "засветить" существование скрытой ОС?


Спасибо


 
На страницу: 1, 2, 3 След.
Комментарии
— Гость (13/06/2011 19:33)   <#>
наверное PC-BSD

это похоже на конструкцию, описанную Здесь.

Там способ для Linux'а описан, а не для BSD. Более универсальный способ обсуждался в /comment44983. Хинт: LiveCD (читайте весь тот топик).
— Гость (14/06/2011 07:52)   <#>
а что, для BSD описанный способ не реализуем?
— Гость (14/06/2011 16:27)   <#>

Так и не надо ставить никаких загрузчиков.В биос поднять загрузку с флэшки на верх. При включении питания загрузится виндоза с Активного раздела. Если же включать с предварительно вставленной флэшкой,то загрузка пойдет с нее.
виндоза об этом понятия не имеет,но geom eli FreeBSD-ный ставит свою метку в последний сектор раздела.
какими системами? недавно в FreeBSD портировали truecrypt.
— Гость (14/06/2011 22:14)   <#>
а что, для BSD описанный способ не реализуем?
Ну... если считать, что
в FreeBSD портировали truecrypt,
то реализуем :)
— Гость (14/06/2011 23:30)   <#>
факт использования крипто было трудно определить и еще труднее доказать.

При обычном включении должен обычным образом загрузиться Win c безобидным содержанием. Скрытые разделы при этом должны отображаться, оптимально, как свободное место внутри раздела Win, либо как неразмеченные разделы (что хуже).

То, что вы пишете — несколько взаимоисключающие параграфы. Если вы говорите про TC, то там реализовано (опуская дискуссии о том, насколько это всё правда и т.п.) отрицаемость наличия скрытых разделов при нетрицании использования шифрования как такового, а я вам дал ссылку, исходя из ваших цитат, на какое-то приближение к отрицаемости использования крипто как такового для шифрования дисковых данных.
— _owl (14/06/2011 23:47)   профиль/связь   <#>
комментариев: 105   документов: 20   редакций: 3
В биос поднять загрузку с флэшки на верх. При включении питания загрузится виндоза с Активного раздела. Если же включать с предварительно вставленной флэшкой,то загрузка пойдет с нее.

Ну да, так и видится вобщем. Буду пробовать. Больше сложностей вызывает вторая часть вопроса:
Скрытые разделы при этом должны отображаться, оптимально, как свободное место внутри раздела Win, либо как неразмеченные разделы (что хуже).

можно поподробнее, что за метки FreeBSD ставит в конец раздела? и если том с BSD зашифрован, то разве эти метки что-нибудь кому-нибудь могут сказать?
Кстати, искомая функциональность реализована, оказывается, в последней версии SecurStar DCPP. Но он не опенсрс...
— Гость (15/06/2011 00:48)   <#>
что за метки FreeBSD ставит в конец раздела?

Сигнатуры. Последовательность байт, по которой программы могут видеть что это — BSD-раздел (и, даже, может быть, с geli — тут я не в курсах).

и если том с BSD зашифрован, то разве эти метки что-нибудь кому-нибудь могут сказать?

Странно, что "неиспользуемое" место размечено с помощью BSDшного disklabel. Странно, что у него есть сигнатуры. Значит, оно всё-таки используется, а вы, скорей всего, просто не говорите к нему пароль и лжёте на допросах. Ну, это если глубоко копать и сильно заморачиваться.
— Гость (15/06/2011 10:14)   <#>

Жесткий диск – ad0.Предположим на первом разделе ad1 живет виндоз,на втором ad2,зашифрованном с помощью geli, поселена FreeBSD.
Загрузчик,который на флэшке,как узнает,что ему расшифровывать,что зашифрованный раздел вообще существует?
С помощью метки, которую geli записал в последний сектор раздела ad2.
— Гость (15/06/2011 11:40)   <#>

Есфесли речь идет о bsdlabel,то созданная им инфа о разметке будет находится внутри криптораздела. если о записи в MBR,созданной fdisk в процессе установки FreeBSD,то после_установки ее можно исправить тем же fdisk с

на например
можно усугублять obscurity и далее,но не вижу в этом смысла.
— Гость (15/06/2011 12:06)   <#>

Не догма,но руководство к действию©
HOWTO: GELI+ZFS for whole system inc. root with boot from USB stick
Удачи.
— фыва (15/06/2011 13:30)   <#>
еще вариант – загрузиться с флешки grub'm (grub4dos, etc) на iso-образ liveCD (grub умеет считать CRC32 файлов, чтобы быть уверенным в образе), а потом уже поднять зашифрованный раздел (кстати, ИМХО нормально сделать большой файл на 20-120гб, назвать "pagefile.sys", положить его в куданибудь и не париться), используя ключи с этой же или другой флешки. После чего отсоединить все флешки и работать нормально до следующего ребута.
— Гость (15/06/2011 17:20)   <#>
Загрузчик,который на флэшке,как узнает,что ему расшифровывать,что зашифрованный раздел вообще существует?
Загрузчику нельзя указать раздел мануально, руками что ль? Обязательно сигнатуры нужны?

Есфесли речь идет о bsdlabel,то созданная им инфа о разметке будет находится внутри криптораздела.
Чему будет соответствовать криптораздел, вторичному или первичному разделу FreeBSD? Слайсу или партиции? Если вторичному, то будет светиться, что DOS-раздел (первичный, т.е.) не только существует, но ещё и размечен на более мелкие зачем-то.

если о записи в MBR,созданной fdisk в процессе установки FreeBSD, то после_установки ее можно исправить тем же fdisk с
Ага, стереть попросту. И как ты потом собираешься указывать BSD где начало, а где конец DOSовского раздела?
sysid 5 (0x05),(Extended DOS)
И много в этом смысла? Раздел-то всё равно будет. Вот и вопрос, для каких целей есть в системе неиспользуемый раздел.
— Гость (15/06/2011 22:21)   <#>

Похоже из-за моего косноязычая твоя моя не понимай :) полагаю лучше обратится к первоисточникуman geli см. `init'
хозяин – барин
не будет
Грубо говоря и мягко выражаясь, не стереть, а сменить имя. От переименования местоположение и размер раздела не изменятся.
Немного, написал же obscurity )
— Гость (16/06/2011 05:20)   <#>
Ну может быть во FreeBSD как-то уже решили этот вопрос, я не в курсе, за темой не слежу. Самое оптимальное с точки зрения отрицаемости — шифрование неразмеченного дискового пространства. Чуть хуже, но всё ещё приемлемо — шифрование размеченного пространства с мануальной адресацией, т.е. есть раздел, на нём нарезана файловая система, лежат какие-то файлы, а мы инструктируем ядро использовать часть неиспользуемого места как криптоконтейнер без сигнатр, да ещё так, чтобы нигде в логах не светилось его использование, и подозрений было минимум. Частично это решается загрузкой с LiveCD — тут вполне естественно, что логи никуда писаться не будут. Что касается шифрования, оное (традиционно) в BSD может быть применено либо к файлу (через loop-девайс), либо к вторичному дисковому разделу. Именно вторичному, т.к. с первичными BSD вроде работать не умеет. Можно, конечно на первичном создать вторичный раздел размером с весь первичный, но в метках fdisk'а и bsd/disklabel это засветится. Т.е. если имеется просто неиспользуемый DOS-раздел, напрямую его назашифровать. Пробовал трюк вида: создать disklabel, расшифровать и подмонтировать файловые системы, а потом удалить раздел из disklabel'а. Итог — система виснет. Недавно появился способ с LVM, который должен бы работать, и которые более-менее универсален независимо от того, кто куда и как пишет сигнатуры. Если в FreeBSD тоже что-то придумали, я только рад за них. Во времена, когда ей пользовался, всё было канонично: /dev/ad0sd1 и т.д., и никаких прямых операций с ... соответственно, в таблице bsdlabel всё светилось.
— Гость (16/06/2011 13:36)   <#>

geli работает с блочными устройствами, без разницы же слайс это или партиция.

После подключения шифрованного устройства будет сформировано новое с суффиксом .eli, т.е. после выполнения `geli attach /dev/da2' в /dev появится /dev/da2.eli которое можно использовать, опять же, как обычное блочное устройство. Размечать его, создавать партиции, или накатить на нем любую файловую систему.

Что за зверь loop-девайс, честно признаюсь не знаю ,что-то пропустил или просто не застал, geli впервые появился в FreeBSD-6.

Для шифрования отдельного файла, он предварительно подключается как виртуальный диск через mdconfig, далее можно работать с /dev/md0 и /dev/md0.eli соответственно.
На страницу: 1, 2, 3 След.
Ваша оценка документа [показать результаты]
-3-2-1 0+1+2+3