скрытая ОС с внешним загрузчиком
Добрый день!
собираюсь подготавливать к работе ноутбук, нужен совет. Вредполагаемые условия использования подразумевают, с одной стороны, обработку чувствительных данных (составляющих не гос., но коммерческую тайну). Отсюда целесообразность применения шифрования диска. С другой стороны ноут предполагается таскать с собой на международных рейсах, вносить/выносить из учреждений и пр., где он может быть как гласно, так и не гласно досмотрен. Поэтому желательно, чтобы факт использования крипто было трудно определить и еще труднее доказать.
Собираюсь установить две ОС. Первую – для основной работы – скрытую ОС на зашифрованном разделе, наверное PC-BSD. вторую – фэйк – WinXP, на разделе без шифрования. Вобщем это похоже на конструкцию, описанную [url=http://www.pgpru.com/forum/pra.....poshagam]Здесь[/url][link1].
Разница в том, что в моем случае при включении компа хотелось бы не видеть меню загрузчика или любых других признаков наличия скрытой ОС. При обычном включении должен обычным образом загрузиться Win c безобидным содержанием. Скрытые разделы при этом должны отображаться, оптимально, как свободное место внутри раздела Win, либо как неразмеченные разделы (что хуже). Для загрузки BSD нужно будет вставить флэшку с загрузчиком и ввести пароль (а еще лучше – флэшку с загрузчиком, предъявить токен и ввести пароль). тогда должна загрузиться скрытая ОС.
Вопрос: как лучше всего реализовать данную конструкцию опенсорсными средствами (dm-crypt, truecrypt и пр.)? Можно ли организовать обмен файлами между двумя системами, например через отдельный раздел, без риска "засветить" существование скрытой ОС?
Спасибо
Ссылки
[link1] http://www.pgpru.com/forum/prakticheskajabezopasnostj/dvojjnajazagruzkakriptosistemposhagam]Здесь[/url]
[link2] http://www.pgpru.com/comment44983
[link3] https://forums.freebsd.org/showthread.php?t=2775&highlight=geli
[link4] http://www.freebsd.org/cgi/man.cgi?query=geli&sektion=8
[link5] http://www.pgpru.com/comment45000
[link6] http://www.pgpru.com/forum/prakticheskajabezopasnostj/chtoposovetuetedljazaschitypk
[link7] http://habrahabr.ru/blogs/Dura_Lex/104297/
[link8] http://www.pgpru.com/novosti/2007/paroljzaschischjonpjatojjpopravkojj
[link9] http://www.pgpru.com/novosti/2006/0520anglijjskoemvdzastavitvydatjshifrovaljnyekljuchi
[link10] http://www.pgpru.com/comment35674
[link11] http://www.kommersant.ru/doc/1574580
[link12] http://www.youtube.com/watch?v=eYg8P2UqY8I
[link13] http://www.pgpru.com/forum/prakticheskajabezopasnostj/nevidimajashifrovanieurovnjapgpnafleshke
[link14] https://secure.wikimedia.org/wikipedia/ru/wiki/Партия_социалистов-революционеров
[link15] https://secure.wikimedia.org/wikipedia/ru/wiki/Справедливая_Россия
[link16] http://www.pgpru.com/proekt
Там способ для Linux'а описан, а не для BSD. Более универсальный способ обсуждался в /comment44983[link2]. Хинт: LiveCD (читайте весь тот топик).
а что, для BSD описанный способ не реализуем?
Так и не надо ставить никаких загрузчиков.В биос поднять загрузку с флэшки на верх. При включении питания загрузится виндоза с Активного раздела. Если же включать с предварительно вставленной флэшкой,то загрузка пойдет с нее.
виндоза об этом понятия не имеет,но geom eli FreeBSD-ный ставит свою метку в последний сектор раздела.
какими системами? недавно в FreeBSD портировали truecrypt.
Ну... если считать, чтото реализуем :)
То, что вы пишете — несколько взаимоисключающие параграфы. Если вы говорите про TC, то там реализовано (опуская дискуссии о том, насколько это всё правда и т.п.) отрицаемость наличия скрытых разделов при нетрицании использования шифрования как такового, а я вам дал ссылку, исходя из ваших цитат, на какое-то приближение к отрицаемости использования крипто как такового для шифрования дисковых данных.
Ну да, так и видится вобщем. Буду пробовать. Больше сложностей вызывает вторая часть вопроса:
можно поподробнее, что за метки FreeBSD ставит в конец раздела? и если том с BSD зашифрован, то разве эти метки что-нибудь кому-нибудь могут сказать?
Кстати, искомая функциональность реализована, оказывается, в последней версии SecurStar DCPP. Но он не опенсрс...
Сигнатуры. Последовательность байт, по которой программы могут видеть что это — BSD-раздел (и, даже, может быть, с geli — тут я не в курсах).
Странно, что "неиспользуемое" место размечено с помощью BSDшного disklabel. Странно, что у него есть сигнатуры. Значит, оно всё-таки используется, а вы, скорей всего, просто не говорите к нему пароль и лжёте на допросах. Ну, это если глубоко копать и сильно заморачиваться.
Жесткий диск – ad0.Предположим на первом разделе ad1 живет виндоз,на втором ad2,зашифрованном с помощью geli, поселена FreeBSD.
Загрузчик,который на флэшке,как узнает,что ему расшифровывать,что зашифрованный раздел вообще существует?
С помощью метки, которую geli записал в последний сектор раздела ad2.
Есфесли речь идет о bsdlabel,то созданная им инфа о разметке будет находится внутри криптораздела. если о записи в MBR,созданной fdisk в процессе установки FreeBSD,то после_установки ее можно исправить тем же fdisk с
на например
можно усугублять obscurity и далее,но не вижу в этом смысла.
Не догма,но руководство к действию©
HOWTO: GELI+ZFS for whole system inc. root with boot from USB stick[link3]
Удачи.
еще вариант – загрузиться с флешки grub'm (grub4dos, etc) на iso-образ liveCD (grub умеет считать CRC32 файлов, чтобы быть уверенным в образе), а потом уже поднять зашифрованный раздел (кстати, ИМХО нормально сделать большой файл на 20-120гб, назвать "pagefile.sys", положить его в куданибудь и не париться), используя ключи с этой же или другой флешки. После чего отсоединить все флешки и работать нормально до следующего ребута.
Загрузчику нельзя указать раздел мануально, руками что ль? Обязательно сигнатуры нужны?
Чему будет соответствовать криптораздел, вторичному или первичному разделу FreeBSD? Слайсу или партиции? Если вторичному, то будет светиться, что DOS-раздел (первичный, т.е.) не только существует, но ещё и размечен на более мелкие зачем-то.
Ага, стереть попросту. И как ты потом собираешься указывать BSD где начало, а где конец DOSовского раздела?И много в этом смысла? Раздел-то всё равно будет. Вот и вопрос, для каких целей есть в системе неиспользуемый раздел.
Похоже из-за моего косноязычая твоя моя не понимай :) полагаю лучше обратится к первоисточникуman geli[link4] см. `init'
хозяин – барин
не будет
Грубо говоря и мягко выражаясь, не стереть, а сменить имя. От переименования местоположение и размер раздела не изменятся.
Немного, написал же obscurity )
Ну может быть во FreeBSD как-то уже решили этот вопрос, я не в курсе, за темой не слежу. Самое оптимальное с точки зрения отрицаемости — шифрование неразмеченного дискового пространства. Чуть хуже, но всё ещё приемлемо — шифрование размеченного пространства с мануальной адресацией, т.е. есть раздел, на нём нарезана файловая система, лежат какие-то файлы, а мы инструктируем ядро использовать часть неиспользуемого места как криптоконтейнер без сигнатр, да ещё так, чтобы нигде в логах не светилось его использование, и подозрений было минимум. Частично это решается загрузкой с LiveCD — тут вполне естественно, что логи никуда писаться не будут. Что касается шифрования, оное (традиционно) в BSD может быть применено либо к файлу (через loop-девайс), либо к вторичному дисковому разделу. Именно вторичному, т.к. с первичными BSD вроде работать не умеет. Можно, конечно на первичном создать вторичный раздел размером с весь первичный, но в метках fdisk'а и bsd/disklabel это засветится. Т.е. если имеется просто неиспользуемый DOS-раздел, напрямую его назашифровать. Пробовал трюк вида: создать disklabel, расшифровать и подмонтировать файловые системы, а потом удалить раздел из disklabel'а. Итог — система виснет. Недавно появился способ[link5] с LVM, который должен бы работать, и которые более-менее универсален независимо от того, кто куда и как пишет сигнатуры. Если в FreeBSD тоже что-то придумали, я только рад за них. Во времена, когда ей пользовался, всё было канонично: /dev/ad0sd1 и т.д., и никаких прямых операций с ... соответственно, в таблице bsdlabel всё светилось.
geli работает с блочными устройствами, без разницы же слайс это или партиция.
После подключения шифрованного устройства будет сформировано новое с суффиксом .eli, т.е. после выполнения `geli attach /dev/da2' в /dev появится /dev/da2.eli которое можно использовать, опять же, как обычное блочное устройство. Размечать его, создавать партиции, или накатить на нем любую файловую систему.
Что за зверь loop-девайс, честно признаюсь не знаю ,что-то пропустил или просто не застал, geli впервые появился в FreeBSD-6.
Для шифрования отдельного файла, он предварительно подключается как виртуальный диск через mdconfig, далее можно работать с /dev/md0 и /dev/md0.eli соответственно.
loop back interface, /dev/loopN [сорри за Linux-терминологию, для FreeBSD это mdconfig, как вы уже сами сказали].
По-моему ты на самом деле хочешь не «подготавливать к работе ноутбук» и «таскать его с собой на международных рейсах, вносить/выносить из учреждений», а потеоретизировать на тему «а возможно ли реализовать опенсорсными средствами такую конструкцию, чтобы не видеть меню загрузчика или любых других признаков наличия скрытой ОС и отобразить скрытые разделы как свободное место внутри раздела Win».
Из ответов теоретиков уже ясно, что невозможно. Ну а если тебя все же интересует практический аспект (ну бывает такое – неудачно сформулировал вопрос и никто толком его не понял), то в этом случае тебе надо не мудрствовать лукаво, а поступить как все нормальные пассажиры международных рейсов с ноутбуками под мышкой – установить одну ОС и сделать полное дисковое шифрование. Насколько мне известно, такая конфигурация никоим образом не препятствует его перемещению «на международных рейсах» и «вносу/выносу из учреждений».
Видимо ты все-таки ни разу не летал на «международных рейсах». Сейчас уже никто не провозит международные секреты в собственном ноутбуке поэтому при «гласном и негласном досмотре» будут проверять наличие в ноуте не скрытой ОС, а скрытой С4 и пусть у тебя на диске будет зашифрована хоть «не гос., но коммерческая тайна» хоть всеми смакуемая СР при досмотре это никому не интересно. Если сомневаешься, то можешь даже предложить им скопировать содержимое своего диска для последующего изучения, вот тогда и посмотришь на их рожи.
Без обид.
Почему нет? Всё упирается в квалификацию.
А как же это[link6], т.е. вот это[link7]? Ну и насчётесть это[link8] и вот это[link9], а так же /comment35674[link10] (снятие покровов тут[link11]).
Есть часть правды в ваших словах, но не так много, а именно: номинально, ноутбуки досматривают как и прочую ручную кладь, т.е. на предмет отсутствия взрывчатых веществ, провозя их через сканер. Если возникнут дополнительные вопросы, то может быть всё, что угодно. Как можно узнать из комментов (к хабротопику, кажется), до сих пор действует норма на необходимость получать разрешение для провоза электронных носителей информации и ноутов в частности, так что при желании, и причём законно, придраться могут к самому факту провоза PC.
Топикстартер правильно делает, что думает заранее, а не надеется на авось, что его пронесёт с потоком.
Что это за зверь?
Высокоэнтропийная стойко-необратимая функция, основанная на принципе "фарш невозможно провернуть назад".
М.б. ТС спрятать шифрованный файл со скрытой системой и по прибытии на место дислокации после пересечения кордонов разворачивать из него посредством стандартного live-CD компактную настроенную ось, но не на винте, а на флэшке. А при всех перелётах флэшку паковать в скрытый файл и перетирать обратно?
Вот если бы SATtva удосужился сделать тут кнопочку «+», то ее непременно стоило бы нажать за тонкий юмор unknown’а.
А вот Вы батенька меня определенно настораживаете. Тот, кто знает кто такие ЭсЭры, ну должен же знать, наконец, что такое СиЧетыре. А Вы попробуйте погуглить по слову «пластид». Гугл – он ведь как Сталин: ты ему – слово, он тебе – ссылку.
В чью квалификацию? ОП своим вопросом уже показал, что не знает как это сделать. Все ответившие своими ответами показали то же самое. Вот если бы Вы вместо риторического вопроса дали бы пошаговое [решение], то после него могли бы написать про квалификацию. А раз [решения] нет ни у кого из присутствующих, значит «уже ясно, что невозможно» во всяком случае, в этом сообществе (но другого мы пока не имеем).
Unknown, ну и в Ваш огород… Если второй абзац это не продолжение шутки из первого, то не подходит. Вряд ли он будет куда либо летать. Ему видимо чаще надо будет по «учреждениям» ходить. А в таком режиме live-CD, разворачивание ОС, перетирание флешек не подходит. Все клиенты разбегутся пока от прицеливаться будет.
«А как же это, т.е. вот это?» ну и так далее. Прочитал. Не могу понять что это доказывает или что опровергает. Проверили таможенники ноут. Хорошо. Дай им скопировать диск и ехай дальше. Ах, диск то зашифрован! Ну так копируйте зашифрованный. Ах, это подозрительно? А у меня там личные данные да еще плюс коммерческая тайна, я видите ли коммерсант, так то, имею право. Ну, так предъявите мне обвинение по процедуре. Ах, у вас недостаточно оснований для задержания только потому, что диск зашифрован? Ну, так я пошел? Бай-бай, до скорого.
И еще по Вашей ссылочке «Английское правительство ищет возможности дать органам полиции полномочия изымать шифровальные ключи частных лиц и организаций, за отказ в чём последние могут поплатиться двумя годами тюрьмы.» Ребята, вы серьезно думаете, что если вам грозит «до двух», то вы сможете спрятать ОС и при этом не покраснеть, не вспотеть, и руки у вас дрожать не будут? Если будут достаточные основания чтобы затребовать у вас эти ключи, то вы вспотеете и выбирать будете только между не отдать и «до двух» или отдать и «до шести в петушатнике с эсэрами». Надо сначала определиться по каким «учреждениям» ходить планируете, а потом про вторую ОС думать.
Ну и как Вы ранее выразились «снятие покровов»:
«Что он реально искал? Возможно, действительно проявления экстремизма, но скорее, как написал про аналогичную ситуацию Захар Май, хотел найти порно и получить взятку за то, что закроет на это глаза. Это объясняет и то, почему интересовали именно видеофайлы, и общий идиотизм происходящего — очень глупо пытаться противостоять попаданию в страну экстремистских файлов с помощью их беглого поиска в ноутбуках, когда интернет уже придумали.
Что с вами могут сделать, если что-то найдут? Насчет экстремизма не знаю. Если найдут порно — как отмечает тот же Май, в УК Украины запрещено лишь хранение порнографии с целью ее сбыта, то есть юридически вы невиновны, но есть возможность взятку вымогать («упираетесь, что для личного пользования, а не сбыта — ссадим с поезда до выяснения»).»
Каковы цели – таковы и конкретные инициативные действия каждого сотрудника.
— Гость (17/06/2011 12:12), вы "опускаете" топикстартера потому-что юридическими методами ключ от скрытой ОС не получить? ;)
[offtop]
А заодно и "десталинизацией" занимаетесь? Но только имейте ввиду – в этом вас поддержит только один из десяти[link12].
[/offtop]
Был такой топик... "Невидимое шифрование уровня PGP на флешке"[link13]. Там на уровне концептов всё уже было озвучено. Т.е. на том уровне, который достаточен для квалифицированной публики, чтобы написать по нему готовое пошаговое решение. Когда кто-то из читателей сайта сделает подобное для себя, может закоммитить и в виде пошагового решения, но с концептуальной точки зрения этот вопрос снят. С другой стороны, если пошаговым решением будет заниматься тот, кто командную строку держит первый раз в жизни, а слово UNIX впервые услышал вчера, то ему и пошаговое решение не поможет, тем более, что очень трудно нигде не ошибиться, если не понимаешь сути, и ещё труднее написать такое руководство, которое бы работало на всех конфигурациях (всего заранее не предусмотришь). Дилемма тут та же, как и при списывании задания, решённого другими учениками/студентами: иногда не понимаешь даже какой там на самом деле значок стоит: то ли цифра, то ли ещё что... Надеюсь, вы поняли.
Да даже если и будет пошаговое решение, оно будет типа такого. Отсутствие комментариев под топиком как бы символизирует, что кому надо и опыта хватает — и сами такое настроят, а остальным и такой инструкции будет недостаточно. В итоге имеем ситуацию "один гик пишет для 2-3ёх других гиков в мире, чтобы сохранить их время и ресурсы при решении подобной задачи".
Ну обсуждалось же уже на форуме в контексте отмазок вида "коммерческая тайна" при "проверке бизнеса". Нужна бумажка под это дело. Голословное заявление тут наоборот только навредит и привлечёт дополнительное внимание.
Смотря с чем сравнивать. Наверное, дрожать будут намного меньше, чем если вам будет грозить лет 20 или пожизненное, а диск либо незашифрован, либо зашифрован так, что это поймут сразу и затребуют пароль. Собственно, могут силой вынудить дать пароль под пытками, и скрытие факта шифрования как раз уменьшает потенциальную вероятность привлечь к себе внимание.
[offtop]
С чего бы? Это узкоспециальный сленг. Да и кто вам сказал, что публика в курсе кто такие ЭсЭры? Ну была такая партия[link14], это ещё в школьных учебниках истории писалось, потому помню. Про ваш смысл могу только догадываться, но, может быть, имеется в виду что-то типа этого[link15].Слово "пластид" — как раз не сленговое, а потому хорошо известно.
А точно не с едрасами, именно с эсэрами?Я не знаю кто такие эсэры и что они сделали плохого лично вам, но на всякий случай процитирую[link16]:[/offtop]Да, примерно так (см. ниже) и предполагается делать. При перелетах (т.е. пересечении "долгих" кордонов).
Поэтому: образ "загрузочной" флэшки шифруем и отправляем, напремер, самому себе по мэйлу (или выкладываем на файлообменник и т.п.). Флэшку затираем, а после "прилета" врсстанавливаем. При досмотре можно объективно, не потея и не обманывая дядю, говорить, что ключа у тебя нет. Кстати, что-то подобное рекомендовал Шнайер (речь шла кажется об перешифровании ЖД новым (временным) ключем и отправке этого ключа самому себе мэйлом. Потом ЖД предполагалось перешифровать обратно на постоянный ключь).
Это всё хорошо для малых объёмов информации. А для больших? Качать кучу гигабайт каждый раз по прибытии на новое место? Скрыть их на диске как "неиспользуемое место" тоже не так-то просто (хотя и можно в принципе).
http://www.pgpru.com/comment47130
Молодец, хорошо всё объяснил. Вкуснятина!
нет-нет, в данном случае речь идет о том, чтобы каждый раз шифровать мизерный объем – именно саму загрузочную флэшку (точнее ее образ). Гигабайты остаются на месте. И желательно, да, скрыть их как неиспользуемое место внутри другой операционки. Если они болтаются как отдельный партиции, это не хорошо.
Тогда его лучше просто получать по сети по приезду на новое место, а не таскать через таможни и прочее.
На новом месте сеть незнамо какая может быть.