Поддержка кворума ключей (смарт-карт) в WholeDisk
Всем доброго вечера! Знающие люди, подскажите, поддерживается ли в WholeDisk такое понятие, как кворум ключей?
Это режим, когда к диску привязано несколько смарт-карт, а для открытия шифрованного диска требуются не все смарт-карты, а некоторое их количество, меньшее числа привязанных ключей. Например, привязано к диску 5 смарт-карт, а для открытия диска требуется 3 из них (любых)?
комментариев: 11558 документов: 1036 редакций: 4118
Я не особо пристально слежу за нововведениями (вернее, за редуцированием функциональности) в последних версиях, но раньше такое было возможно с помощью m,n-пороговой схемы разделения ключа. Ключ, которым зашифрован криптоконтейнер/диск, разделяется на некоторое число долей, каждая из которых, в свою очередь, зашифровывается ключом хранителя, хранящимся на смарт-карте.
комментариев: 5 документов: 1 редакций: 0
Вот как ему сказать при подготовке к WDE, что надо сделать кворум из них – не понимаю. Там идеология, что любой из перечисленных на момент шифрования ключей сможет открыть диск. А так чтоб n из m – этого ненахожу. И в документации глухо (в меру моего английского)...
комментариев: 11558 документов: 1036 редакций: 4118
комментариев: 5 документов: 1 редакций: 0
комментариев: 11558 документов: 1036 редакций: 4118
Нет, конечно. Обращайтесь.
комментариев: 5 документов: 1 редакций: 0
Делаю обычный (Private) ключ. Почему обычный? Потому что для SmartCard Key недоступна опция Share.
Применяю к вновь созданному ключу операцию Share. Указываю 3-х человек (один из них для опытов – на смарт-карте), между которыми ключ будет поделян, и говорю, что для дешифровки нужно минимум 2 из них. PGP создает 3 файла с расширением shf – частями ключа.
Теперь собственно вопрос: чего со всем этим счастьем делать? Разбитый (Shared) ключ не является ключом смарт-карты, поэтому недоступен для WDE. Доступны только PassPhrase и SmartCard пользователи.
Но даже если есть метод заставить WDE шифровать с Shared ключом – как части этого ключа поместить на смарт-карты? PGP не предлагает вариантов, куда сохранить файлы shf – он просто сваливает их в указанный каталог...
Извините, если я совсем не то делаю – PGP не видел несколько лет, текущую версию только сегодня поставил. Пока как слепой котенок: 10 минут в хэлпе, один клик мышей в основном окне :)
комментариев: 11558 документов: 1036 редакций: 4118
Только Вы, опять же, путаете порядок действий. Выше я Вам писал: вначале создаёте диск и шифруете его обычным ключом, а затем этот ключ разделяете (для защиты долей можете выбрать другие ключи, хранящиеся на смарт-картах/токенах). Впоследствии, когда понадобится открыть доступ к контейнеру/диску, PGP предложит реконструировать разделённый ключ (это производится в памяти, так что на диск ничего не попадает).
комментариев: 5 документов: 1 редакций: 0
То есть, я сейчас создам ключ с именем DiskCrypt, которым зашифрую незагрузочный раздел диска. Потом создам еще 3 ключа: User1, User2, User3, все 3 на смарт-картах. И в тот момент, когда я стану делить ключ на части – как заставить PGP сохранить их на токенах? Пользоваться этим будут не сильно компьютерно грамотные юзеры, а открытие шифрованного раздела нужно после каждой загрузки сервера. Это должно быть наглядней, чем вытаскивание файла со смарт-карты средствами софта от Alladin и выбора сохраненного на диске файла из PGP. Да и требование к переразделению "собранного" ключа после каждого "собирания" тоже неприемлено – это всем участникам нужно рассылать части ключа после каждого открытия диска.
А порядок действий и перепутал именно из стремления зашифровать загрузочный раздел – для этого нужен SmartCard key, который не может быть разделен. Я надеялся, что его можно будет разделить на каком-то другом этапе...
комментариев: 11558 документов: 1036 редакций: 4118
Когда ключ разделяется на доли, PGP предлагает зашифровать каждую из них. Это можно сделать как с помощью обычного пароля, так и с помощью открытого ключа. Если Вы выберите второй способ, то можете использовать ключ, закрытая часть которого хранится на токене.
Сами .shf-файлы долей можете хранить где угодно (лишь бы только не потерялись или их не удалили; делайте резервные копии), они всё равно будут зашифрованы ключами User1, User2 и User3. Когда нужно получить доступ к зашифрованному диску, пользователи собираются вместе, приносят свои токены и .shf-файлы, скармливают их PGP, когда тот просит (расшифровывая их своими ключами с токенов), и PGP реконструирует ключ DiskCrypt, которым расшифровывает мастер-ключ диска, а тот, в свою очередь, открывает к диску доступ.
Разделённый ключ реконструируется в памяти только на одну операцию. После её завершения он так и остаётся разделённым. (Да, в свойствах разделённого ключа есть опция для его перманентного восстановления, при котором прежние .shf-файлы утрачивают силу. Не путайте её с операционным реконструированием.)
Технически, доступ к системному разделу с кворумом ключей вполне реализуем. Просто, видимо, клиенты PGPCorp не выказывали особой заинтересованности в такой функциональности.
комментариев: 5 документов: 1 редакций: 0
Оказывается, PGP видит только 1 одновременно вставленный токен. Если воткнуть несколько – видится только первый...
Вторая проблема – после нажатия кнопки Mount, когда PGP переходит в режим объединения Shared ключа, вставка/извленение токенов не "замечаются" окном сбора ключей. Таким образом, в "кворуме ключей" может быть не более одного токена – большее их количество мы просто не сможем показать PGP на этапе mountа... Есть ли решение этой проблемы?
Она же проявляется, если попытаться зашифровать раздел (не контейнер, а именно раздел) с помощью токенов. Нет возможности привязать к контейнеру более 1 токена. И даже после окончания процедуры шифрования нельзя добавить еще один токен, т.к. требуется сначала предьявить тот, которым уже зашифрован контейнер...
комментариев: 11558 документов: 1036 редакций: 4118