Comments 46
Это не лень, это автоматизация.
Вот только вопрос не снижается ли от этого защищенность системы? Пароль таки храниться в открытом виде.
Права на папку со скриптами только для root'а, поэтому, если у негодяев нет физического доступа к серверу, почти безопасно )
А чем это лучше хранения файлов не внутри криптоконтейнера, а просто во владении root'а?
К.м.к. TrueCrypt именно для того и нужен, чтобы даже в случае иъятия нельзя было получить доступ к данным
К.м.к. TrueCrypt именно для того и нужен, чтобы даже в случае иъятия нельзя было получить доступ к данным
Вопрос немного в тупик поставил. Asterisk и терминальный сервер — это два разных сервера, на разных ОС и физически даже не в одном помещении. Сам Asterisk лишь посредник при монтировании разделов. А как хранить данные — это уже другой вопрос.
Понятно, тогда лучше при дозвоне на 77..7 вместо фиксированного пароля использовать последние 3 цифры добавляющиеся к ключу шифрования. А сервер с TrueCrypt настроить таким образом, чтобы при неправильном пароле раздел размонтировался, если замонтирован, или блокировался на 5-15 минут, если не замонтирован.
Впрочем, это не спасает от одновременного изъятия обоих серверов.
Впрочем, это не спасает от одновременного изъятия обоих серверов.
Да, надо бы ключ к зашифрованному разделу передавать по телефону. Или хотя бы часть ключа. Или хранить ключ от раздела зашифрованным более слабым ключом, который передавать по телефону.
Прочитав заголовок ожидал что то более экстравагантное, на пример в голосовом потоке передавать данные.
Кстати, интересная идея ). Если бы TrueCrypt поддерживал распознавание пароля по звуковым комбинациям по принципу работы Shazam, было бы интересно.
Я был уверен, что пароль к TrueCrypt будет передаваться в DTMF
(с каким-нибудь простеньким контролем целостности).
(с каким-нибудь простеньким контролем целостности).
Тоже был в этом уверен. Иначе изъятие обоих серверов сводит на нет все шифрование.
Точно, после этой статьи все будут знать, где брать пароли к контейнерам TrueCrypt ).
А если серьезно, то при наличии лицензий на ПО изъятие компьютеров вряд ли произойдет. А вот от налоговой проверки данная схема может защитить.
А если серьезно, то при наличии лицензий на ПО изъятие компьютеров вряд ли произойдет. А вот от налоговой проверки данная схема может защитить.
вопрос решается добавлением екстеншена «666» который производит размонтирование, и отстреливание файла с паролем одновременно.
вероятность поиска пароля от крипто контейнера на сервере телефонии — это из области фантастики. термо-ректальный криптоанализ надежнее. не забываем о стране в которой живем.
вероятность поиска пароля от крипто контейнера на сервере телефонии — это из области фантастики. термо-ректальный криптоанализ надежнее. не забываем о стране в которой живем.
Огромное спасибо за идею, добавил в скрипт umount.sh удаление файлов. Отдельный екстеншен создавать нет необходимости, т.к. размонтирование по звонку будет только к крайнем случае.
Удалять в данном случае — плохо. Лучше cat /dev/urandom > mount.sh.
Спасибо за urandom. Надо только придумать, как его убить через пару секунд после запуска.
dd if=/dev/urandom of=/path/to/mount.sh bs=1M count =4
4 блока по 1 мегабайту = 4 мегабайта. Хватит? =)
4 блока по 1 мегабайту = 4 мегабайта. Хватит? =)
Спасибо, добавил в скрипт.
Лучше
/usr/bin/shred использовать, специально созданный для этих целей (мой пост про большую красную кнопку).
Особенно это не очевидно после публикации на Хабре =)
Бр, а зачем использовать Asterisk для запуска скрипта? Для этого и cron все еще подходит…
Потрясающе. Хранить пароль к «серой 1С» в конфиге Астериска — разумеется, эти тупые менты никогда в жизни не догадаются поднять СОРМ, посмотреть конфиги (они вообще знают что это такое?) и вообще, я много умнее их.
/сарказм.
/сарказм.
От вас критика воспринимается особенно серьезно /без сарказма.
Я уже понял, что данная схема не секьюрна. Буду пересматривать варианты, выслушаю ваши советы.
Я уже понял, что данная схема не секьюрна. Буду пересматривать варианты, выслушаю ваши советы.
Простейшая вещь, которую я видел — это использование SD'шки для хранения пароля к БД. В случае мероприятия SD'шку спускают в шредер, а по извлечению SD'шки конфиги и заголовки херятся (для шифроконтейнера не так уж много нужно удалить, чтобы никогда в жизни не признать его за оный), на место кладётся белая база и сервер ребутится. Всех дел — меньше 30с (кроме ребута). 1С при исчезновении шары слетает, после перезапуска — база на месте, белая и пушистая.
> В случае мероприятия SD'шку спускают в шредер
а при реальном приездеце такое уже отрабатывалось?
а то я, в присутствии людей с автоматами, как-то не стал бы бегать к серверу, а потом еще куда-то в поисках шредера.
а при реальном приездеце такое уже отрабатывалось?
а то я, в присутствии людей с автоматами, как-то не стал бы бегать к серверу, а потом еще куда-то в поисках шредера.
Слишком много криптографии.
Здесь, прямо скажем, пример неудачный — если федеральная машина по-настоящему захочет, она найдет способы получить информацию. Серая 1С — быстрее всего, конечно. Но Россия столь забюрократизирована, что следы найдутся. Долго, неудобно. Найдутся.
Автора не следует ругать за эту статью. Он показал отличный и удобный вариант удаленного доступа — в трясущейся маршрутке проще номер телефона набрать, чтобы инициировать действие, чем коннектиться по ssh или rdp для выполнения какого-то действия.
Спасибо за статью.
Автора не следует ругать за эту статью. Он показал отличный и удобный вариант удаленного доступа — в трясущейся маршрутке проще номер телефона набрать, чтобы инициировать действие, чем коннектиться по ssh или rdp для выполнения какого-то действия.
Спасибо за статью.
>в трясущейся маршрутке
трясущимися рукамиползая на поломанных ногах
трясущимися руками
ППКС
Статья действительно хорошая и нужная. Автору респект) А папку с конфигом астериска можно и по nfs например смонтировать с какого нибуть неттопа который убран в сортире под потолком и по GET запросу на спецально настроеный веб-сервер вырубается навсегда, пока специально обученный человек не ткнет шваброй в третью правую плитку %) Но это так) не более чем идея) Вообще _по_опыту_ попадания во всякие житейские пзддцы чем более нестандартно себя поведешь, тем сильнее поставишь в ступор сотрудника правоохранительных органов. Совершенно универсальное правило! 10 лет назад меня ловили на мотоцикле без прав, я запехал связку с ключами в рот (чтобы её в бак не спустили) поэтому когда меня обрабатывали руками и ногами (у меня пассажир без шлема был, я притормозил чтобы он спрыгнул и убежал, а в это время… ну в общем не важно) так вот, пока меня обрабатывали я не произнес ни звука (связка ключей от мотика и гаража была большой). А потом на свою беду я достал связку… и до сих пор жалею «Фух слава богу. Я думал ты глухонемой, чего с тобой делать-то!» т.е. еще бы 5-10 минут прикидываться шлангом и не было бы комиссии по делам несовершеннолетних! Но как говорится задним умом все хороши) Так что я уверен что система безопасности, собраная на коленке содержащая неимоверное количество лулзов, скорее всего поставит в тупик сотрудников известного отдела в тупик какой нибуть нетривиальной вещью вроде пароля от тру крипта в конфиге астериска %)
Статья действительно хорошая и нужная. Автору респект) А папку с конфигом астериска можно и по nfs например смонтировать с какого нибуть неттопа который убран в сортире под потолком и по GET запросу на спецально настроеный веб-сервер вырубается навсегда, пока специально обученный человек не ткнет шваброй в третью правую плитку %) Но это так) не более чем идея) Вообще _по_опыту_ попадания во всякие житейские пзддцы чем более нестандартно себя поведешь, тем сильнее поставишь в ступор сотрудника правоохранительных органов. Совершенно универсальное правило! 10 лет назад меня ловили на мотоцикле без прав, я запехал связку с ключами в рот (чтобы её в бак не спустили) поэтому когда меня обрабатывали руками и ногами (у меня пассажир без шлема был, я притормозил чтобы он спрыгнул и убежал, а в это время… ну в общем не важно) так вот, пока меня обрабатывали я не произнес ни звука (связка ключей от мотика и гаража была большой). А потом на свою беду я достал связку… и до сих пор жалею «Фух слава богу. Я думал ты глухонемой, чего с тобой делать-то!» т.е. еще бы 5-10 минут прикидываться шлангом и не было бы комиссии по делам несовершеннолетних! Но как говорится задним умом все хороши) Так что я уверен что система безопасности, собраная на коленке содержащая неимоверное количество лулзов, скорее всего поставит в тупик сотрудников известного отдела в тупик какой нибуть нетривиальной вещью вроде пароля от тру крипта в конфиге астериска %)
А чего бы не сделать так, чтобы ноутбук всё сам делал с утра пораньше — при помощи средств типа AutoIt или expect, уверен, это будет гораздо прикольнее, чем всякие там обеликсы с астериксами. И пароль надёжнее хранится. Самое сложное — это объяснить ноуту, что надо утром проснуться раньше вас, а потом заснуть обратно, когда всё сделает.
Напишите статью об использовании expect в данной ситуации. С удовольствием прочитаю.
На всякий случай уточню — это сарказм, связанный с тем, что expect — традиционно юниксовый инструмент автоматизации, ваш трукрипт живёт под сервером 2003, а упоминание AutoIt вы решили не заметить?
Про AutoIt заметил. Просто на ноутбуке стоит Ubuntu, поэтому и попросил про expect написать.
winexe remotely executes commands on WindowsNT/2000/XP/2003 systems. С вашего ноута запустится это?
Про expect можно подумать, если поставить любой remote shell на сервере с трукриптом (или если там уже есть), как-то так. Подключаемся по ssh и туда командную строку truecrypt. Целую статью писать про это явно оверкилл.
Про expect можно подумать, если поставить любой remote shell на сервере с трукриптом (или если там уже есть), как-то так. Подключаемся по ssh и туда командную строку truecrypt. Целую статью писать про это явно оверкилл.
Это полезно применять для запуска программы уничтожения данных (или для отключения разделов tc), когда из доступных средств остается только право на один телефонный звонок.
По мне так автору стоит добавить ввод DTMF-ом ключа расшифровки пароля к truecrypt и тогда и пароль нет нужды хранить в открытом виде :)
Можно какнить хитро извернуться и приделать ко всему этому OTP :)
И тогда уровень безопасности подрастет :)
Можно какнить хитро извернуться и приделать ко всему этому OTP :)
И тогда уровень безопасности подрастет :)
Скажите, а какое оборудование у Вас стоит между городской телефонной линией (лапшой) и сервером на Ubuntu.
Ищу наиболее подходящее оборудование чтобы через интернет звонить внутрь офиса (на аналоговую миниАТС) и наружу в город.
Ищу наиболее подходящее оборудование чтобы через интернет звонить внутрь офиса (на аналоговую миниАТС) и наружу в город.
На сервере стоит плата Digium TE110P, на которую приходит поток E1 от провайдера. Дальше уже Asterisk разруливает.
Sign up to leave a comment.
Подключение зашифрованных разделов TrueCrypt с помощью сервера IP-телефонии Asterisk