«Но я ни о чем не жалею – защита личных данных людей стоит этого и намного большего» — просто пиар Дурова, не совпадающий с реальной действительностью. Защита данных ВК оставляет желать лучшего. До тех пор пока аккаунты продаются тысячами, идет спам со всякой ненужной информацией, куча ненужной рекламы, которую нельзя отключить либо хотя бы отказаться, как например в FB, какой разговор о безопасности?!
Продал бы уже в NSA все доли сразу…
Чтобы защитить базу данных, можно принять ряд мер предосторожности, например спроектировать систему безопасности, проводить шифрование конфиденциальных ресурсов и поместить серверы базы данных под защиту брандмауэра. Однако в случае с похищением физического носителя (например, диска или ленты) злоумышленник может просто восстановить или подключить базу данных и получить доступ к данным. Одним из решений может стать шифрование конфиденциальных данных в базе данных и защита ключей, используемых при шифровании, с помощью сертификата. Это не позволит ни одному человеку, не обладающему ключами, использовать данные, однако такой тип защиты следует планировать заранее.
Функция прозрачного шифрования данных (TDE) выполняет в реальном времени шифрование и дешифрование файлов данных и журналов в операциях ввода-вывода. При шифровании используется ключ шифрования базы данных (DEK), который хранится в загрузочной записи базы данных для доступности при восстановлении. Ключ шифрования базы данных является симметричным ключом, защищенным сертификатом, который хранится в базе данных master на сервере, или асимметричным ключом, защищенным модулем расширенного управления ключами. Функция прозрачного шифрования данных защищает «неактивные» данные, то есть файлы данных и журналов. Она дает возможность обеспечивать соответствие требованиям многих законов, постановлений и рекомендаций, действующих в разных отраслях. Это позволяет разработчикам программного обеспечения шифровать данные с помощью алгоритмов шифрования AES и 3DES, не меняя существующие приложения.
Для того, чтобы защитить данные от прямого захвата жёсткого диска, нам необходимо их зашифровать. Для этого мы будем использовать утилиту CyberSafe.
Создадим с её помощью зашифрованный том, хранящийся в файле. Можно создать и на разделе, но, на мой взгляд, это менее удобно.
Создавать ли скрытый том? Вопрос неоднозначный. Эта фича предназначена для использования в Англии, где невыдача паролей при конфискации ПК сама по себе является преступлением. В то же время в России такой законодательной нормы нет, а использование скрытого раздела съедает полезный объём диска. Я создавать скрытый раздел не стал.
Размер раздела выберем на своё усмотрение. Лично я выбрал 50 ГБ.
Алгоритм шифрования — я выбрал AES. Во-первых, ему доверяют американские военные для защиты высших грифов секретности, а во-вторых, он аппаратно ускоряется новыми процессорами Intel и CyberSafe имеет поддержку этого ускорения.
Далее всё стандартно: придумываем сложный и длинный пароль, генерируем энтропию хаотичными движениями мыши и создаём раздел. Тип раздела обязательно должен быть NTFS, поскольку в нём будут храниться большие файлы.
Далее нам потребуется виртуальная машина. Всё, что мы оберегаем — будет храниться в ней.
Связано это с тем, что:
•работа в основной ОС оставляет в различных местах разнообразные следы;
•если основная ОС проприетарна (не буду показывать пальцем) — в ней не исключено наличие закладок;
•прикладное ПО в основной ОС тоже подпадает под предыдущее требование (вспомним PunkBuster, EULA которого позволяет сканировать жёсткий диск пользователя).
Мы будем использовать VirtualBox, но не основной дистрибутив, а портативный. Скачаем инсталлятор на заранее примонтированный шифрованный диск, запустим и скачаем поддерживаемый дистрибутив Бокса посредством самой утилиты. Далее утилита распакует его и настроит на портативность.
Создадим в Боксе машинку с двумя жёсткими дисками: одним — на 8-10 ГБ и вторым на всё оставшееся место, разумеется, расположив оба на шифрованном диске. Пройдёмся по настройкам, поставим сеть в NAT и настроим остальное по своему вкусу — особо критичного там ничего нет. Подключим образ Убунты (который, надеюсь, уже скачался) в качестве дисковода.
Запускаем машину и начинаем установку ОС. При разбиении дисков поступим примерно так: разместим на первом, маленьком, корень и своп, а на большом — /home. Все данные мы будем хранить в /home. Таким образом, разделение системы и данных происходит между разными файлами жёстких дисков Бокса. Далее всё выполняем по своему вкусу.
Установилось! Теперь начинаем настройку.
Идея заключается в том, чтобы оставить прямой доступ в сеть только двоим избранным — маршрутизаторам TOR и I2P.
Сначала ставим TOR из их собственного репозитория (в официальном версия может быть устаревшей) по инструкции с официального сайта. Потом поставим и I2P, опять же из собственного PPA-репа разработчиков — инструкция.
Обратим внимание, что TOR сам по себе предоставляет только SOCKS5-прокси, и его поддержка есть не во всех программах. Поэтому установим Polipo — свободный HTTP-прокси:
sudo apt-get install polipo
Настроим его:
sudo nano /etc/polipo/config
Добавим в него строчку:
proxyPort = 8118
Ниже раскомментируем (или подправим, если что-то не так):
socksParentProxy = «localhost:9050»
socksProxyType = socks5
Сохраним. Перезапустим Полип:
sudo service polipo restart
Теперь настроим I2P:
sudo nano /etc/default/i2p
Включим запуск в качестве демона:
RUN_DAEMON=«true»
Заодно видим в файле имя пользователя, от которого работает маршрутизатор — у меня это i2psvc
Сохраняем.
Запускаем: sudo service i2p start
Теперь узнаем пользователя, от которого работает TOR:
lsof -c tor
У меня это debian-tor.
И теперь рубим доступ в сеть всему, что не TOR и не I2P. Ещё раз — всему.
Вот готовый скрипт iptables-restore, только проверьте ещё раз имена пользователей.
Общая политика DROP, разрешён доступ всем на локалхост, I2P и TOR — во внешнюю сеть.
sudo nano /etc/iptables.up.rules
Содержимое:
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT DROP [0:0]
-A OUTPUT -d 127.0.0.1/32 -j ACCEPT
-A OUTPUT -m owner --uid-owner debian-tor -j ACCEPT
-A OUTPUT -m owner --uid-owner i2psvc -j ACCEPT
COMMIT
Допишем команду загрузки правил:
pre-up iptables-restore < /etc/iptables.up.rules
У меня выглядит так:
auto lo
iface lo inet loopback
pre-up iptables-restore < /etc/iptables.up.rules
Поскольку управление сетью у меня идёт посредством network-manager — интерфейса eth0 в файле нет. Правила прописываются при поднятии лупбэка, но разницы нет, поскольку эти правила едины для всех интерфейсов.
Загрузим правила в iptables. Можно перезапустить сеть, но мы сделаем так:
sudo iptables-restore < /etc/iptables.up.rules
Для доступа во внешний инет лучше применять TOR, HTTP-интерфейс которого у нас на 8118 порту.
nano ~/.bashrc
Допишем в конец:
export http_proxy=«127.0.0.1:8118/»
Теперь в терминале просто
bash
При этом шелл перечитает свой конфиг. Однако apt, без которого в Убунте — как без воды (и ни туды, и ни сюды), чихать хотел на эту переменную окружения. Разъясним ему персонально внутриобъектный режим нашей крепости:
sudo nano /etc/apt/apt.conf.d/proxy
Там должно быть:
Acquire::http::Proxy «127.0.0.1:8118/»;
Сохраняем, закрываем.
Теперь осталось поставить браузер (если чем-то не нравится установленный по умолчанию ) и начинать пользоваться не очень быстрым, зато защищённым со всех сторон доступом. И повторюсь — программа внутри виртуалки может быть нашпигована хоть тысячей закладок — данные она, может, и сольёт, только они будут анонимными. Вычислить внешний IP не удастся никому.
Правильно. Дождавшись, пока Вы подмонтируете свой криптодиск, вирус/троян сможет скопировать с него всё что пожелает. Поэтому такого рода защита не является панацеей от всех проблем связанных с конфиденциальностью информации. Это больше защита от доступа к информации без Вашего участия (например после физического похищения или изъятия Вашего компьютера или жесткого диска). Но и в данном случае с секретной информацией следует обращаться осторожно (в особенности, это касается программ, которые имеют к ней доступ) т.к. серьёзный forensic специалист может без труда многое о Вас 'рассказать' проанализировав Ваш ПК, даже не имея прямого доступа к зашифрованному контейнеру.
Всё очень просто, когда диск смонтирован — это просто обычный логический диск (каталог). Читать и писать на него может любое приложение, в том числе и вирус. Защита обеспечивается только в то время, когда диск отмонтирован. Криптоконтейнер — это с точки зрения пользователя нечто вроде удобного архиватора с паролем.
Контейнер CyberSase можно представить как сейф, который вы открываете и закрываете когда нужно. Если сейф открыт, то доступ к нему есть и как верно заметили доступ к нему будет контролироваться другими настройками политик безопасности и доверием к самой операционной системе. Ну и конечно вашим собственными действиями. К примеру не оставляйте открытим контейнер когда уходите, даже если настроено авторазмонтирование по прошествии определенного промежутка времени.
Продал бы уже в NSA все доли сразу…
Функция прозрачного шифрования данных (TDE) выполняет в реальном времени шифрование и дешифрование файлов данных и журналов в операциях ввода-вывода. При шифровании используется ключ шифрования базы данных (DEK), который хранится в загрузочной записи базы данных для доступности при восстановлении. Ключ шифрования базы данных является симметричным ключом, защищенным сертификатом, который хранится в базе данных master на сервере, или асимметричным ключом, защищенным модулем расширенного управления ключами. Функция прозрачного шифрования данных защищает «неактивные» данные, то есть файлы данных и журналов. Она дает возможность обеспечивать соответствие требованиям многих законов, постановлений и рекомендаций, действующих в разных отраслях. Это позволяет разработчикам программного обеспечения шифровать данные с помощью алгоритмов шифрования AES и 3DES, не меняя существующие приложения.
Создадим с её помощью зашифрованный том, хранящийся в файле. Можно создать и на разделе, но, на мой взгляд, это менее удобно.
Создавать ли скрытый том? Вопрос неоднозначный. Эта фича предназначена для использования в Англии, где невыдача паролей при конфискации ПК сама по себе является преступлением. В то же время в России такой законодательной нормы нет, а использование скрытого раздела съедает полезный объём диска. Я создавать скрытый раздел не стал.
Размер раздела выберем на своё усмотрение. Лично я выбрал 50 ГБ.
Алгоритм шифрования — я выбрал AES. Во-первых, ему доверяют американские военные для защиты высших грифов секретности, а во-вторых, он аппаратно ускоряется новыми процессорами Intel и CyberSafe имеет поддержку этого ускорения.
Далее всё стандартно: придумываем сложный и длинный пароль, генерируем энтропию хаотичными движениями мыши и создаём раздел. Тип раздела обязательно должен быть NTFS, поскольку в нём будут храниться большие файлы.
Далее нам потребуется виртуальная машина. Всё, что мы оберегаем — будет храниться в ней.
Связано это с тем, что:
•работа в основной ОС оставляет в различных местах разнообразные следы;
•если основная ОС проприетарна (не буду показывать пальцем) — в ней не исключено наличие закладок;
•прикладное ПО в основной ОС тоже подпадает под предыдущее требование (вспомним PunkBuster, EULA которого позволяет сканировать жёсткий диск пользователя).
Мы будем использовать VirtualBox, но не основной дистрибутив, а портативный. Скачаем инсталлятор на заранее примонтированный шифрованный диск, запустим и скачаем поддерживаемый дистрибутив Бокса посредством самой утилиты. Далее утилита распакует его и настроит на портативность.
Создадим в Боксе машинку с двумя жёсткими дисками: одним — на 8-10 ГБ и вторым на всё оставшееся место, разумеется, расположив оба на шифрованном диске. Пройдёмся по настройкам, поставим сеть в NAT и настроим остальное по своему вкусу — особо критичного там ничего нет. Подключим образ Убунты (который, надеюсь, уже скачался) в качестве дисковода.
Запускаем машину и начинаем установку ОС. При разбиении дисков поступим примерно так: разместим на первом, маленьком, корень и своп, а на большом — /home. Все данные мы будем хранить в /home. Таким образом, разделение системы и данных происходит между разными файлами жёстких дисков Бокса. Далее всё выполняем по своему вкусу.
Установилось! Теперь начинаем настройку.
Идея заключается в том, чтобы оставить прямой доступ в сеть только двоим избранным — маршрутизаторам TOR и I2P.
Сначала ставим TOR из их собственного репозитория (в официальном версия может быть устаревшей) по инструкции с официального сайта. Потом поставим и I2P, опять же из собственного PPA-репа разработчиков — инструкция.
Обратим внимание, что TOR сам по себе предоставляет только SOCKS5-прокси, и его поддержка есть не во всех программах. Поэтому установим Polipo — свободный HTTP-прокси:
sudo apt-get install polipo
Настроим его:
sudo nano /etc/polipo/config
Добавим в него строчку:
proxyPort = 8118
Ниже раскомментируем (или подправим, если что-то не так):
socksParentProxy = «localhost:9050»
socksProxyType = socks5
Сохраним. Перезапустим Полип:
sudo service polipo restart
Теперь настроим I2P:
sudo nano /etc/default/i2p
Включим запуск в качестве демона:
RUN_DAEMON=«true»
Заодно видим в файле имя пользователя, от которого работает маршрутизатор — у меня это i2psvc
Сохраняем.
Запускаем: sudo service i2p start
Теперь узнаем пользователя, от которого работает TOR:
lsof -c tor
У меня это debian-tor.
И теперь рубим доступ в сеть всему, что не TOR и не I2P. Ещё раз — всему.
Вот готовый скрипт iptables-restore, только проверьте ещё раз имена пользователей.
Общая политика DROP, разрешён доступ всем на локалхост, I2P и TOR — во внешнюю сеть.
sudo nano /etc/iptables.up.rules
Содержимое:
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT DROP [0:0]
-A OUTPUT -d 127.0.0.1/32 -j ACCEPT
-A OUTPUT -m owner --uid-owner debian-tor -j ACCEPT
-A OUTPUT -m owner --uid-owner i2psvc -j ACCEPT
COMMIT
Откроем файл настройки сети:
sudo nano /etc/network/interfaces
Допишем команду загрузки правил:
pre-up iptables-restore < /etc/iptables.up.rules
У меня выглядит так:
auto lo
iface lo inet loopback
pre-up iptables-restore < /etc/iptables.up.rules
Поскольку управление сетью у меня идёт посредством network-manager — интерфейса eth0 в файле нет. Правила прописываются при поднятии лупбэка, но разницы нет, поскольку эти правила едины для всех интерфейсов.
Загрузим правила в iptables. Можно перезапустить сеть, но мы сделаем так:
sudo iptables-restore < /etc/iptables.up.rules
Для доступа во внешний инет лучше применять TOR, HTTP-интерфейс которого у нас на 8118 порту.
nano ~/.bashrc
Допишем в конец:
export http_proxy=«127.0.0.1:8118/»
Теперь в терминале просто
bash
При этом шелл перечитает свой конфиг. Однако apt, без которого в Убунте — как без воды (и ни туды, и ни сюды), чихать хотел на эту переменную окружения. Разъясним ему персонально внутриобъектный режим нашей крепости:
sudo nano /etc/apt/apt.conf.d/proxy
Там должно быть:
Acquire::http::Proxy «127.0.0.1:8118/»;
Сохраняем, закрываем.
Теперь осталось поставить браузер (если чем-то не нравится установленный по умолчанию ) и начинать пользоваться не очень быстрым, зато защищённым со всех сторон доступом. И повторюсь — программа внутри виртуалки может быть нашпигована хоть тысячей закладок — данные она, может, и сольёт, только они будут анонимными. Вычислить внешний IP не удастся никому.
Всё очень просто, когда диск смонтирован — это просто обычный логический диск (каталог). Читать и писать на него может любое приложение, в том числе и вирус. Защита обеспечивается только в то время, когда диск отмонтирован. Криптоконтейнер — это с точки зрения пользователя нечто вроде удобного архиватора с паролем.
Контейнер CyberSase можно представить как сейф, который вы открываете и закрываете когда нужно. Если сейф открыт, то доступ к нему есть и как верно заметили доступ к нему будет контролироваться другими настройками политик безопасности и доверием к самой операционной системе. Ну и конечно вашим собственными действиями. К примеру не оставляйте открытим контейнер когда уходите, даже если настроено авторазмонтирование по прошествии определенного промежутка времени.