Комментарии 46
Это не лень, это автоматизация.
0
Вот только вопрос не снижается ли от этого защищенность системы? Пароль таки храниться в открытом виде.
+10
Права на папку со скриптами только для root'а, поэтому, если у негодяев нет физического доступа к серверу, почти безопасно )
-3
А чем это лучше хранения файлов не внутри криптоконтейнера, а просто во владении root'а?
К.м.к. TrueCrypt именно для того и нужен, чтобы даже в случае иъятия нельзя было получить доступ к данным
К.м.к. TrueCrypt именно для того и нужен, чтобы даже в случае иъятия нельзя было получить доступ к данным
+6
Вопрос немного в тупик поставил. Asterisk и терминальный сервер — это два разных сервера, на разных ОС и физически даже не в одном помещении. Сам Asterisk лишь посредник при монтировании разделов. А как хранить данные — это уже другой вопрос.
-4
Понятно, тогда лучше при дозвоне на 77..7 вместо фиксированного пароля использовать последние 3 цифры добавляющиеся к ключу шифрования. А сервер с TrueCrypt настроить таким образом, чтобы при неправильном пароле раздел размонтировался, если замонтирован, или блокировался на 5-15 минут, если не замонтирован.
Впрочем, это не спасает от одновременного изъятия обоих серверов.
Впрочем, это не спасает от одновременного изъятия обоих серверов.
+4
Да, надо бы ключ к зашифрованному разделу передавать по телефону. Или хотя бы часть ключа. Или хранить ключ от раздела зашифрованным более слабым ключом, который передавать по телефону.
0
Прочитав заголовок ожидал что то более экстравагантное, на пример в голосовом потоке передавать данные.
+4
Я был уверен, что пароль к TrueCrypt будет передаваться в DTMF
(с каким-нибудь простеньким контролем целостности).
(с каким-нибудь простеньким контролем целостности).
+9
Тоже был в этом уверен. Иначе изъятие обоих серверов сводит на нет все шифрование.
+8
Точно, после этой статьи все будут знать, где брать пароли к контейнерам TrueCrypt ).
А если серьезно, то при наличии лицензий на ПО изъятие компьютеров вряд ли произойдет. А вот от налоговой проверки данная схема может защитить.
А если серьезно, то при наличии лицензий на ПО изъятие компьютеров вряд ли произойдет. А вот от налоговой проверки данная схема может защитить.
-2
вопрос решается добавлением екстеншена «666» который производит размонтирование, и отстреливание файла с паролем одновременно.
вероятность поиска пароля от крипто контейнера на сервере телефонии — это из области фантастики. термо-ректальный криптоанализ надежнее. не забываем о стране в которой живем.
вероятность поиска пароля от крипто контейнера на сервере телефонии — это из области фантастики. термо-ректальный криптоанализ надежнее. не забываем о стране в которой живем.
+2
Огромное спасибо за идею, добавил в скрипт umount.sh удаление файлов. Отдельный екстеншен создавать нет необходимости, т.к. размонтирование по звонку будет только к крайнем случае.
0
Удалять в данном случае — плохо. Лучше cat /dev/urandom > mount.sh.
+1
Спасибо за urandom. Надо только придумать, как его убить через пару секунд после запуска.
0
dd if=/dev/urandom of=/path/to/mount.sh bs=1M count =4
4 блока по 1 мегабайту = 4 мегабайта. Хватит? =)
4 блока по 1 мегабайту = 4 мегабайта. Хватит? =)
0
Спасибо, добавил в скрипт.
0
Лучше
/usr/bin/shred
использовать, специально созданный для этих целей (мой пост про большую красную кнопку).0
Особенно это не очевидно после публикации на Хабре =)
+1
Бр, а зачем использовать Asterisk для запуска скрипта? Для этого и cron все еще подходит…
0
Потрясающе. Хранить пароль к «серой 1С» в конфиге Астериска — разумеется, эти тупые менты никогда в жизни не догадаются поднять СОРМ, посмотреть конфиги (они вообще знают что это такое?) и вообще, я много умнее их.
/сарказм.
/сарказм.
+3
От вас критика воспринимается особенно серьезно /без сарказма.
Я уже понял, что данная схема не секьюрна. Буду пересматривать варианты, выслушаю ваши советы.
Я уже понял, что данная схема не секьюрна. Буду пересматривать варианты, выслушаю ваши советы.
0
Простейшая вещь, которую я видел — это использование SD'шки для хранения пароля к БД. В случае мероприятия SD'шку спускают в шредер, а по извлечению SD'шки конфиги и заголовки херятся (для шифроконтейнера не так уж много нужно удалить, чтобы никогда в жизни не признать его за оный), на место кладётся белая база и сервер ребутится. Всех дел — меньше 30с (кроме ребута). 1С при исчезновении шары слетает, после перезапуска — база на месте, белая и пушистая.
+2
> В случае мероприятия SD'шку спускают в шредер
а при реальном приездеце такое уже отрабатывалось?
а то я, в присутствии людей с автоматами, как-то не стал бы бегать к серверу, а потом еще куда-то в поисках шредера.
а при реальном приездеце такое уже отрабатывалось?
а то я, в присутствии людей с автоматами, как-то не стал бы бегать к серверу, а потом еще куда-то в поисках шредера.
0
В таких офисах обычно есть вялая охрана, единственная задача которой — сказать «приехали». Дальше сотрудник, до которого не дошли автоматчики вынимает SD-ку, спускает её в шредер, садится на своё рабочее место и нервно играет в пасьянс.
0
Слишком много криптографии.
+2
Здесь, прямо скажем, пример неудачный — если федеральная машина по-настоящему захочет, она найдет способы получить информацию. Серая 1С — быстрее всего, конечно. Но Россия столь забюрократизирована, что следы найдутся. Долго, неудобно. Найдутся.
Автора не следует ругать за эту статью. Он показал отличный и удобный вариант удаленного доступа — в трясущейся маршрутке проще номер телефона набрать, чтобы инициировать действие, чем коннектиться по ssh или rdp для выполнения какого-то действия.
Спасибо за статью.
Автора не следует ругать за эту статью. Он показал отличный и удобный вариант удаленного доступа — в трясущейся маршрутке проще номер телефона набрать, чтобы инициировать действие, чем коннектиться по ssh или rdp для выполнения какого-то действия.
Спасибо за статью.
+2
>в трясущейся маршрутке
трясущимися рукамиползая на поломанных ногах
трясущимися руками
+2
ППКС
Статья действительно хорошая и нужная. Автору респект) А папку с конфигом астериска можно и по nfs например смонтировать с какого нибуть неттопа который убран в сортире под потолком и по GET запросу на спецально настроеный веб-сервер вырубается навсегда, пока специально обученный человек не ткнет шваброй в третью правую плитку %) Но это так) не более чем идея) Вообще _по_опыту_ попадания во всякие житейские пзддцы чем более нестандартно себя поведешь, тем сильнее поставишь в ступор сотрудника правоохранительных органов. Совершенно универсальное правило! 10 лет назад меня ловили на мотоцикле без прав, я запехал связку с ключами в рот (чтобы её в бак не спустили) поэтому когда меня обрабатывали руками и ногами (у меня пассажир без шлема был, я притормозил чтобы он спрыгнул и убежал, а в это время… ну в общем не важно) так вот, пока меня обрабатывали я не произнес ни звука (связка ключей от мотика и гаража была большой). А потом на свою беду я достал связку… и до сих пор жалею «Фух слава богу. Я думал ты глухонемой, чего с тобой делать-то!» т.е. еще бы 5-10 минут прикидываться шлангом и не было бы комиссии по делам несовершеннолетних! Но как говорится задним умом все хороши) Так что я уверен что система безопасности, собраная на коленке содержащая неимоверное количество лулзов, скорее всего поставит в тупик сотрудников известного отдела в тупик какой нибуть нетривиальной вещью вроде пароля от тру крипта в конфиге астериска %)
Статья действительно хорошая и нужная. Автору респект) А папку с конфигом астериска можно и по nfs например смонтировать с какого нибуть неттопа который убран в сортире под потолком и по GET запросу на спецально настроеный веб-сервер вырубается навсегда, пока специально обученный человек не ткнет шваброй в третью правую плитку %) Но это так) не более чем идея) Вообще _по_опыту_ попадания во всякие житейские пзддцы чем более нестандартно себя поведешь, тем сильнее поставишь в ступор сотрудника правоохранительных органов. Совершенно универсальное правило! 10 лет назад меня ловили на мотоцикле без прав, я запехал связку с ключами в рот (чтобы её в бак не спустили) поэтому когда меня обрабатывали руками и ногами (у меня пассажир без шлема был, я притормозил чтобы он спрыгнул и убежал, а в это время… ну в общем не важно) так вот, пока меня обрабатывали я не произнес ни звука (связка ключей от мотика и гаража была большой). А потом на свою беду я достал связку… и до сих пор жалею «Фух слава богу. Я думал ты глухонемой, чего с тобой делать-то!» т.е. еще бы 5-10 минут прикидываться шлангом и не было бы комиссии по делам несовершеннолетних! Но как говорится задним умом все хороши) Так что я уверен что система безопасности, собраная на коленке содержащая неимоверное количество лулзов, скорее всего поставит в тупик сотрудников известного отдела в тупик какой нибуть нетривиальной вещью вроде пароля от тру крипта в конфиге астериска %)
0
А чего бы не сделать так, чтобы ноутбук всё сам делал с утра пораньше — при помощи средств типа AutoIt или expect, уверен, это будет гораздо прикольнее, чем всякие там обеликсы с астериксами. И пароль надёжнее хранится. Самое сложное — это объяснить ноуту, что надо утром проснуться раньше вас, а потом заснуть обратно, когда всё сделает.
+1
Напишите статью об использовании expect в данной ситуации. С удовольствием прочитаю.
0
На всякий случай уточню — это сарказм, связанный с тем, что expect — традиционно юниксовый инструмент автоматизации, ваш трукрипт живёт под сервером 2003, а упоминание AutoIt вы решили не заметить?
0
Про AutoIt заметил. Просто на ноутбуке стоит Ubuntu, поэтому и попросил про expect написать.
0
winexe remotely executes commands on WindowsNT/2000/XP/2003 systems. С вашего ноута запустится это?
Про expect можно подумать, если поставить любой remote shell на сервере с трукриптом (или если там уже есть), как-то так. Подключаемся по ssh и туда командную строку truecrypt. Целую статью писать про это явно оверкилл.
Про expect можно подумать, если поставить любой remote shell на сервере с трукриптом (или если там уже есть), как-то так. Подключаемся по ssh и туда командную строку truecrypt. Целую статью писать про это явно оверкилл.
0
Это полезно применять для запуска программы уничтожения данных (или для отключения разделов tc), когда из доступных средств остается только право на один телефонный звонок.
0
По мне так автору стоит добавить ввод DTMF-ом ключа расшифровки пароля к truecrypt и тогда и пароль нет нужды хранить в открытом виде :)
Можно какнить хитро извернуться и приделать ко всему этому OTP :)
И тогда уровень безопасности подрастет :)
Можно какнить хитро извернуться и приделать ко всему этому OTP :)
И тогда уровень безопасности подрастет :)
0
Скажите, а какое оборудование у Вас стоит между городской телефонной линией (лапшой) и сервером на Ubuntu.
Ищу наиболее подходящее оборудование чтобы через интернет звонить внутрь офиса (на аналоговую миниАТС) и наружу в город.
Ищу наиболее подходящее оборудование чтобы через интернет звонить внутрь офиса (на аналоговую миниАТС) и наружу в город.
0
На сервере стоит плата Digium TE110P, на которую приходит поток E1 от провайдера. Дальше уже Asterisk разруливает.
+1
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Подключение зашифрованных разделов TrueCrypt с помощью сервера IP-телефонии Asterisk