Подключение зашифрованных разделов TrueCrypt с помощью сервера IP-телефонии Asterisk

[megazloj]

Это не лень, это автоматизация.

[Darka]

Это не автоматизация, а раздолбайство.

[JStingo]

Вот только вопрос не снижается ли от этого защищенность системы? Пароль таки храниться в открытом виде.

[zombic]

Права на папку со скриптами только для root'а, поэтому, если у негодяев нет физического доступа к серверу, почти безопасно )

[vibornoff]

А чем это лучше хранения файлов не внутри криптоконтейнера, а просто во владении root'а?
К.м.к. TrueCrypt именно для того и нужен, чтобы даже в случае иъятия нельзя было получить доступ к данным

[zombic]

Вопрос немного в тупик поставил. Asterisk и терминальный сервер — это два разных сервера, на разных ОС и физически даже не в одном помещении. Сам Asterisk лишь посредник при монтировании разделов. А как хранить данные — это уже другой вопрос.

[vibornoff]

Понятно, тогда лучше при дозвоне на 77..7 вместо фиксированного пароля использовать последние 3 цифры добавляющиеся к ключу шифрования. А сервер с TrueCrypt настроить таким образом, чтобы при неправильном пароле раздел размонтировался, если замонтирован, или блокировался на 5-15 минут, если не замонтирован.

Впрочем, это не спасает от одновременного изъятия обоих серверов.

[tranquil]

Да, надо бы ключ к зашифрованному разделу передавать по телефону. Или хотя бы часть ключа. Или хранить ключ от раздела зашифрованным более слабым ключом, который передавать по телефону.

[WiTPHG]

Прочитав заголовок ожидал что то более экстравагантное, на пример в голосовом потоке передавать данные.

[zombic]

Кстати, интересная идея ). Если бы TrueCrypt поддерживал распознавание пароля по звуковым комбинациям по принципу работы Shazam, было бы интересно.

[OLS]

Я был уверен, что пароль к TrueCrypt будет передаваться в DTMF
(с каким-нибудь простеньким контролем целостности).

[DmZ]

Тоже был в этом уверен. Иначе изъятие обоих серверов сводит на нет все шифрование.

[zombic]

Точно, после этой статьи все будут знать, где брать пароли к контейнерам TrueCrypt ).
А если серьезно, то при наличии лицензий на ПО изъятие компьютеров вряд ли произойдет. А вот от налоговой проверки данная схема может защитить.

[amarao]

В скольких выездных налоговых проверках с изъятием серверов вы участвовали, чтобы говорить об этом уверенно?

[maia]

вопрос решается добавлением екстеншена «666» который производит размонтирование, и отстреливание файла с паролем одновременно.

вероятность поиска пароля от крипто контейнера на сервере телефонии — это из области фантастики. термо-ректальный криптоанализ надежнее. не забываем о стране в которой живем.

[zombic]

Огромное спасибо за идею, добавил в скрипт umount.sh удаление файлов. Отдельный екстеншен создавать нет необходимости, т.к. размонтирование по звонку будет только к крайнем случае.

[Obramko]

Удалять в данном случае — плохо. Лучше cat /dev/urandom > mount.sh.

[zombic]

Спасибо за urandom. Надо только придумать, как его убить через пару секунд после запуска.

[Obramko]

dd if=/dev/urandom of=/path/to/mount.sh bs=1M count =4
4 блока по 1 мегабайту = 4 мегабайта. Хватит? =)

[zombic]

Спасибо, добавил в скрипт.

[vibornoff]

Лучше /usr/bin/shred использовать, специально созданный для этих целей (мой пост про большую красную кнопку).

[zombic]

И вам спасибо за shred, добавил пост в закладки.

[Darka]

Особенно это не очевидно после публикации на Хабре =)

[gigimon]

Бр, а зачем использовать Asterisk для запуска скрипта? Для этого и cron все еще подходит…

[zombic]

В случае изъятия оборудования смысл шифрования теряется.

[amarao]

Потрясающе. Хранить пароль к «серой 1С» в конфиге Астериска — разумеется, эти тупые менты никогда в жизни не догадаются поднять СОРМ, посмотреть конфиги (они вообще знают что это такое?) и вообще, я много умнее их.

/сарказм.

[zombic]

От вас критика воспринимается особенно серьезно /без сарказма.
Я уже понял, что данная схема не секьюрна. Буду пересматривать варианты, выслушаю ваши советы.

[amarao]

Простейшая вещь, которую я видел — это использование SD'шки для хранения пароля к БД. В случае мероприятия SD'шку спускают в шредер, а по извлечению SD'шки конфиги и заголовки херятся (для шифроконтейнера не так уж много нужно удалить, чтобы никогда в жизни не признать его за оный), на место кладётся белая база и сервер ребутится. Всех дел — меньше 30с (кроме ребута). 1С при исчезновении шары слетает, после перезапуска — база на месте, белая и пушистая.

[muromec]

> В случае мероприятия SD'шку спускают в шредер

а при реальном приездеце такое уже отрабатывалось?

а то я, в присутствии людей с автоматами, как-то не стал бы бегать к серверу, а потом еще куда-то в поисках шредера.

[amarao]

В таких офисах обычно есть вялая охрана, единственная задача которой — сказать «приехали». Дальше сотрудник, до которого не дошли автоматчики вынимает SD-ку, спускает её в шредер, садится на своё рабочее место и нервно играет в пасьянс.

[akshakirov]

У меня приятель рассказывал историю, они купили длинковский NAS с вайфаем, сунули его в машину рядом с офисом, чуть какой шухер, специально обученный человек садился в машину и тупо уезжал со всем и базами и документами.

[Obramko]

Это вроде на баше было. Или где-то вроде этого.

[FX_Pain]

Слишком много криптографии.

[mitnlag]

Здесь, прямо скажем, пример неудачный — если федеральная машина по-настоящему захочет, она найдет способы получить информацию. Серая 1С — быстрее всего, конечно. Но Россия столь забюрократизирована, что следы найдутся. Долго, неудобно. Найдутся.

Автора не следует ругать за эту статью. Он показал отличный и удобный вариант удаленного доступа — в трясущейся маршрутке проще номер телефона набрать, чтобы инициировать действие, чем коннектиться по ssh или rdp для выполнения какого-то действия.

Спасибо за статью.

[muromec]

>в трясущейся маршрутке

трясущимися руками ползая на поломанных ногах

[smarteq]

ППКС

Статья действительно хорошая и нужная. Автору респект) А папку с конфигом астериска можно и по nfs например смонтировать с какого нибуть неттопа который убран в сортире под потолком и по GET запросу на спецально настроеный веб-сервер вырубается навсегда, пока специально обученный человек не ткнет шваброй в третью правую плитку %) Но это так) не более чем идея) Вообще _по_опыту_ попадания во всякие житейские пзддцы чем более нестандартно себя поведешь, тем сильнее поставишь в ступор сотрудника правоохранительных органов. Совершенно универсальное правило! 10 лет назад меня ловили на мотоцикле без прав, я запехал связку с ключами в рот (чтобы её в бак не спустили) поэтому когда меня обрабатывали руками и ногами (у меня пассажир без шлема был, я притормозил чтобы он спрыгнул и убежал, а в это время… ну в общем не важно) так вот, пока меня обрабатывали я не произнес ни звука (связка ключей от мотика и гаража была большой). А потом на свою беду я достал связку… и до сих пор жалею «Фух слава богу. Я думал ты глухонемой, чего с тобой делать-то!» т.е. еще бы 5-10 минут прикидываться шлангом и не было бы комиссии по делам несовершеннолетних! Но как говорится задним умом все хороши) Так что я уверен что система безопасности, собраная на коленке содержащая неимоверное количество лулзов, скорее всего поставит в тупик сотрудников известного отдела в тупик какой нибуть нетривиальной вещью вроде пароля от тру крипта в конфиге астериска %)

[icon]

А чего бы не сделать так, чтобы ноутбук всё сам делал с утра пораньше — при помощи средств типа AutoIt или expect, уверен, это будет гораздо прикольнее, чем всякие там обеликсы с астериксами. И пароль надёжнее хранится. Самое сложное — это объяснить ноуту, что надо утром проснуться раньше вас, а потом заснуть обратно, когда всё сделает.

[zombic]

Напишите статью об использовании expect в данной ситуации. С удовольствием прочитаю.

[icon]

На всякий случай уточню — это сарказм, связанный с тем, что expect — традиционно юниксовый инструмент автоматизации, ваш трукрипт живёт под сервером 2003, а упоминание AutoIt вы решили не заметить?

[zombic]

Про AutoIt заметил. Просто на ноутбуке стоит Ubuntu, поэтому и попросил про expect написать.

[icon]

winexe remotely executes commands on WindowsNT/2000/XP/2003 systems. С вашего ноута запустится это?

Про expect можно подумать, если поставить любой remote shell на сервере с трукриптом (или если там уже есть), как-то так. Подключаемся по ssh и туда командную строку truecrypt. Целую статью писать про это явно оверкилл.

[dollar]

Это полезно применять для запуска программы уничтожения данных (или для отключения разделов tc), когда из доступных средств остается только право на один телефонный звонок.

[zombic]

«Красная кнопка» по звонку — это удобно ))

[Yastrebon]

По мне так автору стоит добавить ввод DTMF-ом ключа расшифровки пароля к truecrypt и тогда и пароль нет нужды хранить в открытом виде :)
Можно какнить хитро извернуться и приделать ко всему этому OTP :)
И тогда уровень безопасности подрастет :)

[mihmig]

Скажите, а какое оборудование у Вас стоит между городской телефонной линией (лапшой) и сервером на Ubuntu.
Ищу наиболее подходящее оборудование чтобы через интернет звонить внутрь офиса (на аналоговую миниАТС) и наружу в город.

[zombic]

На сервере стоит плата Digium TE110P, на которую приходит поток E1 от провайдера. Дальше уже Asterisk разруливает.