hoxnox 29 окт 2009 в 22:29

Безопасное хранение секретов

4 мин

8.3K

Информационная безопасность*

+14

Комментарии 51

НЛО прилетело и опубликовало эту надпись здесь

Maklaut 30 окт 2009 в 08:19

Аналогично!

mount.bat
@.\TrueCrypt\TrueCrypt.exe /q /w /ls data

umount.bat
@.\TrueCrypt\TrueCrypt.exe /q /f /ds

или

mount.sh

#!/bin/sh

OPTIONS=""

truecrypt $OPTIONS --mount --keyfiles="" --protect-hidden=no --fs-options="dmask=077,fmask=177,nosuid,errors=remount-ro" \
data /media/sec-flash

xintrea 2 ноя 2009 в 01:33

А umount.sh?

Maklaut 2 ноя 2009 в 10:44

А просто umount /media/sec-flash без всяких хитростей, я его даже в отдельный скрипт не стал оформлять.

maki 30 окт 2009 в 11:18

Я пользую KeePass. Думал, что это вполне самодостаточное решение. Можете в двух словах рассказать, зачем нужен TrueCrypt?

ice9 30 окт 2009 в 11:32

TrueCrypt зашифровывает часть диска или диск. Например, для того, чтобы положить на эту зашифрованную часть тот же KeePass :)

maki 30 окт 2009 в 11:55

так а KeePass разве не шифрует свою базу? Если у меня её утянут — каковы шансы, что откроют (ну если не перебором, конечно)?

ice9 30 окт 2009 в 12:40

Не могу ничего вам рассказать о базе KeePass'а, понятно, что пароли там хранятся не в явном виде. В любом случае, TC — лишний барьер на пути к базе.
Хочу подчеркнуть, что база KeePass — это только пример того, что может быть на зашифрованном диске. Если вся ваша приватная информация ограничивается KeePass'ом, вам, возможно, и не требуется дополнительное шифрование.

odionysus 30 окт 2009 в 20:34

он шифрует базу blowfish

GooRoo 5 ноя 2009 в 03:56

Он шифрует базу AES и Twofish.

kozyabozya 30 окт 2009 в 14:02

я пользуюсь просто KeePass. версии 1.13, он многоплатформенный (пользую Windows XP + WM)

версия 2.0 поддерживает синхронизацию, но несовместима с PDA

krak 1 ноя 2009 в 16:06

Почему? Есть и версия поддерживающая 2.x
http://keepasssd.sourceforge.net/

kozyabozya 1 ноя 2009 в 16:12

спасибо, на момент когда я начал пользоваться, ее еще не было

abacaba 29 окт 2009 в 23:21

Тема кроссплатформенности не раскрыта:)

Andrey_Rogovsky 30 окт 2009 в 00:23

www.manageserver.ru/2009/10/30/шифрование-файловых-систем-luks-и-cryptofs/ — подойдет?

abacaba 30 окт 2009 в 11:21

не понял, Luks может расшифровать то, что было зашифровано автором на Windows?

hoxnox 30 окт 2009 в 07:08

Зашифровано может быть под одной операционной системой, а расшифровано под другой.

abacaba 30 окт 2009 в 11:29

Это я понимаю. Алгоритмы шифрования и архивирования не зависят от платформы. Но примеры в статье — только для Windows. Тот же Eraser на сайте по ссылке скомпилирован под Windows (есть там еще и проект Visual Studio с исходниками, но согласитесь, тема кроссплатформенности не раскрыта).

hoxnox 30 окт 2009 в 12:59

Я лишь упомянул о tar+wipe под *nix. Согласен, можно было изложить подробнее.

Killy 30 окт 2009 в 23:14

Linux compatibility (Cryptoloop «losetup», dm-crypt and LUKS supported)
FreeOTFE
(Прога выглядит едва ли не страшнее, чем 7zip, однако достаточно удачная по функционалу.)

Ну и, раз уж решил написать, заодно упомяну SDelete от Марка Руссиновича в качестве стиралки, хотя она то уж ни разу не кроссплатформенная. Но по ссылке любопытно прочитать про принцип работы и сложности.

hoxnox 31 окт 2009 в 10:36

>sdelete
Тоже сначала ей пользовался. Не было проблем с различием файлов и папок. Но, мне кажется, eraser получше затирает.

moooV 30 окт 2009 в 00:28

Использую tar и openssl, потому что:

1) Кошерно
2) Unix-way
3) Можно использовать ЛЮБОЙ метод шифрования существующих популярных.

Все просто:

Запаковка (AES256-CBC, мего параноики могут использовать serpent):
tar cj папка | openssl enc -e -aes-256-cbc -k пароль > готовый_архив.tbe

Распаковка:
cat шифрованный_архив.tbe | openssl enc -d -aes-256-cbc -k пароль | tar xvj -C куда_распаковать

ZAZmaster 30 окт 2009 в 09:17

Плюс вам!

hoxnox 30 окт 2009 в 09:17

> Кошерно

Действительно, Шамир бы похвалил. =) Спасибо.

CTpaHHoe 30 окт 2009 в 18:33

отличное решение.

d3z 30 окт 2009 в 07:20

На что только люди не идут, лишь бы Password Safe не ставить.

hoxnox 30 окт 2009 в 09:16

«Секреты» — это не только пароли! Любые файлы, доступ к которым должен быть ограничен.

НЛО прилетело и опубликовало эту надпись здесь

zerkms 30 окт 2009 в 07:37

как «просто» восстановить удалённые с помощью eraserl файлы?

hoxnox 30 окт 2009 в 09:15

Используйте более надежные методы зачистки данных, если вас не устраивает Eraser

vo0d 30 окт 2009 в 07:37

а truecrypt или какой-нить pgp-диск юзать не проще?
кстати, бэкапы флешки делаете?

Melonamin 30 окт 2009 в 07:54

1Password anywhere — www.switchersblog.com/2009/09/1password-3-feature-spotlight-1passwordanywhere.html
Конечно ни разу не бесплатно, но зато функционально и очень удобно. По личному опыту — программа стоит своих денег.

catbegemot 30 окт 2009 в 19:57

lastpass.com — бесплатно

AzeriFire 30 окт 2009 в 08:21

В процессе расшифровки вас попросят ввести пароль на закрытый ключ.

А что если вы забудете пароль дешифровки?! Если вы такой забывчивый, то вполне возможно такое.

hoxnox 30 окт 2009 в 09:13

ПМожно заставить себя запомнить 1, но не 100-150

AzeriFire 30 окт 2009 в 13:25

Я в Гмейле создал ярлык ( Пассворд) и сохраняяю пассы в Гмейле. Что бы быстро найти открываю ярлык Пассворд.

almarz 30 окт 2009 в 19:32

Но Вы же запоминаете пароль Gmail.
P.S. Держать в почте картотеку паролей не лучшая идея.

НЛО прилетело и опубликовало эту надпись здесь

cod 30 окт 2009 в 09:11

Использую KeePass. Очень удобно. Есть под все платформы.

ruzzz 30 окт 2009 в 09:41

Вместо флешки можно использовать сервис подобный www.getdropbox.com

n1ght 30 окт 2009 в 14:38

Ну не везде есть доступ в интернет.

Mezomish 30 окт 2009 в 17:54

Я понимаю, что это только пример, но выглядит довольно забавно:

Просто положу их в такое место, где их врятли будут искать.
…
Пусть закрытый ключ будет F:\ЗАКРЫТЫЙ.КЛЮЧ, а открытый — F:\ОТКРЫТЫЙ.КЛЮЧ.

hoxnox 30 окт 2009 в 19:05

Это называется ирония.

parovozik 30 окт 2009 в 18:15

а я… а я… использую ручку и блокнот =)

FB3 30 окт 2009 в 18:25

Пароли храню в голове, их конечно не несколько сотен, но штук 5 разных точно есть, плюс логины на сайтах различаются.
Где не помню пароль — жму кнопку напоминания и получаю на почту.
Флэшку с собой не таскаю…

hoxnox 30 окт 2009 в 18:59

Большинство видит только хранение паролей. Зря я, наверное, этот пример вставил. =(
Вообще, если честно, изначально использовал этот метод для
1. Сокрытия некоторой информации на жестком от лиц, имеющих к нему доступ (или способных его получить административным воздействием). Шифровал и кидал файл в system32 с каким-нибудь не выдающимся именем…
2. Создания долго хранящихся архивов, чтобы инструменты для его восстановления лежали на дискете в надежном месте.

zxm 5 ноя 2009 в 04:16

А чем не устраивает TrueCrypt? Бесплатный, кроссплатформенный, удобный.

hoxnox 5 ноя 2009 в 19:53

Во-первых не знал о его существовании, а во-вторых настораживает, что для зашифрования/расшифрования ему требуется лишь пароль. А защита Кирхгофа предполагает стойкость пропорциональной стойкости ключа.

hoxnox 5 ноя 2009 в 19:59

Еще вспомнил, что прежде чем зашифровывать в TrueCrypt нужно заранее выделить определенное дисковое пространство.
Вобщем, TrueCrypt штука хорошая, но я продолжу пользоваться своим велосипедом. Он роднее =)

hoxnox 28 ноя 2010 в 09:15

#!/bin/sh # Ubuntu - dec script for /usr/bin # usage: dec <arch> <user> <secring> <pubring> # Для использоавния нужны пакеты: p7zip-full, wipe, gnupg # Автор hoxnox@gmail.com # Получение ключей called_path=${0%/*} cp $3 /tmp/pubring.gpg cp $4 /tmp/secring.gpg # Расшифровка result=`gpg --homedir=/tmp -r $2 --quiet -o$1.7z -d $1` if $result; then # Распаковка worked_path=`readlink -f $1` 7z x $1.7z -o${worked_path%/*} 1>/dev/null && rm -r $1 && wipe -rfs $1.7z echo "DECRYPTED SUCCESSFULL" else echo "DECRYPTION FAILED" fi # Затираем ключи wipe -sf /tmp/pubring.gpg wipe -sf /tmp/secring.gpg

hoxnox 28 ноя 2010 в 09:18

#!/bin/sh # Ubuntu encryption script for /usr/bin # usage: enc <folder> <user> <pubring> # Автор hoxnox@gmail.com # Зависимости: gnupg, p7zip, wipe # Получение ключей called_path=${0%/*} cp $3 /tmp/pubring.gpg # Упаковка и шифрование 7z a $1.7z $1 1>/dev/null result=`gpg --homedir=/tmp -r $2 -quiet -o$1.xnx -e $1.7z` if $result; then echo "ENCRYPTED SUCCESSFULL" wipe -frs $1.7z && wipe -rfs $1 else echo "ENCRYPTED FAILED" fi # Затираем ключи wipe -fs /tmp/pubring.gpg wipe -fs /tmp/secring.gpg

Зарегистрируйтесь на Хабре, чтобы оставить комментарий