Activation à distance du système crypté

11

Mon système regorge de données très sensibles, je dois donc en chiffrer autant que possible.

J'ai une installation Debian cryptée qui demande un mot de passe long à chaque démarrage. Existe-t-il un moyen simple de le configurer pour pouvoir saisir ce mot de passe à distance?

Si une autre distribution peut le faire, cela ne me dérange pas d'installer quelque chose d'autre à la place de Debian.

debian remote luks user2363676
la source
2
Quel type de vecteur d'attaque vous inquiète? Un magasin de clés matérielles (où la clé privée ne peut pas être extraite par un logiciel, mais toute personne possédant ce matériel pourrait déchiffrer votre contenu) est-il approprié? (BTW, notez que de nombreux systèmes de chiffrement à disque complet déverrouillent une clé principale lorsque vous les engagez, puis stockez cette clé dans la RAM - ce qui signifie que toute personne disposant de privilèges suffisants peut potentiellement copier cette clé principale hors du système déverrouillé, même si elle ne le fait pas. 'obtenez jamais votre mot de passe; c'est un endroit où le décryptage réel peut être plus sûr).
Charles Duffy
@CharlesDuffy La principale préoccupation est que le serveur (ou ses disques) soit physiquement volé, donc la clé matérielle est hors de question, car elle peut également être volée. J'ai défini spécifiquement une phrase de passe pour le système de fichiers de symboles 40+ et un mot de passe racine pour les symboles 20+ (qui est le seul utilisateur dans tout le système), donc je devrais être en sécurité dans la plupart des cas, non?
user2363676
1
Supprimé et volé, ou craignez-vous qu'un attaquant obtienne un accès physique alors que le matériel est toujours sous tension? Si quelqu'un peut brancher de nouveaux périphériques à chaud sur le bus PCI, il peut faire une copie de la mémoire physique, afin de pouvoir voler la clé de chiffrement d'un système en cours d'exécution et déverrouillé. (Ils ne peuvent pas voler le mot de passe utilisé pour crypter la clé, mais si vous avez la clé elle-même, ce n'est pas pertinent).
Charles Duffy
1
Un autre vecteur d'attaque est que quelqu'un modifie la séquence de démarrage pour faire une copie du mot de passe pendant le processus de décryptage / déverrouillage, redémarrez votre machine, puis attendez que vous vous connectiez et le déverrouilliez (laissant ainsi le code qu'ils ont ajouté stocker une copie du mot de passe hors bande) avant de voler le matériel. Il est parfois difficile d'élaborer des modèles de menaces complets (et de les atténuer). (Je vois que madscientist159 a déjà souligné cette possibilité).
Charles Duffy

Réponses:

16

Vous pouvez l'activer en installant dropbear-initramfset en suivant les instructions pour configurer vos clés SSH. Cela démarrera un serveur SSH à partir des initramfs, vous permettant de vous connecter à distance et de saisir votre phrase secrète de chiffrement.

Stephen Kitt
la source
3
Sachez que toute personne ayant un accès physique à la machine peut remplacer vos initramfs par leur propre version malveillante, extraire votre clé privée SSH pour une attaque MITM et diverses autres formes de méchanceté. Au minimum, vous devriez regarder un TPM, sinon une technologie de sécurité plus avancée, s'il y a une chance que la boîte soit physiquement accessible par un acteur malveillant.
madscientist159
0

Si vous avez installé Debian sur un serveur Dell ou HP - Dell a iDrac et HP a ILO, les deux ont des consoles virtuelles basées sur le Web qui vous permettraient d'interagir avec la machine pendant le démarrage.

bk201
la source
Mon HP est trop vieux pour avoir l'OIT malheureusement, merci pour la suggestion cependant.
user2363676