Mein System ist voll von sehr sensiblen Daten, daher muss ich so viel wie möglich davon verschlüsseln.
Ich habe eine verschlüsselte Debian-Installation, die jedes Mal beim Booten nach einem langen Passwort fragt. Gibt es eine einfache Möglichkeit, es so einzurichten, dass ich dieses Passwort aus der Ferne eingeben kann?
Wenn es eine andere Distribution kann, macht es mir nichts aus, etwas anderes anstelle von Debian zu installieren.
2
Um welche Art von Angriffsvektor machen Sie sich Sorgen? Ist ein Hardware-Schlüsselspeicher (bei dem der private Schlüssel nicht von der Software extrahiert werden kann, aber jeder, der diese Hardware besitzt, Ihren Inhalt entschlüsseln kann) angemessen? (Übrigens: Beachten Sie, dass viele Verschlüsselungssysteme mit voller Festplatte einen Hauptschlüssel entsperren, wenn Sie sie aktivieren, und diesen Schlüssel dann im RAM speichern. Dies bedeutet, dass jeder mit ausreichenden Berechtigungen diesen Hauptschlüssel möglicherweise aus dem entsperrten System kopieren kann, selbst wenn er dies nicht tut Erhalten Sie niemals Ihr Passwort. Dies ist ein Ort, an dem die eigentliche Entschlüsselung der Hardware sicherer sein kann.
—
Charles Duffy
@CharlesDuffy Das Hauptanliegen ist, dass der Server (oder seine Festplatten) physisch gestohlen wird, sodass ein Hardwareschlüssel nicht in Frage kommt, da er auch gestohlen werden kann. Ich habe speziell die Passphrase für das 40+ Symbol-Dateisystem und das 20+ Symbol-Root-Passwort festgelegt (wer ist der einzige Benutzer im gesamten System), daher sollte ich in den meisten Fällen sicher sein, oder?
—
user2363676
Entfernt und gestohlen, oder haben Sie Angst, dass ein Angreifer physischen Zugriff erhält, während die Hardware noch eingeschaltet ist? Wenn jemand neue Geräte an den PCI-Bus anschließen kann, kann er eine Kopie des physischen Speichers erstellen, um den Verschlüsselungsschlüssel aus einem laufenden, entsperrten System zu stehlen. (Sie können das zum Verschlüsseln des Schlüssels verwendete Passwort nicht stehlen, aber wenn Sie den Schlüssel selbst haben, ist das irrelevant).
—
Charles Duffy
Ein weiterer Angriffsvektor besteht darin, dass jemand die Startsequenz ändert, um während des Entschlüsselungs- / Entsperrvorgangs eine Kopie des Kennworts zu erstellen, den Computer neu zu starten und dann darauf zu warten, dass Sie sich anmelden und entsperren (sodass der hinzugefügte Code eine Kopie speichert des Passworts außerhalb des Bandes), bevor die Hardware gestohlen wird. Es wird manchmal schwierig, umfassende Bedrohungsmodelle zu entwickeln (und diese zu mildern). (Ich sehe, madscientist159 hat bereits auf diese Möglichkeit hingewiesen).
—
Charles Duffy