FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA [Segurança Linux]

1. FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 14/06/2016 - 17:04h

Olá Senhores , Boa Tarde

Tudo bem ?

Bom, estou com a dúvida que é o seguinte.

Quero proteger fisicamente e logicamente um host virtual com todas as ferramentas nativas possíveis do debian durante a formatação e instalação , com 7 discos virtuais (raiz , boot , home , tmp , usr ,var , opt) , criptografando todos os discos em questão , colocando senha no disco de boot para que quando seja reiniciado o equipamento solicite a senha de boot , deixando os discos casados um com o outro para evitar que caso alguém venha substituir o HD de boot ( /boot) por uma nova formatação /boot sem senha não consiga por conta da criptografia ou enlaces..quero também trabalhar com LVM criptografado para poder aumentar ou diminuir o tamanho das partições sempre que necessário.

Preciso garantir o máximo de segurança local do host em questão com o máximo de criptografia possível em todos os discos.
Lembrando que adoraria ter TODOS os hds criptografados ..TODOS.....mas para iniciar a maquina , pedir a senha apenas do /boot.....mas se tiver que digitar todas as senhas de cada HD , sem problemas também

Não me ajuda as perguntas :
Por que você quer fazer isso ? Pra que você quer fazer isso ?

E sim como fazer tudo isso ?

Algum expert no assunto que possa me ajudar ?

2. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 15/06/2016 - 01:26h

Primeiro, seja ais HUMILDE, já que esta pedido ajuda não venha com essa

Não me ajuda as perguntas :
Por que você quer fazer isso ? Pra que você quer fazer isso ?
E sim como fazer tudo isso ?

Se quer escolher quem lhe ajuda, existe varias empresas que lhe proporciona isso, com um custo.

Algum expert no assunto que possa me ajudar ?

Segunda, não precisa ao meu ver sair criptografando tudo, além de ser desnecessário ao meu ver, criptografe só o local aonde vc tem dados importantes(como /home) o resto , se alguém pegar será inútil, pois o importante esta "salvo".

Abraço

#-------------------------------------------------------------------------------------#

"Linux é algo que me fez ter Gosto pela Informática, se tornou um Vicio" - Carlos A. P. Cunha
Acesse: www.cunhatec.com.br

3. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 16/06/2016 - 16:42h

Carlos Boa Tarde

Bom respondendo suas afirmações:

Primeiro, seja ais HUMILDE, já que esta pedido ajuda não venha com essa

Desculpe-me se você se ofendeu não era a minha intenção , mas creio que a "falta de humildade' como você disse , veio apenas do seu senso de interpretação não calibrado.

Se quer escolher quem lhe ajuda, existe varias empresas que lhe proporciona isso, com um custo.

Mais uma vez outro erro de interpretação sua , em nossa área todos somos chamados "experts" ,no sentindo de ser inteligentes , eficazes e assim somos ,trabalhar com tecnologia não é coisa de vagabundo , e nem acomodado...... a palavra em questão poderia ser substituída por "colega" , "amigo" , não coloca nenhuma tipo de seleção..... desculpe-me dizer mas precisa treinar um pouco mais a capacidade de interpretação nos textos que aqui relatados

Segunda, não precisa ao meu ver sair criptografando tudo, além de ser desnecessário ao meu ver, criptografe só o local aonde vc tem dados importantes(como /home) o resto , se alguém pegar será inútil, pois o importante esta "salvo".

Bom sobre a sua dica , concordo que a mesma serviria muito bem para um desktop ,mas não para um servidor de aplicações e servidores WEB que o ponto onde pretendia chegar aqui , nesse caso gostaria de proteger o /boot , /opt , /var , /usr entre outros..

Procurei na internet mas não achei uma abordagem profunda sobre o tema de formação avançada em modo manual para trabalhar com LVM criptografado...essa formatação foge do convencional e por isso gostaria de aprofunda-lá

4. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 16/06/2016 - 17:44h

Caro... Eu sugiro que você coloque os discos em LVM e utilize um file system que permita criptografia, eu acredito que o LUKS faça isso.
Também coloque senha no gerenciador de boot "GRUB".

5. FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 16/06/2016 - 17:56h

foxbit3r escreveu:

Caro... Eu sugiro que você coloque os discos em LVM e utilize um file system que permita criptografia, eu acredito que o LUKS faça isso.
Também coloque senha no gerenciador de boot "GRUB".

Fala foxbit3r

Tudo bem ?
Valeu pela dica.

É justamente trabalhar com LVM que eu estou querendo , para poder aumentar o tamanho um dia caso precise

Desculpe a minha ignorância de informação , mas como posso selecionar o LUKS dentro do processo de formatação do debian ?
Neste exato momento eu criei uma partição onde coloquei as opções:

usar como:
Volume fisico a ser criptografado

Método de critptografia Device-Mapper (dm-crypt) ## só tem essa opção

Criptografia:
AES

Chave criptográfica:
Frase secreta ## não sei como funciona a chave aleatória

Apagar dados:
Sim

Nesse caso como posso proceder ?

6. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 16/06/2016 - 18:22h

Até onde aprendi não dá prá criptografar/LVM /boot porque a leitura do kernel é imprescindível.
Tanto que CentOS não deixa fazer isto se /boot não estiver separado.
Comentários contra? Agradecido.

----------------------------------------------------------------------------------------------------------------
Nem direita, nem esquerda. Quando se trata de corrupção o Brasil é ambidestro.
(anônimo)

Encryption works. Properly implemented strong crypto systems are one of the few things that you can rely on. Unfortunately, endpoint security is so terrifically weak that NSA can frequently find ways around it. — Edward Snowden

7. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 17/06/2016 - 12:02h

didism2, dá pra fazer como quer, só que vai dar bastante trabalho!

Do que tu citou só não dá pra criptografar a partição /boot como já foi falado. Nesse caso você pode incrementar a segurança da forma como já sugeriram, colocando senha no grub ou usando a partição /boot em uma unidade externa (pendrive por exemplo).

Pro que você tá querendo, talvez o ideal seja criptografar todo o disco (com exceção de /boot) e as outras partições criar como LVs dentro de um único VG criptografado (LVM). Assim você só precisa usar uma única senha na inicialização. Na instalação do Debian há opção para fazer isso de forma automática e tranquila, criando uma partição raiz e uma swap, ambas sob a mesma criptografia.

Se quiser fugir do LVM (que dependendo do sistema complica bastante as coisas num cenário todo criptografado), você pode configurar para abrir através de senha a primeira partição (raiz), e as outras (previamente criptografadas) pode abrir de forma automática através de simples script durante o boot usando arquivos chaves que podem estar armazenados na partição raiz ou numa unidade externa (pode ser o mesmo pendrive /boot). Por exemplo, esse script pode ter simples comandos assim:

cryptsetup open /dev/sdx3 --key-file=/pendrive/boot/arquivochave1 nomequalquer && mount /dev/mapper/nomequalquer /localdemontagem

Claro, pra que tudo funcione e monte nos locais corretos, o arquivo fstab deve estar devidamente ajustado.

Outra vantagem do Luks é que você pode ter até 8 senhas diferentes para um mesmo volume criptografado. Assim pode criar uma espécie de “senha-mestre” se desejar.

Em relação a partição swap, você pode optar por não criar como partição, mas sim como um arquivo (há tutoriais que explicam como fazer isso) dentro de uma das partições já criptografadas.

E para que tudo funcione, começando com a inicialização com prompt pedindo a senha, será preciso que seu kernel esteja devidamente compilado, que haja um initramfs acessível na inicialização com suporte a LVM, LUKS, device mapper, e os algorítimos que vai usar, AES, etc. Também é preciso configurar o Grub, indicando unidade root e a utilização de criptografia, o método de fazer isso varia em cada sistema.

As informações não são completas, mas espero ter ajudado a apontar caminhos. No mais, estude e pesquise. Com paciência e persistência conseguirá o sistema da forma que deseja.

8. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 21/06/2016 - 12:48h

Pygoscelis escreveu:

didism2, dá pra fazer como quer, só que vai dar bastante trabalho!

Do que tu citou só não dá pra criptografar a partição /boot como já foi falado. Nesse caso você pode incrementar a segurança da forma como já sugeriram, colocando senha no grub ou usando a partição /boot em uma unidade externa (pendrive por exemplo).

Pro que você tá querendo, talvez o ideal seja criptografar todo o disco (com exceção de /boot) e as outras partições criar como LVs dentro de um único VG criptografado (LVM). Assim você só precisa usar uma única senha na inicialização. Na instalação do Debian há opção para fazer isso de forma automática e tranquila, criando uma partição raiz e uma swap, ambas sob a mesma criptografia.

Se quiser fugir do LVM (que dependendo do sistema complica bastante as coisas num cenário todo criptografado), você pode configurar para abrir através de senha a primeira partição (raiz), e as outras (previamente criptografadas) pode abrir de forma automática através de simples script durante o boot usando arquivos chaves que podem estar armazenados na partição raiz ou numa unidade externa (pode ser o mesmo pendrive /boot). Por exemplo, esse script pode ter simples comandos assim:

cryptsetup open /dev/sdx3 --key-file=/pendrive/boot/arquivochave1 nomequalquer && mount /dev/mapper/nomequalquer /localdemontagem

Claro, pra que tudo funcione e monte nos locais corretos, o arquivo fstab deve estar devidamente ajustado.

Outra vantagem do Luks é que você pode ter até 8 senhas diferentes para um mesmo volume criptografado. Assim pode criar uma espécie de “senha-mestre” se desejar.

Em relação a partição swap, você pode optar por não criar como partição, mas sim como um arquivo (há tutoriais que explicam como fazer isso) dentro de uma das partições já criptografadas.

E para que tudo funcione, começando com a inicialização com prompt pedindo a senha, será preciso que seu kernel esteja devidamente compilado, que haja um initramfs acessível na inicialização com suporte a LVM, LUKS, device mapper, e os algorítimos que vai usar, AES, etc. Também é preciso configurar o Grub, indicando unidade root e a utilização de criptografia, o método de fazer isso varia em cada sistema.

As informações não são completas, mas espero ter ajudado a apontar caminhos. No mais, estude e pesquise. Com paciência e persistência conseguirá o sistema da forma que deseja.

Olá Pygoscelis

Muito obrigado pela sua informação

Uma verdadeira aula , valeu mesmo.

Existe um ponto onde eu ainda não havia pensado usando a criptografia.

PROCESSAMENTO... com fica ?

Se eleva o processamento apenas na hora de dar boot e depois fica normal como qualquer equipamento ?
Ou enquanto o equipamento estiver trabalhando haverá consumo de memória e processamento adicional por conta da criptografia?

Outra coisa , supondo que eu não use a criptografia , e coloque apenas a senha no /boot e mais nada , e considerando que estou deixando cada pasta em uma partição / em 1 hd , opt em outro hd , /home em outro e por aí vai .... como poderiam burlar os discos em questão ?
É possível eles pegarem um desses discos , ou até mesmo o /boot , formatar e reescrever a unidade porém tendo acesso ao restante do conteúdo ?

Desculpe tantas perguntas , mas é que pretendo trabalhar com todos os pontos em que posso melhorar a segurança , para garantir que que eu não tenha problemas....
Daqui ha alguns meses , terei que disponibilizar um servidor local para o cliente com varias partições e com uma aplicação própria...o servidor vai ficar largado lá...e já tive relatos de outros fornecedores que a própria T.I. de lá é cheio de querer ficar invadindo os servidores para fazer não sei pra quê...e pior do que isso , tem muito roubo por lá.....
O meu receio é justamente terem acesso a informação do que está dentro do S.O. e da aplicação.

O cliente não quer cloud , e dentro dos serviços com cliente um deles é colocar a senha para boot do servidor sempre que reiniciado , mas considero um ambiente completamente hostil para a aplicação , por esse motivo , quero proteger os discos , o S.O. , com iptables e outras coisas

9. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 21/06/2016 - 15:56h

Se os dados da aplicação fossem criptografados, uso de gnuGPG, e fosse feito um hardening já estaria bom, ao meu ver.

Com um LiveCD é possível visualizar todas as partições com o seus respectivos arquivos e diretórios, se o LiveCD reconhecer o formato de sistemas de arquivos que estiver configurado no servidor.

10. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 22/06/2016 - 01:47h

didism2 escreveu:
Existe um ponto onde eu ainda não havia pensado usando a criptografia.

PROCESSAMENTO... com fica ?

Se eleva o processamento apenas na hora de dar boot e depois fica normal como qualquer equipamento ?
Ou enquanto o equipamento estiver trabalhando haverá consumo de memória e processamento adicional por conta da criptografia?

Não sei responder com precisão e posso estar falando bobagem, mas usar criptografia exige um pouco mais do processador (mas nada demais) e isso reflete diretamente na velocidade (mais lenta) da leitura e escrita dos dados no disco. Então não é só na hora do boot, mas todo o tempo em que dados são lidos e escritos. É o preço que se paga por mais segurança dos dados. Há na internet comparativos de velocidade de cada algorítimo, mas o AES é tido como o mais recomendado por ter melhor "custo-benefício" em relação a segurança e velocidade.

Outra coisa , supondo que eu não use a criptografia , e coloque apenas a senha no /boot e mais nada , e considerando que estou deixando cada pasta em uma partição / em 1 hd , opt em outro hd , /home em outro e por aí vai .... como poderiam burlar os discos em questão ?
É possível eles pegarem um desses discos , ou até mesmo o /boot , formatar e reescrever a unidade porém tendo acesso ao restante do conteúdo ?

Eu não sei o que seria exatamente essa senha no /boot. Como já foi dito a partição de boot precisa estar acessível para iniciar o sistema, por isso não pode ser criptografada. Colocar senha no grub e manter a partição /boot em um pendrive que tem que ser inserido toda vez que iniciar a máquina (aliado a criptografia das demais partições), evita que alguém mal intencionado consiga executar códigos maliciosos durante a inicialização.

Quanto a possibilidade de reescrever o disco, sempre é possível desde que se tenha acesso físico ou root. Em relação ao conteúdo é exatamente o que a criptografia protege quando ela está fechada. Como disse o colega acima, em um disco normal, com um simples livecd, qualquer um pode ler todo o conteúdo. Já com a criptografia o conteúdo fica inacessível a quem desconhece a senha.

11. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 29/06/2016 - 13:14h

Fala Senhores , Tudo bem ....
Bom seguindo a dicas de todos aqui , estou em laboratório em uma maquina virtual de teste para colocar tudo em prática

Bom , as coisas estão andando , só estou tendo dificuldade em habilitar o SWAP em um partição criptografada.
Então decidi recriar novamente as a formação dos hd's e coloquei o swap criptografado em um HD separado para estudar o erro
O erro é assim que vai iniciar o processo de formatação..
Onde ao tentar fazer o processo ele apresenta o erro:

"A TENTATIVA DE MONTAR UM SISTEMA DE ARQUIVOS DO TIPO SWAP EM VOLUME CRIPTOGRAFADO (SDC1_CRYPT) EM NONE FALHOU
VOCÊ PODE CONTINUAR COM O PARTICIONAMENTO A PARTIR DO MENU DE PARTICIONAMENTO.
VOCÊ DESEJA CONTINUAR O PARTICIONAMENTO?

VOLTAR SIM NÃO "

Como posso resolver isso galera ?
A unidade swap não está em LVM , está apenas criptografada , é um erro deixar o swap criptografado ?
É possível invadir as outras unidades sem usar a criptografia na unidade SWAP ?

Valeu galera

12. Re: FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Enviado em 29/06/2016 - 17:19h

Bom , eu mesmo me respondo...
Por algum motivo que ainda não conheço , consegui habilitar o SWAP , depois de ter colocado o SWAP em LVM

Ficaram as dúvidas agora :

1 - SWAP só funciona em uma partição que está com LVM ou
Se nenhuma partição criptografada aceita formatação direta a não ser que esteja em LVM ?

2 - Consegui terminar a instalação tudo certo , ao reiniciar ele já está pedindo as senhas tudo certinho...isso quer dizer que já estou com LUKS ?

OBS: Instalei o Debian 8.5.0

Valeu galera

FORMATAÇÃO MANUAL AVANÇADA COM LVM E CRIPTOGRAFIA

Responder tópico