Шифрование данных в ОЗУ

[Лекс Айрин]

шифрованный lvm на дебиан всех заборет.

ой ли? Было бы время, а восстановить доступ имея носитель дело не слишком тяжкое.

В смысле хранить отдельно ключ дешифрования, тогда взлом при получении компа злоумышленниками - становится бессмысленным, т.к. данные будет невозможно расшифровать.

Копия, обычно, хранится в системе... так, на всякий случай.

[vitaly_l]

Копия, обычно, хранится в системе... так, на всякий случай.

Флуд, ради флуда. Флудер в одиночку может уничтожить целый форум. Действия флудера - равнозначны ддос атаке. Бессмысленная трата времени в каждом топике.

[Лекс Айрин]

vitaly_l, у тебя что, слов других нет?

Я вообще-то, работаю с электронными ключами... и были кстати, случаи когда ключ просто вынимался из порта, а подпись ставилась. Если, конечно, не используется аппаратное шифрование. А уж как сорят программы временными файлами знают все. К тому же, за время сеанса, боюсь, считывание ключа шифрования происходит лишь один раз, а потом, пока не закончится сеанс работы, проверяется, в лучшем случае, только наличие носителя. Нельзя исключать и того, что программа реализует свое хранилище, которое, фактически, есть первое место, с которого стоит начинать искать пароли и ключи.
Плюс, есть снифферы клавиатуры и вообще трафика, которым положить на то, откуда был получен ключ. А уж написать его может любой, сложнее скрыть от антивируса.

[serbod]

Даже в охранных системах проще выявлять нештатные ситуации и вовремя реагировать, чем полагаться на шифрование и аппаратную защиту от реверс-инжинеринга. Прогресс на месте не стоит, что сегодня считается надежной защитой, завтра будет взломано одним пальцем, и мгновенно все исправить не получится. Поэтому в этом деле лучше быть пессимистом, не доверять никаким защитам, постоянно считать систему взломаной и минимизировать негативные последствия.

[Лекс Айрин]

serbodА примерно так все нормальные люди и работают. Кстати, если правильно поработать с памятью, то можно получить копию любого бита данных другой программы. Конечно, нужно иметь соответствующие права и компиляторы, есть определенные сложности, но чисто теоретически... причем, информацию о том как это примерно может быть реализовано я увидел в даташите на процессор.

[serbod]

В критических местах на всяких атомных станциях и кораблях может стоять какой-нибудь Windows98, линукс Красная Шапка или Черная Кошка, которые в обычных условиях не протянут и недели. Но если их изолировать в отдельную сеть, убрать весь лишний софт и добавить два-три резервных комплекта железа, то любые сбои и аварии устраняются методом перетыкания кабеля из неисправного блока в исправный. Даже если из-за долбоеба-дежурного, установившего с флешки игру, вся внутренняя сеть заразится и заблокируется, просто вся пассивная аппаратура перетыкается к машинам резервной сети. В некоторых случаях достаточно переткнуть только сервер, а рабочие места полностью сбрасываются при перезагрузке.

А если нужно прятать секретные данные, то нефиг их хранить где попало. Если у вас в сети лежит что-то, кроме необходимого для ежедневной работы (фотки любовниц, схемы распилов-откатов, и прочие копрометирующие материалы), то надо немедленно это убрать куда-нибудь на внешний диск, допуск к которому только у одного-двух человек.

[Лекс Айрин]

serbod, в критических местах все лишние разъемы заливаются компаундом.

И да, можно долго пытаться заразить систему управления реактором, которая физически не подключена к сети, у которой опечатан корпус и залиты все usb порты, CD/DVD отсутствуют как класс, а иногда и вообще машина заперта в сейфе.

В таких местах нет смысла запрещать ничего устанавливать... это просто невозможно без вскрытия компа.

[olegy123]

Но информацию, в любом случае защитить не возможно, даже если её супер пупер зашифровать, то в момент расшифровки - данные всегда можно получить.

http://www.ixbt.com/cpu/amd-epyc-launch.shtml

Самая важная функция современного процессора безопасности AMD — новая технология Secure Memory Encryption (SME), которая разработана для защиты памяти от несанкционированного доступа. Это полностью аппаратное шифрование данных в памяти, которое позволяет хранить все данные в памяти в зашифрованном виде, чтобы противостоять атакам злоумышленников. Именно из-за применения выделенного сопроцессора, включение шифрования памяти сказывается на производительности незначительно.

Главная особенность решения AMD — полная «прозрачность» аппаратного шифрования памяти для приложений, и их не нужно модифицировать никоим образом, как это приходится делать на других решениях. Также очень важно, что шифрование добавляет сравнительно небольшие задержки доступа к памяти (специалисты AMD говорят о 7 нс) и общая потеря в производительности (речь уже о пропускной способности) составляет не более пары процентов, что весьма неплохо.

Шифрование данных в памяти особенно важно для задач виртуализации, ведь каждая виртуальная машина может защищать данные от других виртуальных машин — эта возможность может открыть сферы применения виртуализации в задачах, сверхтребовательных к вопросам безопасности. Все это позволяет сделать технология SEV (Secure Encrypted Virtualization) — виртуализация изолированных виртуальных машин.

[serbod]

serbod, в критических местах все лишние разъемы заливаются компаундом.

Опечатывают, но не всегда и не везде. И вообще защита от дурака заключается в том, что дураков туда просто не допускают.

[azsx]

Парадокс в том, что я также занимаюсь сертификатами, и:
1. Если мне принесут комп на никс с зашифрованным lvm диском, то я просто попробую в histrory.txt пароль поискать. Ну можно попробовать перебором по растространнёным паролям. Если не поможет, то проще сдаться. Читал, что спец службы такие шифрования взломать не могут.
2. Закрытую часть ключа можно поискать в реестре (если токен забрали). Если в реестре нет и компьютер перезагрузили, толку не вижу, какие то сказки рассказывать, что мол сертификат не надёжен, щас взломаем.

[Лекс Айрин]

azsx, дело во времени. Любое обратимое шифрование ненадежно по определению. Конечно, это не говорит о том, что его можно расколоть за время сравнимое с актуальностью информации. Как ни банально, но большая часть взломов (исключая методы соц инженерии) это прямой перебор вариантов. Кроме реестра есть еще хранилище паролей и ключей.

Спецслужбы о своих достижениях вряд ли будут докладывать. Да и не самые они крутые в этом плане. Лично я тоже не возьмусь расшифровывать скрытую информацию, но считать что у других это не получится не вижу смысла.
Кстати, использование шифрования lvm дисков это прямой путь к проблемам в случае сбоя в работе компа. Кроме того, в этом случае систему нежелательно обновлять, что тоже делает ее уязвимой в процессе работы. Согласись, перспектива потери информации после сбоя питания не радует.

[azsx]

Лично я тоже не возьмусь расшифровывать скрытую информацию, но считать что у других это не получится не вижу смысла.

Ага, где то живут папы, которые могут всё, что угодно.

[Лекс Айрин]

azsx, скорее, крафтеры.

[vitaly_l]

Читал, что спец службы такие шифрования взломать не могут.

В России есть ГОСТ и закон - запрещающие шифрование выше определённого уровня. Всё что ниже или равно этому уровню - спец. службы могли взламывать ещё тогда когда компьютеры были большими, а смартфоны упоминались только в лучших фантастических романах.

[azsx]

Лекс я свою позицию высказал. Взлом шифрованного lvm на никсе, если исключить безалаберность невозможен. Но вот в теории, используя майнинг фермы, за сотню лет, теоретически может кто то где то и может взломать.

В России есть ГОСТ и закон - запрещающие шифрование выше определённого уровня.

Несколько странно держать чёрную бухгалтерию на гостовских алгоритмах, не находите?