Re: Datentraeger verstecken?
Am 2006-08-21 13:52:45, schrieb Ingo Witzky: Hallo. Warum verwendest Du nicht SMART und schützt die festplatte mit einem Password? Wenn Du dann die Platte mounten willst, wirste danach automatisch gefragt. Diese Möglichkeit interessiert mich ebenfalls. Aber entweder bin ich blind oder ich bin zu doof Google richtig zu füttern, denn ich bin leider nicht fündig geworden. Wie macht man das? Nicht smart sondern hdparm ;-/ +---[ manpage 'hdparm' ] | |ATA Security Feature Set | |These switches are DANGEROUS to experiment with, and might |not work with every kernel. | |-F, --security-freeze | Freeze the drive's security settings. The drive | does not accept any security commands until next | power-on reset. Use this function in combination | with --security-unlock to protect drive from any | attempt to set a new password. Can be used | standalone, too. | |--security-unlock PWD | Unlock the drive, using password PWD (DANGEROUS). | Password is given as an ASCII string and is padded | with NULs to reach 32 bytes. The applicable drive | password is selected with the --security-mode | switch. | |--security-set-pass PWD | Lock the drive, using password PWD (Set Password) | (DANGEROUS). Password is given as an ASCII string | and is padded with NULs to reach 32 bytes. The | applicable drive password is selected with the | --security-mode switch. | |--security-disable PWD | Disable drive locking, using passwordPWD | (DANGEROUS). Password is given as an ASCII string | and is padded with NULs to reach 32 bytes. The | applicable drive password is selected with the | --security-mode switch. | |--security-mode MODE | Specifies which password (user/master) to select, | and which security mode (high/maximum) to set. Only | useful in combination with --security-unlock, | --security-set-pass, or --security-dis- | able | u user password, high security | U user password, maximum security | m master password, high security | M master password, maximum security | +--- Greetings Michelle Konzack Systemadministrator Tamay Dogan Network Debian GNU/Linux Consultant -- Linux-User #280138 with the Linux Counter, http://counter.li.org/ # Debian GNU/Linux Consultant # Michelle Konzack Apt. 917 ICQ #328449886 50, rue de Soultz MSM LinuxMichi 0033/6/6192519367100 Strasbourg/France IRC #Debian (irc.icq.com) -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
Bischen spät, aber ich habe Deine E-Mail erst heute durch ne Suche in meiner Datenbank gefunden... Am 2006-07-09 17:51:02, schrieb G.Wendebourg: Moin, moin, gibt es bei Debian die Moeglichkeit, Datentraeger zu verstecken ? Es geht um das potenzelle Risiko eines Hackerangriffs, der sich Rootrechte verschafft und gegen den zb. eine Backup-Platte, die nur per separatem Aufruf fuer Backup-Vorgaenge gemountet wird, gesichert werden soll (zb. gegen Loeschen von Daten). Oder gibt es Moeglichkiten der Verschluesselung / Rechtevergabe, die auch gegenueber einem Angriff von Root gesichert sind? Warum verwendest Du nicht SMART und schützt die festplatte mit einem Password? Wenn Du dann die Platte mounten willst, wirste danach automatisch gefragt. Eine Kopie meiner Backup-Platten liegt in meinem Bankfach und da ich selbst zu meiner Bank kein vertrauen habe, wurden von mir eben platten angeschaft, die Passwörter unterstützen. Greetings Michelle Konzack Systemadministrator Tamay Dogan Network Debian GNU/Linux Consultant -- Linux-User #280138 with the Linux Counter, http://counter.li.org/ # Debian GNU/Linux Consultant # Michelle Konzack Apt. 917 ICQ #328449886 50, rue de Soultz MSM LinuxMichi 0033/6/6192519367100 Strasbourg/France IRC #Debian (irc.icq.com) -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re[2]: Datentraeger verstecken?
Hallo, ich mach meine Backups inzwischen auf USB-Platten, die stecke ich einfach aus. Das geht doch sicherlich auch unter debian? Ist vielleicht zu pragmatisch - aber ein guter Schutz sogar gegen root-User ;-)) Gruß Udo Bischen spät, aber ich habe Deine E-Mail erst heute durch ne Suche in meiner Datenbank gefunden... Am 2006-07-09 17:51:02, schrieb G.Wendebourg: Moin, moin, gibt es bei Debian die Moeglichkeit, Datentraeger zu verstecken ? Es geht um das potenzelle Risiko eines Hackerangriffs, der sich Rootrechte verschafft und gegen den zb. eine Backup-Platte, die nur per separatem Aufruf fuer Backup-Vorgaenge gemountet wird, gesichert werden soll (zb. gegen Loeschen von Daten). Oder gibt es Moeglichkiten der Verschluesselung / Rechtevergabe, die auch gegenueber einem Angriff von Root gesichert sind? Warum verwendest Du nicht SMART und schützt die festplatte mit einem Password? Wenn Du dann die Platte mounten willst, wirste danach automatisch gefragt. Eine Kopie meiner Backup-Platten liegt in meinem Bankfach und da ich selbst zu meiner Bank kein vertrauen habe, wurden von mir eben platten angeschaft, die Passwörter unterstützen. Greetings Michelle Konzack Systemadministrator Tamay Dogan Network Debian GNU/Linux Consultant -- Linux-User #280138 with the Linux Counter, http://counter.li.org/ # Debian GNU/Linux Consultant # Michelle Konzack Apt. 917 ICQ #328449886 50, rue de Soultz MSM LinuxMichi 0033/6/6192519367100 Strasbourg/France IRC #Debian (irc.icq.com) -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
Hallo. Warum verwendest Du nicht SMART und schützt die festplatte mit einem Password? Wenn Du dann die Platte mounten willst, wirste danach automatisch gefragt. Diese Möglichkeit interessiert mich ebenfalls. Aber entweder bin ich blind oder ich bin zu doof Google richtig zu füttern, denn ich bin leider nicht fündig geworden. Wie macht man das? Tschöö Ingo
Re: Datentraeger verstecken?
Hallo, Andreas Pakulat wrote: On 09.07.06 20:56:57, Matthias Houdek wrote: Hallo G.Wendebourg, hallo auch an alle anderen Sonntag, 9. Juli 2006 19:22 - G.Wendebourg wrote: [...] Eine andere Frage waere: kann man Root (partiell) entmachten - ohne jetzt gleich SELinux einzusetzen (ob man dazu Vertrauen haben kann in Anbetracht der Mitwirkung der NSA ist mir noch zweifelhaft). Hm, es ist OpenSource, also schauen viele Augen auf den Code. Das ist IMHO ein weit verbreiteter Irrglaube, richtiger ist: Es ist OpenSource, also _koennen_ viele Augen drauf schauen. Grade bei nicht-trivialer Software und komplexeren Projekten haben einige Teile wirklich nur wenige Leute im Auge. Das mag im Allgemeinen stimmen, aber ich kann mir gerade beim Kernel nicht vorstellen, dass da ungeprüft größere Patches übernommen werden - vor allem wenn sie sicherheitsrelevant sind, und vor allem, wenn sie von der NSA kommen. Grüße, Moritz -- Moritz Lenz http://moritz.faui2k3.org/
Re: Datentraeger verstecken?
Hallo Andreas Pakulat, hallo auch an alle anderen Sonntag, 9. Juli 2006 23:09 - Andreas Pakulat wrote: On 09.07.06 20:56:57, Matthias Houdek wrote: Hallo G.Wendebourg, hallo auch an alle anderen Sonntag, 9. Juli 2006 19:22 - G.Wendebourg wrote: [...] Eine andere Frage waere: kann man Root (partiell) entmachten - ohne jetzt gleich SELinux einzusetzen (ob man dazu Vertrauen haben kann in Anbetracht der Mitwirkung der NSA ist mir noch zweifelhaft). Hm, es ist OpenSource, also schauen viele Augen auf den Code. Das ist IMHO ein weit verbreiteter Irrglaube, richtiger ist: Es ist OpenSource, also _koennen_ viele Augen drauf schauen. ACK. Aber gerade bei SELinux gehe ich mal davon aus, dass etliche Augen (mit den entsprechenden Hirnen dahinter) diese Möglichkeit auch nutzen. -- Gruß MaxX Bitte beachten: Diese Mailadresse nimmt nur Listenmails entgegen. Für PM bitte den Empfänger gegen den Namen in der Sig tauschen.
Datentraeger verstecken?
Moin, moin, gibt es bei Debian die Moeglichkeit, Datentraeger zu verstecken ? Es geht um das potenzelle Risiko eines Hackerangriffs, der sich Rootrechte verschafft und gegen den zb. eine Backup-Platte, die nur per separatem Aufruf fuer Backup-Vorgaenge gemountet wird, gesichert werden soll (zb. gegen Loeschen von Daten). Oder gibt es Moeglichkiten der Verschluesselung / Rechtevergabe, die auch gegenueber einem Angriff von Root gesichert sind? Dank fuer einschlaegige Tips Gruss / GW -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
Moin gibt es bei Debian die Moeglichkeit, Datentraeger zu verstecken ? Es geht um das potenzelle Risiko eines Hackerangriffs, der sich Rootrechte verschafft und gegen den zb. eine Backup-Platte, die nur per separatem Aufruf fuer Backup-Vorgaenge gemountet wird, gesichert werden soll (zb. gegen Loeschen von Daten). Oder gibt es Moeglichkiten der Verschluesselung / Rechtevergabe, die auch gegenueber einem Angriff von Root gesichert sind? Dank fuer einschlaegige Tips Du kannst auch unter Debian Cryptofilesysteme nutzen. Allerdings würde das bedeuten, dass Du immer das Passwort separat halten musst und zum richtigen Zeitpunkt eingeben. Letztlich kann man sowas auf einen gehacktem Rechner mitbekommen und dann komt man auch an die geschützte Platte. Wenn Du Dir da wirklich sorgen machst, würde ich Dir empfehlen das System mit md5-hashs zu sichern, so dass Du sofort mitbekommst wenn jemand Dein System modifizierst. Ansonsten hilft nur starke Passworte wählen. Ich hoffe, dass hilft Dir weiter. Niels
Re: Datentraeger verstecken?
Gruesse! * G.Wendebourg [EMAIL PROTECTED] schrieb am [09.07.06 17:51]: Moin, moin, gibt es bei Debian die Moeglichkeit, Datentraeger zu verstecken ? Es geht um das potenzelle Risiko eines Hackerangriffs, der sich Rootrechte verschafft und gegen den zb. eine Backup-Platte, die nur per separatem Aufruf fuer Backup-Vorgaenge gemountet wird, gesichert werden soll (zb. gegen Loeschen von Daten). Ich versuch's mir gerade vorzustellen, denke aber nicht daß es da eine Methode außer auf physikalischer Ebene gibt. Verstecke gibt es für jemand mit root-Rechte IMHO auf keinem System (egal ob Linux,Win). Auch eine Verschlüsselung des FS hilft nichts gegen ein fdisk oder dd if=/dev/zero of=/dev/backup_platte. Es gibt AFAIK aber Platten mit eingebauter Verschlüsselung, evtl. auch externe Adapter mit solcher. Ob die aber gegen o.a. fdisk/dd Befehle abgesichert sind weiß ich nicht. Alles was du softwareseitig an Schutz aufbaust kann halt mit Rootrechten auch wieder rückgängig gemacht werden - es dauert halt oftmals ein bißchen länger oder scheitert (wenn's gut geht) am Unvermögen des Angreifers. Oder gibt es Moeglichkiten der Verschluesselung / Rechtevergabe, die auch gegenueber einem Angriff von Root gesichert sind? Bin gespannt auf Antworten... Dank fuer einschlaegige Tips Ich könnte mir noch vorstellen: a) nimm als Backup-Platte eine USB-Platte und schalte diese zeitgesteuert entweder über eine Schaltuhr ein oder von einem anderen Rechner mittels einer LAN-Steckdoselleiste. Für die zeit des Backups mußt du halt jedwede Zugriffsmöglichkeit von außen unterbinden. b) Sichere übers Netz auf einen seperaten Rechner. So muß der Angreifer zwei Rechner knacken. Gruss / GW Gruß Gerhard -- Standards sind eine tolle Sache. Ich finde, jeder sollte einen haben. -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
G.Wendebourg schrieb: Moin, moin, gibt es bei Debian die Moeglichkeit, Datentraeger zu verstecken ? Es geht um das potenzelle Risiko eines Hackerangriffs, der sich Rootrechte verschafft und gegen den zb. eine Backup-Platte, die nur per separatem Aufruf fuer Backup-Vorgaenge gemountet wird, gesichert werden soll (zb. gegen Loeschen von Daten). Oder gibt es Moeglichkiten der Verschluesselung / Rechtevergabe, die auch gegenueber einem Angriff von Root gesichert sind? Dank fuer einschlaegige Tips Hallo, hast du schon mal über Hardware nachgedacht, die biometrische Daten auswertet? Fingerabruck, Iriserkennung? Dann wäre das mit dem Passwort ziemlich überflüssig. Einiges ist ja schon auf dem Markt, ich habe aber keine Ahnung, wie weit das in debian mittlerweile verfügbar ist. Gruß ; Michael -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
Hallo, G.Wendebourg wrote: Oder gibt es Moeglichkiten der Verschluesselung / Rechtevergabe, die auch gegenueber einem Angriff von Root gesichert sind? Ohne selber praktische Erfahrungen damit zu haben: Evtl. ließe sich das mit SELinux erreichen. Wolf -- Es ist mir völlig egal, wer Dein Vater ist. Solange ich hier am Angeln bin, läufst Du nicht über das Wasser. -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
Gerhard Brauer schrieb: b) Sichere übers Netz auf einen seperaten Rechner. So muß der Angreifer zwei Rechner knacken. Das waere evtl. eine Moeglichkeit. Wenn dieser nur temporaer fuer Backupzwecke laeuft, dann duerfte er erheblich schwerer zu hacken sein, als der Ausgangsrechner, der in diesem Fall Serverfunktion hat und deshalb rund um die Uhr am Netz sein muss. Eine andere Frage waere: kann man Root (partiell) entmachten - ohne jetzt gleich SELinux einzusetzen (ob man dazu Vertrauen haben kann in Anbetracht der Mitwirkung der NSA ist mir noch zweifelhaft). Zb.indem man andere User einrichtet, die jeweils bechraenkte Administrationsbfugnisse haben und root komplett sperrt? Gruss / GW Gruß Gerhard -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
G.Wendebourg wrote: (ob man dazu Vertrauen haben kann in Anbetracht der Mitwirkung der NSA ist mir noch zweifelhaft). Ichh denke nicht dass es da große Probleme gibt,.. den Code haben wohl schon sehr viele nicht NSA Leute angesehen aber als (vermutlich auch mächtigere) Alternative gibt es RSBAC. Aber die ursprüngliche Idee ne Platte zu verstecken scheint mir mehr security by obscurity zu sein ;) Chris. -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
Gruesse! * G.Wendebourg [EMAIL PROTECTED] schrieb am [09.07.06 19:22]: Gerhard Brauer schrieb: b) Sichere übers Netz auf einen seperaten Rechner. So muß der Angreifer zwei Rechner knacken. Das waere evtl. eine Moeglichkeit. Wenn dieser nur temporaer fuer Backupzwecke laeuft, dann duerfte er erheblich schwerer zu hacken sein, als der Ausgangsrechner, der in diesem Fall Serverfunktion hat und deshalb rund um die Uhr am Netz sein muss. Jep, es läuft IMHO halt immer auf eine physikalische Maßnahme bzw. Trennung hinaus, weil sobald Zugriff auf Geräte-Devices besteht ist halt die Möglichkeit zumindest des Zerstörens gegeben. Eine andere Frage waere: kann man Root (partiell) entmachten - ohne jetzt gleich SELinux einzusetzen (ob man dazu Vertrauen haben kann in Anbetracht der Mitwirkung der NSA ist mir noch zweifelhaft). Zb.indem man andere User einrichtet, die jeweils bechraenkte Administrationsbfugnisse haben und root komplett sperrt? Kann ich mir irgendwie nicht so vorstellen. Was ist z.B. mit den Diensten die mit root-rechten laufen? Wenn die angreifbar sind hat derjenige Roor-Rechte, unabhängig davon das er per Login kein root werden kann (was sowieso eine gute Idee ist). Ansonsten ist IMHO halt alles eine Frage der Dienste, wie ein Angreifer auf den Server kommt. Wenn alles unnötige abgeschaltet ist kann es halt nur über die notwendigen Schnittstellen gehen. Und da ist es halt notwendig dein System so hart wie möglich zu machen - also die 99%ige Sicherheit zu gewährleisten. Mit deiner Ursprungsfrage - so hatte ich dich zumindest verstanden - wolltest du dich gegen dieses 1% restrisiko absichern. Wenn also der Worst-Case eingetroffen ist, dann soll zumindest nicht auf Backupdaten, Prüfsummen, Logs, ... zugegriffen werden können. Wobei auch da ein Beigeschmack bleibt: ein eingeschleustes Rootkit könnte natürlich auch dann zuschlagen, wenn - trotz räumlicher Trennung - gerade das Backup passiert. Wenn also der Server wirklich gehackt ist, dann kannst du dir bei keinem Gerät, das von diesem Rechner aus irgendwie erreichbar ist, sicher sein daß es nicht ebenfalls komprimittiert ist. Nicht das ich mich sonders gut auskenne, aber ich habe noch die - sehr gute und informative - Schadensanalyse in Erinnerung, als auf den Debian-Servern eingebrochen wurde. Gruss / GW Gruß Gerhard -- Ist Ihnen mutt zu kompliziert? Ihr Mailprogramm zu fett? Sie moegen keine man pages? Versuchen Sie: rm -rf (ReadMail -Realy Fast) -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
Re: Datentraeger verstecken?
On Sun, 09 Jul 2006 17:51:02 +0200 G.Wendebourg [EMAIL PROTECTED] wrote: gibt es bei Debian die Moeglichkeit, Datentraeger zu verstecken ? Es geht um das potenzelle Risiko eines Hackerangriffs, der sich Rootrechte verschafft und gegen den zb. eine Backup-Platte, die nur per separatem Aufruf fuer Backup-Vorgaenge gemountet wird, gesichert werden soll (zb. gegen Loeschen von Daten). Also das klingt jetzt vielleicht komisch, aber wie wärs mit Device-Node in /dev löschen und kein udev benutzen? Dann wäre die Platte als solche nicht sofort im System sichbar, und wenn du sie brauchst, erstellst du das Node kurz im Backup Script. Ist sicherlich mehr reines Verstecken, als wirkliches Sichern, aber ein unerfahrener Anreifer wäre damit erstmal beschäftigt. Ansonsten sind ja auch andere Möglichkeiten genannt worden. Oder gibt es Moeglichkiten der Verschluesselung / Rechtevergabe, die auch gegenueber einem Angriff von Root gesichert sind? Irgendjemand wird die Rechte ja haben müssen, um das Backup laufen lassen zu können, und bis der Angreifer an diesen Account gekommen ist, ist mehr eine Frage der Zeit. Und verschlüsselte Daten kann man ja leider ohne zu entschlüsseln zerstören. Gruß Evgeni -- ^^^| Evgeni -SargentD- Golov ([EMAIL PROTECTED]) d(O_o)b | PGP-Key-ID: 0xAC15B50C -|- | WWW: http://www.die-welt.net ICQ: 54116744 / \| IRC: #sod @ irc.german-freakz.net Kernel panic: Could not determine whether bit was one, zero or sqrt (1/PI)... (Jan Kohnert - debian-user-german) pgpSch5f26krJ.pgp Description: PGP signature
Re: Datentraeger verstecken?
On 09.07.06 20:56:57, Matthias Houdek wrote: Hallo G.Wendebourg, hallo auch an alle anderen Sonntag, 9. Juli 2006 19:22 - G.Wendebourg wrote: [...] Eine andere Frage waere: kann man Root (partiell) entmachten - ohne jetzt gleich SELinux einzusetzen (ob man dazu Vertrauen haben kann in Anbetracht der Mitwirkung der NSA ist mir noch zweifelhaft). Hm, es ist OpenSource, also schauen viele Augen auf den Code. Das ist IMHO ein weit verbreiteter Irrglaube, richtiger ist: Es ist OpenSource, also _koennen_ viele Augen drauf schauen. Grade bei nicht-trivialer Software und komplexeren Projekten haben einige Teile wirklich nur wenige Leute im Auge. Andreas -- You will have long and healthy life. -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject unsubscribe. Probleme? Mail an [EMAIL PROTECTED] (engl)
