Аналог bitlocker на FreeBSD

[Yakon]

Здравствуйте.
Можно ли с помощью geom_eli зашифровать весь диск и чтобы ключ при загрузке брался с самого зашифрованного диска?
То есть сам сервер открывает диск, а при нестандартной загрузке диск - бесполезная рухлядь.
Мне нужно, чтобы я брал сервер, загружал на него данные, и он прекрасно работал самостоятельно вдали от меня. И я был спокоен, что но никто, не зная пароль рута, не может увидеть содержимое хардов.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[camelium]

Ето типа ключи от сейфа в самом сейфе

[Yakon]

Да, так работает bitlocker в винде.
Сервак включается, прекрасно работает,
но при попытке как-то повлиять на систему, изменить порядок загрузки, переставить хард, всё блокируется.
Удобно при передаче сервера третьим лицам.
Хочу такое же с Фрёй сделать.

[Yakon]

Неужели никто подобное не делал?

[Alex Keda]

врятли получиться...

[Yakon]

Я неверно сформулировал.
Ключ хранится не на зашифрованном диске, а шифрование привязывается к TPM.
Я Windows есть, в Mac OS есть, а в FreeBSD не нашёл...
Жаль.
Если кто-то что-то узнает, то просветите, пожалуйста.

[camelium]

"защита от дурака" man gshsec

[Yakon]

Действительно "защита от дурака".
А кто мне мешает загрузится с LiveCD и перелопатить всю систему?
Что-то поэффективнее есть?

[Alex Keda]

Действительно "защита от дурака".
А кто мне мешает загрузится с LiveCD и перелопатить всю систему?
Что-то поэффективнее есть?

для винды нет оригинального лайф СД

[Yakon]

А при чём здесь винда?
Мы ж про FreeBSD говорим.
Предложенный gshsec не подходит.
Так как он эффективен если секретный раздел разброван на несколько дисков.
Украли флешку, сам её вынул или вытащили хард и информация не ушла.
А тут я целиком передаю комп.
Загрузился с LiveCD, снял пароли и пользуйся наздоровье секретным разделом.
Нужно другое решение...

[camelium]

А как-же Single Mode, тогда сама идея теряяет смысл, зачем шифровать если с однопол режима можна получить доступ к инфе

Тяжелый метод (теоретически):
пример на blowfish
в /usr/src/sys/crypto/blowfish исходники крипто-системы geli
идея заключается в том, чтобы поправить "таблицу" как нам надо (изменить все пару символов)
пересобрать ядро и создать свой LiveCD, с его помощью установить ОСь на geli(blowfish)
в результате ни один liveCD (кроме нашего) не раскодирует винт

[AMDmi3]

TPM, насколько я знаю, не поддерживается, а без TPM это все игрушки, не обеспечивающие никакой реальной безопасности.

[paradox]

трукрипт вроде как для винды линуха и бсд
кто пробовал?

[zoid]

А тут я целиком передаю комп.
Загрузился с LiveCD, снял пароли и пользуйся наздоровье секретным разделом.
Нужно другое решение...

Возможно, я недопонял условий задачи, тогда поясните. Но в случае, если вы передаёте целиком машину с конфиденциальной информацией в ненадёжные руки, с возможностью этой информацией пользоваться - в чём вообще смысл шифрования?

[Yakon]

Есть определенный набор скриптов.
Имеем входной массив информации и выходной массив через веб-интерфейс.
Нужно скрыть механизм преобразования информации.
Меанизм включает БД, скрипты шелла, скрипты php, набор папок.
Сервер стоит у третьего лица в локалке.

[zoid]

Есть определенный набор скриптов.
Имеем входной массив информации и выходной массив через веб-интерфейс.
Нужно скрыть механизм преобразования информации.
Меанизм включает БД, скрипты шелла, скрипты php, набор папок.
Сервер стоит у третьего лица в локалке.

Т.е. задача в сокрытии реализации некоего алгоритма? И всё?

[Yakon]

И всё.
Только проблема в том, что механизм состоит из многих средств.
И логичнее было бы закрыть сразу всю систему, чем приделывать костыли к каждой компоненте.
В винде это делает bitlocker, а здесь решение так и не придумал.

[zoid]

И всё.
Только проблема в том, что механизм состоит из многих средств.
И логичнее было бы закрыть сразу всю систему, чем приделывать костыли к каждой компоненте.
В винде это делает bitlocker, а здесь решение так и не придумал.

Ну, как и любой DRM, 100%-ой надежности, мне так видиться, не даст и TPM - рано или позно найдеться, к примеру, эксплойт позволяющий поднять права при локальном доступе. Но принимая, что ресурсы потенциального атакующего органичены, могу предложить такое решение:

Пусть открытие гели-провайдера осуществляется не штатной утилитой, а специально написанной программой, которая будет производить ключ из собственно пользовательского ключа и хэша N строк из dmesg конкретного компа, или даже хэша рут-раздела. Если есть подозрение, что информация ценна настолько, что атакующий попытаеться посмотреть программу изнутри - задействовать стандартные способы антидебага, которых в природе существует довольно много.