проблема с GELI

[Spook1680]

Тут от подхода в организации зависти. А не то что по феншую или нет.
Мы когда мутил такую вещь исходили из след. соображений.
1) Сервак рядом. Ключ делаем без пароля.
а- значит в случае внештатной проверки флэху надо обязательно дернуть.
Не проблема.
2) Фряшный сервак перегружается очень редко, перебоев с электричеством нет, бесперебойника хвататет на 30 мин.

3) Дергаем флэху, автоматом запускается скрипт, ... бла бла ... все что нужно отмантируется, сервак идет в перезагрузку. Это если нагрянули провверяющие.
Ну и на конец, когда все проверяющии свалили это минутное дело запустить все и ручками подвезать на место.

4) Для пущей и большей надежности еще можно поюзать опции

Код: Выделить всё

geli restore

обязательно сделать дамп метаданных.
все это хорошо расписано в доках

kill This command should be used in emergency situations. It will
destroy all keys on the given provider and will detach it
forcibly (if it is attached). This is absolutely a one-way
command - if you do not have a metadata backup, your data is
gone for good. In case the provider was attached with the -r
flag, the keys will not be destroyed, only the provider will
be detached.

Additional options include:

-a If specified, all currently attached providers will be
killed.

backup Backup metadata from the given provider to the given file.

restore Restore metadata from the given file to the given provider.

Можно организовать 2 степень защиты.
Флэшку дерагаем. Скрипт убивает geli kill /dev/34dadf.eli
Обратно уже диск не подцепишь да же при наличии ключа... у третих лиц еще должен быть Backup metadata
Сначала нужно воспользоваться опцией restore а потом уже все остальное.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[BirdGovorun]

Но, думаю, все равно останется проблема при панике ядра или при отключении питания.

Паники никогда не было, а вот при пропадании питания,fsck_ffs решает проблему.

[mike345]

Ну, маскишоу могут и не дать дернуть флешку. И если она в сервере... А вот радиобрелок в кармане, отрубающий питание сервера... Но это так фантазии

А паника может возникнуть при неисправности железа. Не вечное оно...

[Spook1680]

Ну, маскишоу могут и не дать дернуть флешку. И если она в сервере... А вот радиобрелок в кармане, отрубающий питание сервера... Но это так фантазии

А паника может возникнуть при неисправности железа. Не вечное оно...

Ну эток так можно до бесконечности...)) и железо и дискс ... и сервер бэкапов.. Все ломается.

Ну, маскишоу могут и не дать дернуть флешку. И если она в сервере...

Ну тут от вас все зависит плануйте где что ставить, что бы все было подруками.

[mike345]

Ну тут от вас все зависит плануйте где что ставить, что бы все было подруками.

И посадить специального сотрудника, чтоб даже в туалет не отходил, от места где сервер стоит

[Neus]

Ну тут от вас все зависит плануйте где что ставить, что бы все было подруками.

И посадить специального сотрудника, чтоб даже в туалет не отходил, от места где сервер стоит

Поставить сервер в туалет, как вариант.
По поводу проверок:
1. Вы таки реально думаете что шифрование вас спасёт?
2. Вы таки реально думаете что ит-структуры спецотделов зря получают ЗП?
---
Если хотя бы на один вопрос вы ответите Да - вы таки реально не видели как работает ОБЭП.

[mike345]

Да мне фиолетово как как они там работают...
Отдаешь флешку и запасную флешку гендиректору c рекоммендациями по хранению и использованию. Себе копий не оставляешь... И пускай сами разбираются

[BirdGovorun]

Да растяжку и гранату под сервер, 1000% гарантия, что данные никуда не уйдут

Отдаешь флешку и запасную флешку гендиректору c рекоммендациями по хранению и использованию. Себе копий не оставляешь... И пускай сами разбираются

Вот так у меня организованно с 2008 года в таком режиме, размонтировать или выключить сервер можно и удалённо.

[maxx-com]

что то я стал сомневаться в geli как в панацеи. Планировалось на этот отдельный раздел поставить крутится базу mysql. Но теперь как то стрёмно, если при внезапном отключении питания можно похерить всю информацию на разделе.

Так как в принципе автомонтирование абсолютно не критично для сервера, который сидит на 2 бесперебойниках и выключаться планируется только во время планового обслуживания.
Но вот сам факт надёжности смущает.

[BirdGovorun]

Ну тут от вас все зависит плануйте где что ставить, что бы все было подруками.

И посадить специального сотрудника, чтоб даже в туалет не отходил, от места где сервер стоит

Поставить сервер в туалет, как вариант.
По поводу проверок:
1. Вы таки реально думаете что шифрование вас спасёт?
2. Вы таки реально думаете что ит-структуры спецотделов зря получают ЗП?
---
Если хотя бы на один вопрос вы ответите Да - вы таки реально не видели как работает ОБЭП.

1. Мне пофиг
2. Мне пофиг
Был участником маски-шоу, да страшно(хрен знает, что от них ждать), позвонил директор, ушёл в другой оффис,
оттуда всё сделал и пришёл, вот тут всё и началось.
Всё рассказал честно, что спрашивали (кроме "проделок" в другом офисе), отстали, а вот директора прессовать почему-то не стали,
им то-же страшно наверное было

[BirdGovorun]

что то я стал сомневаться в geli как в панацеи. Планировалось на этот отдельный раздел поставить крутится базу mysql. Но теперь как то стрёмно, если при внезапном отключении питания можно похерить всю информацию на разделе.

Так как в принципе автомонтирование абсолютно не критично для сервера, который сидит на 2 бесперебойниках и выключаться планируется только во время планового обслуживания.
Но вот сам факт надёжности смущает.

Да нормально всё работает и отключение питания было и зеркало разваливалось с уходом сервака в аут.
Повторюсь с 2008 года на 2-х серверах крутиться, но бекапы делать надо обязательно.
У нас делается бекап каждый день и то-же на зашифрованный внешний диск.

[Spook1680]

По поводу проверок:
1. Вы таки реально думаете что шифрование вас спасёт?
2. Вы таки реально думаете что ит-структуры спецотделов зря получают ЗП?
---
Если хотя бы на один вопрос вы ответите Да - вы таки реально не видели как работает ОБЭП.

Ну тут много Но. Там не все так радужно как кажется, потом светлые умы (кто реально что-то может предложить свое это ближе уже к науке) пашут на заграницу, а у нас тут так для галочки. У них все больше для галочки, всехру спустили указ а остальное по барабану. Плюс система заточена под винду. Вот если будете на винде шифровать это да. У них куча догорих поприетарных прог, которые будут отрабатывать заплоченые за них бабосы.
Сделайте все по ханбуку с ключиком к примеру на 448 бит + как уже писал выше не забуть по метаданные. Вот тебе и результат.
С учетом нынешней экономической и политич. ситуации в России он будет эфективным.

Тут выше правильно чел писал. В большинстве случаев все решается полюбовно.
Все навсе наплевать, главное деньги. Конечно не следует забывать про физическое воздействие (молотком по пальцам). Но тут смотря что у вас уже там на диске. Если вы стоите стадион в Питере с 2007г... а постоить все так и не можете.... а на диске инфа почему не получается его построить. ТО тут уж извиняйте власти вызывают программиста с молотком и выбивают из вас ключ.

[Neus]

1. Мне пофиг
2. Мне пофиг
Был участником маски-шоу, да страшно(хрен знает, что от них ждать), позвонил директор, ушёл в другой оффис,
оттуда всё сделал и пришёл, вот тут всё и началось.
Всё рассказал честно, что спрашивали (кроме "проделок" в другом офисе), отстали, а вот директора прессовать почему-то не стали,
им то-же страшно наверное было

Это был скорее всего профилактический "налет" и скорее всего это налоговая в сопровождении подразделения физ.защиты
А теперь как это происходит у нас в России при адресном посещении - в том смысле что они точно знают зачем и куда идут:
1. вас никто на месте опрашивать не будет, вам не дадут ни позвонить ни даже в туалет сходить, будете высказывать недовольство - получите прикладом между лопаток
2. из конторы вынесут всю бумажную документацию, системные блоки (либо выдернут диски) и прочие носители информации - если вас уличат в попытке нажать какую нить кнопочку - см. п 1 про недовольство
3. главбуха и директора заберут с собой, сисадмина тоже заберут если он есть в штате или заберут параллельно если он приходящий (они заранее выяснят кто в конторе отвечает за ИТ)
Это сухая выжимка из рассказов друзей и знакомых "пострадавших", а сами "пострадавшие" где-то там #

Тут выше правильно чел писал. В большинстве случаев все решается полюбовно.

вот тут вы правы, но есть НО !
тех самых присылают когда "любовь прошла, завяли помидоры..."

про умы, заграницу, винду и проприетарные проги нифига нипонял
вы намекаете на отсталость спецИТ в органах? - в полициях могет быть
а вот у "большого брата" там все прекрасно

ПС: в пиндосии вроде есть такое понятие "отказ от сотрудничества", т.е. как я понял там за "не дам/не помню ключ/пароль" могут запросто закрыть в тюрьма (кто в теме - поправит если это не так)
а учитывая последние тенденции расширения прав органов и нам такое светит...

[Spook1680]

а учитывая последние тенденции расширения прав органов и нам такое светит

Так это все и так понятно. Все что выше написал это обычные этапы проверки и воздейсвия.
проходили мы такие проверки.

будете высказывать недовольство - получите прикладом между лопаток

Это есть в любой стране в тех же штатах или возмем европу Франция.
Подходит в дополнение к тому что ты писал

есть такое понятие "отказ от сотрудничества"

Поэтому те босы которы знают что рискуют и понимают какие риски, часто в моск. офисах седят на высоких этажах... охрана домофоны, биперы и камеры. Кто бы там не был пока он доберется до 5-10-16 этажа... босы флэшку уже дернут.

Я бы тут добавил что не у ОРАГНОВ права расширили.. А они стали действовать по точной указке правительства и т.д. Точечные удары как ты писал с теми у кого уже все завяло и любовь и помидоры.
В той же Франции, поживите чуток.. будете приятно удевлины.
Пример у вас есть квартира работа и вы купили себе машину ... которая стоит.... Очень много ... ну очень много.
Через день-два к вам придет проверка из налоговой. Потомучто соседи французы на вас настучат., они знают кем вы работаете и что вам это не по корману значит вы скрываете налоги. Если сей факт подтвердит налоговая, то все что вы не отдали вес этот процент % пойдет тому кто на вас настучал - информатору.

[BirdGovorun]

Это был скорее всего профилактический "налет" и скорее всего это налоговая в сопровождении подразделения физ.защиты

Конкретный "налёт" был, с решением суда, судебный исполнитель, какой-то прокурор
в сопровождении СБУ Украины.
Отметелили начальника охраны с сотрясением мозга, он их без разрешения директора не пускал.
Приехали до начала рабочего дня и привезли с собой системного администратора, он оказывается у них ночевал
Я на работу шёл и директор позвонил, далее я выше писал.
У нас по всей территории видеонаблюдение, все похождения этих ребят было записано,
с нарушением закон ребята действовали, наш юрист их на жопу посадил потом.
4 компа забрали, у админа дома всё забрали, до сих пор ничего не вернули.
Сервер не тронули, только данные с него скачали
Было заведено уголовное дело, до сих пор не закрыто, в любой момент всё может повториться.
Фирма приготовилась, система оповещения организована, двери бронированные с блокировкой,
видеокамер дополнительно натыкали, серверную перенесли из офиса.
Этих ребят конечно ничего не остановит, но даст время на подготовку к их встречи

[Neus]

Поэтому те босы которы знают что рискуют и понимают какие риски, часто в моск. офисах седят на высоких этажах... охрана домофоны, биперы и камеры. Кто бы там не был пока он доберется до 5-10-16 этажа... босы флэшку уже дернут.

Э.. у этих проще организация - фирма зарегана на кого-нить бомжа или "духа" (по Гоголю), юр.адрес естетвенно левый, да и фирм не одна

Я бы тут добавил что не у ОРАГНОВ права расширили.. А они стали действовать по точной указке правительства и т.д.

Дык это.. органы кроме как по приказам головы и раньше никак не работали

В той же Франции, поживите чуток.. будете приятно удевлины.
Пример у вас есть квартира работа и вы купили себе машину ... которая стоит.... Очень много ... ну очень много.
Через день-два к вам придет проверка из налоговой. Потомучто соседи французы на вас настучат., они знают кем вы работаете и что вам это не по корману значит вы скрываете налоги. Если сей факт подтвердит налоговая, то все что вы не отдали вес этот процент % пойдет тому кто на вас настучал - информатору.

так вот почему Депардье теперь гражданин России... вот жмот...

[BirdGovorun]

Начальник охраны умер года через 2 от инсульта, сказалась встреча с этими ребятами.
До этого было ещё пару раз маски шоу, но то конфликт собственников был,
разругались между собой, налоговая и аудиторская фирма наезжали , бухгалтерию трясли.
Довоевались до того, что потеряли всё.

[Neus]

Конкретный "налёт" был, с решением суда, судебный исполнитель, какой-то прокурор
в сопровождении СБУ Украины.

ну и намешали...

Это не ваша контора газ тырит мимо казны и не делится?

[Neus]

По теме однако соображения есть такие:
Шифровать имеет смысл буки, планшеты боссов и гл.буха и внешние носители, на случай вдруг прое...
А какой смысел шифровать сервер?
На случай изымания? дык там расшифруют, не сами так через ж...у шифратора
шпионы конкурентов? это другими методами решается
---
у нас просто тож поднимали тему "давайте все зашифруем"
но так и не сформировали ответ на вопрос "от кого?"

оффтоп: я вот тут на винде зашифровал свои документы, скопировал на внешний винт, переставил ось, теперь думаю.. стоит ли ипаца с расшифровкой.. ntfs сцуко не дает доступ даж суперадмину домена ))))

[Spook1680]

Шифровать имеет смысл буки, планшеты боссов и гл.буха и внешние носители, на случай вдруг прое..

Это ты в точку)

А какой смысел шифровать сервер?

Согласен поэтому шифр. отдельный диск.. где и храниться всякая хрень.

На случай изымания? дык там расшифруют, не сами так через ж...у шифратора

А вот тут интересно
Допустим ты шифруешь вот так

Код: Выделить всё

# geli init -P -s 4096 -K /mnt/ar0s1g.key -e Blowfish -a hmac/sha512 -l 448 /dev/ar0s1g

заполняешь диск случайными данными.
файловая нарезеаешь...
бэкап метаданных.

Ключ прячем, метаданные прячем.
Дергаем флэху, .. запускаем скрипт .. все что надо отмонтируеться, метаданные убиваем.

Делали такой тест больше эмуляторный с немцами, точнее это они там мутили. В итоги пришли к выводу что в лучшем случае куски инфы откопают
и то только месяца через 3-4. Опять же из расчета мощностей.

[BirdGovorun]

Конкретный "налёт" был, с решением суда, судебный исполнитель, какой-то прокурор
в сопровождении СБУ Украины.

ну и намешали...

Это не ваша контора газ тырит мимо казны и не делится?

Кроме газа, много чего есть

[Neus]

А вот тут интересно
Допустим ты шифруешь вот так

Код: Выделить всё

# geli init -P -s 4096 -K /mnt/ar0s1g.key -e Blowfish -a hmac/sha512 -l 448 /dev/ar0s1g

...
Делали такой тест больше эмуляторный с немцами, точнее это они там мутили. В итоги пришли к выводу что в лучшем случае куски инфы откопают
и то только месяца через 3-4. Опять же из расчета мощностей.

Коллега, так ведь немцы то не владеют нашими методами "криптоанализа"
Это у них будут дешифровать месяца 3-4, если шифратору не надоест сидеть в каталашке (и то если там такое практикуют за "не сотрудничество")
У нас же ты через 3-4 минуты сам дешифруешь "в уме" все что требуют
Конечно, если ты круглый сирота, твой болевой порог стремится к бесконечности и тебе гарантирована безбедная жизнь от работодателя - то да, они проиграют, но(!) тебя могут в этом случае в отместку превратить в "овощ", а в этом состоянии деньги тебе не понадобятся
где-то я видел блог супруги бизнесмена что сидел в "матросской тишине" вроде бы, он всего лишь отказался дать долю в бизнесе чинуше, там кстати не один блог, есть и от других таких "счастливцев".. есть что почитать на ночь
---
кстати, щас модно сервера в облака загонять, там вроде тож можно шифрование замутить, флешку правда к облаку приделать не получица..
вопрос общесистемного плана - сколько ресурсов тратится на шифрование/дешифрование в процессе работы конторы
а то вспомнил я одного успешного довольно таки бизнесмена, беседу на околошифровальные темы
он двинул такой тезис: правильный главбух избавляет как минимум от 2-х проблем:
1. контору от "теневой" бухгалтерии
2. директора от "головной боли"
сам он по образованию ИТ-ник, поэтому в курсах про гемор с восстановлением нашифрованного еси чо сламаеца или ключ вдруг прое...
это он к тому что главбух дешевле обходится всех этих извратов
вот еслибы говорит я занимался научными разработками, стоящими миллионы, тада да - усилия адекватны результату...
хотя бук его рабочий с аппаратной защитой, без ключа ваще не запускаеца, даже биос.. вдруг грит потеряю или сп...т (лукавит думаю)

[rayder]

есть очень давнее высказывание человека на тему(не помню кто и когда), что "расшифровать/спионерить/ваши методы" можно все и вся.
только вот готовы ли вы заплатить нужную сумму за это, и будет ли эта инфа актуальна на момент ее получения - вот в чем вопрос.

т.е. при наличии желания и возможностей у заказчика, с учетом того что паяльник в Ж.. и пальцы в тисках (к сожалению у нас это действительно возможно) ускоряют процесс получения информации в десятки(а то и сотни) тысяч раз.

[Spook1680]

Все это понятно и тереть тему нет особого смысла. Про физическое воздействие и бла бла бла бллааа.
Немцы то же это занют и уних то же спец службы не проч поработать кулаками если приказ придет.
Вопрос был просто технический, что данный вариант очень да же пригож для использования.
И как вы писали выше еще ... И вы правы в связи с большим рынком портативной техники стоит шифровать ноуты .. фигоуты и т.д. босов глав бух.. и т.д.
Т.к. у нас большинство проблем из обыденной бестолковщины расхлябоности НУ и безответственности с самих верхов и до самых низов.
А физически поработать кулаками могут любые спец службы тут разници нет америка, европа или воскок.