Deseja um esquema de criptografia de disco Linux fácil de usar

No interesse de proteger informações pessoais, caso um laptop seja roubado, estou procurando a melhor maneira de criptografar um sistema Linux.

Desvantagens da criptografia de disco inteiro, incluindo swap:

• O prompt da senha de pré-inicialização é meio feio e polido, aparecendo oculto entre as mensagens de inicialização (algo como o Splashy pode lidar com isso?)
• Precisa fazer login duas vezes (se você tiver uma tela de login no GDM e precisar de vários usuários)

Desvantagens da criptografia de pastas individuais usando libpam-mount ou similar:

• Somente a pasta inicial do usuário é criptografada (enquanto / etc, / var etc também pode conter informações confidenciais).
• O arquivo de troca não é criptografado, portanto, provavelmente haverá vazamento de dados confidenciais.
• Não há como hibernar com segurança.

Estou usando o Debian Linux, se isso importa. Não precisa ser ridiculamente seguro, mas quer ter a certeza de que um ladrão não pode roubar minha identidade, detalhes de conta bancária, logins de VPN etc. se for roubado enquanto estiver fora / hibernando.

Você conhece maneiras de resolver algum dos meus problemas acima?

Seu problema é comum: principalmente, o difícil equilíbrio entre segurança e usabilidade.

Minha sugestão é usar uma versão ligeiramente modificada de uma abordagem mista:

• usando software de plataforma cruzada como TrueCrypt, prepare um ou mais volumes criptografados para seus dados pessoais que você NÃO usa diariamente (detalhes bancários, senhas salvas, registros médicos, etc.)
• o motivo para usar mais de um volume é que você pode fazer backup deles em mídias diferentes ou usar esquemas de criptografia diferentes: por exemplo, você pode compartilhar seus registros de saúde com outra pessoa e informar sua senha (que deve ser diferente do usado para outros volumes)
• usar um software de plataforma cruzada "padrão" significa que você poderá recuperar seus dados de outro sistema operacional em tempo real, se o seu laptop for roubado / danificado
• a criptografia de disco inteiro geralmente é complicada e difícil. Embora existam ataques para isso (consulte o Evil Maid Attack, ele será útil se você tiver medo do que poderia acontecer se as pessoas tiverem acesso a todo o sistema. Por exemplo, se você estiver usando um laptop da empresa, não terá acesso administrativo e existem chaves de VPN que não devem ser roubadas
• senhas em cache para mail / web / apps são outro problema: talvez você queira criptografar apenas seu diretório pessoal? Para otimizar o desempenho e a segurança / usabilidade, você pode:
  • criptografar todo o diretório inicial
  • softlink para um diretório não criptografado no seu sistema de arquivos para dados que você não se importa em perder (música, vídeo, etc.)

Novamente, não esqueça que tudo se resume ao valor do que você tem a perder, comparado ao valor do seu tempo e custo de recuperação.

Eu não criptografar todo o disco rígido, é demais coisas de administração / gerenciamento.

Então, eu uso o dm-encrypt para criar uma partição lógica criptografada.

Criei um script em torno dele, que uso diariamente, para ver se isso ajuda você. Eu chamo isso em .bashrc

http://bitbucket.org/chinmaya/linux-scripts/src/tip/ch-enc

Você pode usar a unidade pendente para armazenar chaves de criptografia. Para melhor segurança, ele deve ser protegido por senha, mas não precisa.

http://loop-aes.sourceforge.net/loop-AES.README veja o exemplo 7.

Ainda sou relativamente novo no Linux, mas quando você instalou o sistema, pensei que havia uma maneira de ativar a criptografia de disco inteiro. Além disso, o TrueCrypt possui um pacote .deb.

Eu ainda não tinha usado a criptografia de disco no Linux, então talvez essas opções tenham problemas como o descrito acima. Quanto ao logon multiusuário, talvez o TrueCrypt possa ser configurado para usar um arquivo de chave em uma unidade USB. Dessa forma, tudo o que você precisa é do laptop e da unidade USB para acessar os arquivos no laptop.

Eu ainda estou aprendendo Linux, então espero que isso ajude.

Com o que você está preocupado? Quais vetores de ataque? Antes de levar a sério a segurança, você precisa ter respostas para essas duas perguntas.

"Informações pessoais" sugere que você está preocupado com coisas como roubo de identidade, bisbilhoteiros casuais etc. Algo como o software de chaveiro é suficiente para proteger os detalhes de login do banco, etc., mas é impraticável para grandes quantidades de informações.

Se você tem muitos dados que deseja proteger, informações às quais não precisa acessar rapidamente e pelas quais deseja pagar um pequeno e recorrente retorno gratuito, o Amazon S4 é uma boa opção, eliminando totalmente as preocupações com problemas físicos. acesso, para que a segurança seja reduzida ao gerenciamento de chaves, que, novamente, é resolvido adequadamente pelo software de chaveiro. A Amazon não vê o conteúdo do que você armazena dessa maneira, mas apenas o resultado criptografado. Claro que isso significa que, se você errar e perder as chaves, a Amazon não poderá ajudá-lo.

No terceiro caso, em que você deseja acesso relativamente rápido a uma grande quantidade de dados, recomendo o uso não de criptografia de disco inteiro, mas de partição inteira, por sugestão de chinmaya. A criptografia por diretório é um incômodo, e eu não recomendo: faça com que o sistema de arquivamento faça o trabalho.