Šifrování celého disku na serveru

[fotka]

Dobry den najdete hafo navodu jak resetovat linux root heslo nabootovanim do rescue modu. (http://www.faqforge.com/linux/reset-root-password-ubuntu-linux-without-cd/)

znamena to, ze kdo ziska fyzicky (a mozna i vzdaleny?) pristup k serveru, muze pohodlne cist data (ktera nejsou sifrovana manualne nejakym linux softwarem). Avsak pokud na serveru bezi treba mysql server, tak pocitam, ze ten nemuze nejak bezet sifrovany? (jsme uplna lama)

Moje otazka k diskuzi je, Jak lze linux web server hard disk zasifrovat cely tak, aby slo normalne provozovat server a pritom cely disk by byl sifrovany aby nesla zadna data nijak precist? (asi chapete, cil je aby nebylo mozne pri fyzickem pristupu k serveru precist zadna bezna data bez desifrovaciho hesla) děkuji

[Reklama]

[fotka]

Zapoměl jsem na důležitou věc: samozřejmě data by nesmělo jít přešíst ani po resetování root hesla. ale až po zadání dešifrovacího.. nevím jak by to v praxi vypadalo

[Ondra Satai Nekola]

luks

[Jenda]

znamena to, ze kdo ziska fyzicky (a mozna i vzdaleny?) pristup k serveru, muze pohodlne cist data (ktera nejsou sifrovana manualne nejakym linux softwarem)

Samozřejmě.

Avsak pokud na serveru bezi treba mysql server, tak pocitam, ze ten nemuze nejak bezet sifrovany? (jsme uplna lama)

Nemůže (AFAIK).

Moje otazka k diskuzi je, Jak lze linux web server hard disk zasifrovat cely tak, aby slo normalne provozovat server a pritom cely disk by byl sifrovany aby nesla zadna data nijak precist? (asi chapete, cil je aby nebylo mozne pri fyzickem pristupu k serveru precist zadna bezna data bez desifrovaciho hesla) děkuji

Ano, samozřejmě, že lze. Prostě se zašifruje disk.

Zapoměl jsem na důležitou věc: samozřejmě data by nesmělo jít přešíst ani po resetování root hesla. ale až po zadání dešifrovacího.. nevím jak by to v praxi vypadalo

Root heslo v zašifrovaném systému pochopitelně neresetuješ.

[anonym]

to proc je tak snadne zmenit root heslo pri pristupu k bootloaderu je protoze to je pohodlene, a pritom to neni bezpecnostni problem - pokud mam pristup k pocitaci ve fazi bootloader tak u nej fyzicky stojim, a nic mi nebrani proste vyskubnout disk a zmenit heslo tam

co se tyce sifrovani tak to jde, ale je potreba s rozumem, urcite ne "full disk".
pokud jde o lokalni pocitac tak alespon /boot musi byt nesifrovane, aby z toho nabehlo jadro, ktere se behem bootu zepta na heslo.
pokud jde o vzdaleny tak je bud potreba nesifrovat zakladni system (aby system nabehl az do faze kdy se jde pripojit po SSH a zadat heslo), nebo to mit resene v initrd (busybox AFAIK obsahuje nejaky mini ssh server, takze by to nemuselo byt tak obrovske)

kazdopadne pokud je server sifrovany tak pri kazdem restartu je potreba zasah spravce

[Reklama]