The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

В Fedora рассматривают возможность применения шифрования ФС по умолчанию, opennews (ok), 04-Апр-23, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


244. "В Fedora рассматривают возможность применения шифрования ФС ..."  +1 +/
Сообщение от Sw00p aka Jerom (?), 06-Апр-23, 09:37 
>логином пользователя

Кек, простите, а бекапить должен кто, собственно? Сосед?

Ответить | Правка | К родителю #214 | Наверх | Cообщить модератору

246. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от senaemail (ok), 06-Апр-23, 11:17 
>>логином пользователя
> Кек, простите, а бекапить должен кто, собственно? Сосед?

Обычно резервную копию создаёт приложение (либо специальный клиент, либо rsync, либо tar) в автоматическом режиме по расписанию с правами рута или специального пользователя для резервного копирования, у которого есть соответствующие права доступа (причём лучше всего это делать в нерабочее время). Но если файловая система зашифрована, то и доступа к ней не будет, независимо от прав доступа.

Можно, конечно, поделиться ключом шифрования, но тогда теряется смысл...

Ответить | Правка | Наверх | Cообщить модератору

251. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от Sw00p aka Jerom (?), 06-Апр-23, 23:18 
> Но если файловая система зашифрована, то и доступа к ней не будет, независимо от прав доступа.

Мы про FDE (фул диск энкрипшен) щас говорим? Если да, то все системные и не системные разделы диска шифруются, и не расшифровав система работать не будет, а раз она не работает, то с нее бекап не снять, ибо  там не запущен рсинк или другие бекап агенты.

Ответить | Правка | Наверх | Cообщить модератору

255. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от senaemail (ok), 07-Апр-23, 02:37 
> Мы про FDE (фул диск энкрипшен) щас говорим?

Ты читал новость-то?

"При шифровании домашних каталогов ключи планируют генерировать на основе логина и пароля пользователя (подключение зашифрованного домашнего каталога будет производиться во время входа пользователя в систему)."

Как ты будешь бэкапить такое?

Ответить | Правка | Наверх | Cообщить модератору

256. "В Fedora рассматривают возможность применения шифрования ФС ..."  –1 +/
Сообщение от Sw00p aka Jerom (?), 07-Апр-23, 08:46 
>Ты читал новость-то?

При FDE система и остальные разделы остаются расшифрованными, после загрузки. В статье же планируют к этой модели прикрутить отдельное шифрование home раздела, и расшифровывать по событию входа пользователя, и запрещать смену пароля даже администратору и т.д.

Все это ничем не отличается от банального шифрования разделов без FDE вцелом, ввел пароль - примонтировал. А бекап (файловый, от рута) при такой схеме конечно не сделаешь, надо либо расшифровать, либо бекапить шифрованное, уровень логики менять. Проблема в чем? В чем разница копирования отдельно взятого файла на примонтированнлй фс, с копированием блока с раздела на диске? Сменив логику, вам и руту не надо давать пароль от юзера, а восстановление отдельно взятого файла можно производить временным монтированием раздела к mnt вводи пароль и гуляй вася.

Ответить | Правка | Наверх | Cообщить модератору

257. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от Аноним (63), 07-Апр-23, 09:13 
Допустим, что имеется рабочая станции, в которой посменно диспетчеры что-то делают. У каждого диспетчера имеется своя учётная запись. В добавок есть отдельные учётные записи для старшего диспетчера, начальника сметы и так далее. Каждая со своими правами и т п.

В разные промежутки времени за рабочей станцией может быть тот или иной работник.

Работа происходить в таком ключе. Работник входит в свою учётную запись, выполняет определенные действия, выходит из своей учётной записи.

Как при такой системе производить плановые операции по резервированию, если их можно проводить в тот момент, когда рабочая станция простаивает, т.е. все пользователи вышли из системы?

Ответить | Правка | Наверх | Cообщить модератору

263. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от senaemail (ok), 07-Апр-23, 14:48 
> Как при такой системе производить плановые операции по резервированию, если их можно
> проводить в тот момент, когда рабочая станция простаивает, т.е. все пользователи
> вышли из системы?

Такое было бы возможно, если бы шифровалось только содержимое файлов, а не каталоги, имена файлов и аттрибуты. То есть бэкапить-восстанавливать можно было бы зашифрованные файлы.


https://www.opennet.me/openforum/vsluhforumID3/130146.html#262

Ответить | Правка | Наверх | Cообщить модератору

265. "В Fedora рассматривают возможность применения шифрования ФС ..."  –1 +/
Сообщение от Sw00p aka Jerom (?), 07-Апр-23, 17:37 
>Как при такой системе

Ну как,как?, все просто ждать когда наступит то самое событие "т.е. все пользователи вышли из системы" и выполнить те самые задачи по бекапу до полного размонтирования, в чем проблема? Дело в том, что это надо спроектировать правильно (вон через системГ хотят спроектировать). Далее, не вижу никакой проблемы если бекапить раздел, ибо раздел как я понял для каждого юзера будет отдельный, то есть ничего лишнего бекапиться не будет, только весь пользовательский хом (придритесь еще к отдельным файлам)

Ответить | Правка | К родителю #257 | Наверх | Cообщить модератору

267. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от Аноним (63), 07-Апр-23, 18:47 
Проблема то в том, что они предлагают отдельные разделы для каждого пользователя с индивидуальным шифрованием для конкретного пользователя. И при выходе из системы конкретного пользователя его данные уже будут недоступны.

Тот подход, который предложен федоровцами, подходит для одиночного пользователя, но для многопользовательского режима придётся многое менять. Плюс их схема заточена под конкретную фс. В общем случае бизнес как сидел на старом добром luks+lvm+xfs, так и будет.

Ответить | Правка | Наверх | Cообщить модератору

300. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от Sw00p aka Jerom (?), 08-Апр-23, 20:40 
> Проблема то в том, что они предлагают отдельные разделы для каждого пользователя
> с индивидуальным шифрованием для конкретного пользователя. И при выходе из системы
> конкретного пользователя его данные уже будут недоступны.

не вижу проблемы, события входа и выхода никто не отменял, и все действия связанные к примеру со всякими бекапами можно привязать к этим событиям.

> многопользовательского режима придётся многое менять.

вот тут нужен пример юзкейса, не могу представить где проблема.


> В общем случае бизнес как сидел на старом добром luks+lvm+xfs, так и будет.

как минимум еще лет 10 будет работать, если не сломают


Ответить | Правка | Наверх | Cообщить модератору

258. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от пох. (?), 07-Апр-23, 10:24 
> А бекап (файловый, от рута) при такой схеме конечно не сделаешь

сделаешь если заставить юзера разблокировать до начала бэкапа.

Ну или грамотно настроить несколько одновременных э... протекторов или как там этот бред они назвали( и надеяться что и в btrfs это работает а не как всегда)
Но это не для опеннетовских экспертов конечно - те и х.. сломают и руки порежут.

Возможно так же будет работать обычный btrfs send, но это неточно - оно так работает у zfs, не могли ж они назло уши-то не отоморозить себе?

Ответить | Правка | К родителю #256 | Наверх | Cообщить модератору

259. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от пох. (?), 07-Апр-23, 10:33 
> Возможно так же будет работать обычный btrfs send, но это неточно

а, ну и до кучи надо проверять как в btrfs решена проблема хранения всех этих ключей. Если по методичке от ext4 - то бэкапая хомяк надо не забывать бэкапать еще и рут где лежит скрытый каталожек со всеми ключами от всего - иначе расшифровать это не получится.

Ответить | Правка | Наверх | Cообщить модератору

262. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от senaemail (ok), 07-Апр-23, 14:20 
> А бекап (файловый, от рута) при такой схеме конечно не сделаешь, надо либо расшифровать, либо бекапить шифрованное, уровень логики менять. Проблема в чем? В чем разница копирования отдельно взятого файла на примонтированнлй фс, с копированием блока с раздела на диске?
> Сменив логику, вам и руту не надо давать пароль от юзера, а восстановление отдельно взятого файла можно производить временным монтированием раздела к mnt вводи пароль и гуляй вася.

Если зашифровано только содержимое файлов, а всё остальное - имена файлов, их аттрибуты, структура каталогов не зашифрованы, то есть файлы можно копировать, удалять и т.п. без расшифровки, то тогда конечно и рутовый бэкап и восстановление зашифрованных файлов возможны без проблем. Такая схема работала бы прекрасно для бэкапа. Конечно возникнут проблемы со всякими пользовательскими кронами, которые должны будут в этом случае запускаться только после того как пользователь залогинился, но это уже другая история.

Но так как в статье речь идёт о "подключении зашифрованного каталога при входе пользователя в систему", боюсь всё же предлагается нечто другое. То есть структура каталогов, аттрибуты и имена файлов будут недоступны, а значит и бэкап на уровне файлов станет просто невозможен. Бэкап же на уровне блоков файловой системы это совсем другое, с удобством и эффективностью файлого бэкапа несравнимо.

Я бы приветствовал, если бы появилась возможность поставить аттрибут "зашифровано" на отдельные файлы и каталоги, для шифрования содержимого файлов.

Ответить | Правка | К родителю #256 | Наверх | Cообщить модератору

266. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от Sw00p aka Jerom (?), 07-Апр-23, 18:04 
>Но так как в статье речь идёт

Раз шифрование уровня разделов, то и бекап должен быть на уровне разделов, иначе - расшифровываем и делаем бекап - файловый.

пс: либо думать о шифровании по типу ransomware :)

Ответить | Правка | Наверх | Cообщить модератору

269. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от senaemail (ok), 07-Апр-23, 21:51 
>>Но так как в статье речь идёт
> Раз шифрование уровня разделов, то и бекап должен быть на уровне разделов,
> иначе - расшифровываем и делаем бекап - файловый.
> пс: либо думать о шифровании по типу ransomware :)

Там непонятно сказано, говорится о шифровании домашнего каталога, который будет подключаться, но не будут же они создавать раздел для каждого пользователя? Может имеются ввиду какие-то виртуальные разделы? Я здесь вообще не понял, что они имеют в виду.

Ответить | Правка | Наверх | Cообщить модератору

282. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от Аноним (271), 07-Апр-23, 23:53 
Видимо, речь про домашний каталог в контексте темы чего-то типа Ecryptfs и аналогов. Ещё слой поверх файловой системы. В инете много написано как работает.
Ответить | Правка | Наверх | Cообщить модератору

286. "В Fedora рассматривают возможность применения шифрования ФС ..."  +/
Сообщение от senaemail (ok), 08-Апр-23, 04:39 
> Видимо, речь про домашний каталог в контексте темы чего-то типа Ecryptfs и
> аналогов. Ещё слой поверх файловой системы. В инете много написано как
> работает.

Да, похоже это оно. Видел что в Убунте есть, но не пробовал. Почитал сейчас немного - Ecryptfs имена файлов шифрует.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру