Encender el sistema encriptado de forma remota

11

Mi sistema está lleno de datos muy confidenciales, por lo que necesito cifrar la mayor cantidad de datos posible.

Tengo una instalación de Debian encriptada que pide una contraseña larga cada vez durante el arranque. ¿Hay una manera simple de configurarlo para que pueda ingresar esa contraseña de forma remota?

Si alguna otra distribución puede hacerlo, no me importa instalar otra cosa en lugar de Debian.

debian remote luks user2363676
fuente
2
¿Qué tipo de vector de ataque te preocupa? ¿Es apropiada una tienda de claves de hardware (donde la clave privada no puede ser extraída por el software, pero cualquiera que posea esa pieza de hardware podría descifrar su contenido)? (Por cierto, tenga en cuenta que muchos sistemas de cifrado de disco completo desbloquean una clave maestra cuando los activa, y luego almacenan esa clave en la RAM, lo que significa que cualquier persona con privilegios suficientes puede copiar esa clave maestra del sistema desbloqueado, incluso si no nunca obtenga su contraseña; este es un lugar donde puede ser más seguro tener el descifrado real en el hardware).
Charles Duffy
@CharlesDuffy La principal preocupación es que el servidor (o sus discos) sean robados físicamente, por lo que la clave de hardware está fuera de discusión, ya que también puede ser robada. Específicamente configuré más de 40 contraseñas del sistema de archivos de símbolos y más de 20 contraseñas de raíz de símbolos (quién es el único usuario en todo el sistema), por lo que debería estar seguro en la mayoría de los casos, ¿verdad?
user2363676
1
Eliminado y robado, ¿o le preocupa que un atacante obtenga acceso físico mientras el hardware todavía está encendido? Si alguien puede conectar dispositivos nuevos al bus PCI, puede hacer una copia de la memoria física, de modo que pueda robar la clave de cifrado de un sistema desbloqueado en funcionamiento. (No pueden robar la contraseña utilizada para cifrar la clave, pero si tiene la clave en sí, eso es irrelevante).
Charles Duffy
1
Otro vector de ataque es que alguien modifique la secuencia de arranque para hacer una copia de la contraseña durante el proceso de descifrado / desbloqueo, reinicie su máquina y luego espere a que inicie sesión y la desbloquee (permitiendo que el código que agregaron almacene una copia de la contraseña fuera de banda) antes de robar el hardware. Crear modelos de amenazas integrales (y mitigarlos) a veces se vuelve complicado. (Veo que madscientist159 ya señaló esa posibilidad).
Charles Duffy

Respuestas:

16

Puede habilitar esto instalando dropbear-initramfsy siguiendo las instrucciones para configurar sus claves SSH. Esto iniciará un servidor SSH desde initramfs, permitiéndole conectarse de forma remota e ingresar su frase de cifrado.

Stephen Kitt
fuente
3
Tenga en cuenta que cualquier persona con acceso físico a la máquina puede reemplazar sus initramfs con su propia versión maliciosa, extraer su clave privada SSH para un ataque MITM y varias otras formas de maldad. Como mínimo, debería mirar un TPM, si no una tecnología de seguridad más avanzada, si existe la posibilidad de que un actor malintencionado acceda físicamente a la caja.
madscientist159
0

Si ha instalado Debian en un servidor Dell o HP: Dell tiene iDrac y HP tiene OIT, ambos tienen consolas virtuales basadas en la web que le permitirán interactuar con la máquina durante el arranque.

bk201
fuente
Mi HP es demasiado viejo para tener OIT desafortunadamente, aunque gracias por su sugerencia.
user2363676