Удаленно разблокировать аппаратное шифрование диска

Question

Удаленно разблокировать аппаратное шифрование диска

Я настраиваю удаленный сервер в совместном размещении для клиента, и их основной запрос заключается в том, чтобы данные были зашифрованы за пределами загрузочного раздела. Основная система будет находиться в контейнере LUKS dm-crypt на главном диске, но поскольку ядро может быть заменено злонамеренно в случае очистки загрузочного раздела для захвата ключа, ему также потребуется защита.

Чтобы решить эту проблему, единственный вариант, о котором я могу подумать, - это диск со встроенным аппаратным шифрованием и удаленная разблокировка через интерфейс IPMI. Проблема в том, что бюджет для ежемесячных затрат уже утвержден для одного IP-адреса, что означает, что нет никакого способа легко подключиться к интерфейсу IPMI без дорогостоящего физического доступа или даже более дорогого сеанса с менеджером проекта для увеличить бюджет на несколько баксов.

Я надеюсь найти решение для дисковода, которое включает в себя встроенное ПО, которое можно загрузить, подключить через SSH или HTTPS, разблокировать зашифрованные данные и загрузить загрузчик, который будет включать ядро, которое загружает основной массив LUKS в качестве корневого каталога. раздел. Интерфейс может быть USB или SATA, или даже PCI-E.

Я открыт для других предложений, так как это единственный исправный вариант, который я могу придумать самостоятельно; Я просто не могу найти какие-либо похожие решения или термин для поиска.

3

ssh remote-access encryption physical-security

Источник

ACiD GRiM 24 авг '13 в 05:04

1 ответ

Решение

Другие вопросы по тегам ssh remote-access encryption physical-security

MadHatter 24 авг '13 в 05:50 2013-08-24 05:50 · Accepted Answer · 2013-08-24 05:50

Я думаю, что у Майкла есть правильный ответ. Я полностью понимаю, откуда ты, но не твоя работа предполагать глупость клиента - у большинства клиентов есть свои собственные запасы. Посоветуйте правильную вещь и пусть они отвергнут ее по соображениям стоимости Держите бумажный след.

Затем, если они настаивают на варианте с нулевой стоимостью, вы можете рассмотреть возможность использования tripwire из этого защищенного раздела, чтобы проверить целостность системы сразу после того, как раздел был разблокирован. Вы можете быть уверены в tripwire двоичные файлы и файл подписи, поскольку они находятся в зашифрованном разделе. С их помощью вы можете быть уверены в содержании незашифрованного раздела, а также в ядре и библиотеках на нем.

Это не идеально, но это намного более безопасно, чем отсутствие проверок на незашифрованном разделе; и вы предложите им шанс стать лучше и будете отвергнуты, если что-нибудь станет грушевидным.