AP
stage1
Size: a a a
2021 April 02
AP
stage 1.5 тоже наверно не зашифровать.
AP
Так его менять можно при каждой перезагрузке.
AP
Через виртуальный терминал конечно набирать.
AP
? :)
AP
Допустим, подменили они пароль, он не подошел, очевидна подмена - нет? - меняем хостера.
m
нормальный вариант был бы свой отправленный gsm-свисток с лампочкой, сд-картой и залитый эпоксидкой и видеокамера у техника который его вставляет. я звоню на gsm модем, он мигает лампочкой, я понимаю что это мой, дальше настраиваю загрузку только с этого устройства и возможно будет норм.
AP
Так задача решалась - сверить чек суммы. Они не успеют вернуть в виртуалке все обратно взад в норм. состояние пока я гружусь с LiveCD, значит, спалятся.
AP
Там ZFS снэпшоты тем более по нескольку раз в день, попробуй подмени что-нибудь в старых снэпшотах, хотя в чатике ZFS говорили, что вроде бы и такое возможно :(
AP
Кстати, хорошая идея! Можно ведь пароль LUKS тоже менять сразу же после перезагрузки ;) Только стартанула виртуалка, подключились по SSH и сразу автоматическая замена пароля LUKS слота, профит :) Получается, следующий пароль тоже никто не знает кроме меня. Можно даже не дожидаться полного старта виртуалки, достаточно стартануть SSH демон из initrd.
АВ
При таких требованиях к безопасности хоститься у кого то?) Странный выбор
AP
Согласен :( может быть еще как-то LUKS заголовок двигать по устройствам :) при каждом рестарте. Но если его найдут хоть раз, то уже все. Да проще его гипервизором из оперативки вычитать.
AP
Да это не требования, а "просто параноя", как любят говорить "ОНИ". К сожалению невсегда можно обеспечить достаточную связность сети и аптайм без хостера. Хотя бы рассмотреть теоретические возможности защиты у хостера.
AP
Даже без учета вычитки слота LUKS из оперативы:
если старый пароль вводить через SSH, который поднимается в initrd? FIDO2 от MITM, который можно переткнуть, а initrd подменить, похоже тупик :( в плане сохранности ключа, но спалить подмену через уникально криптованный LiveCD таки можно.
если старый пароль вводить через SSH, который поднимается в initrd? FIDO2 от MITM, который можно переткнуть, а initrd подменить, похоже тупик :( в плане сохранности ключа, но спалить подмену через уникально криптованный LiveCD таки можно.
AP
А еще можно стартовать всю свою систему всегда с такого LiveCD :) Что-то догружать докерами, часть в локальных персистентных томах.
AP
Т.е. частичное решение - это грузить корневую со всегда уникально закриптованного контейнера всегда с новым паролем и новым LUKS ключом, который хранится в моем охраняемом периметре.
Но они могут попытаться перезаписать содержимое такой FS в оперативке :)
Но они могут попытаться перезаписать содержимое такой FS в оперативке :)