cifrado de disco #37
Notifications
Due Date
Blocks
#44 documentar la instalación del sistema operativo
escuela-comun/abyayala
Reference: escuela-comun/abyayala#37
Reference in New Issue
Block a user
No description provided.
Delete Branch "%!s()"
Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?
repensemos cómo resolver el tema cifrado de disco. tendría que ser simple, remoto y colaborativo para las organizaciones
me imagino algo donde les operadores reciben una notificación preguntándoles si quieren activar decifrar el disco, entonces para que una computadora termine de bootear tiene que estar conectada a internet y une operadore tiene que dar el ok, pero no necesariamente estar en el mismo lugar fisico
el tema con el cifrado de disco es que nunca es completo, siempre hay una parte que no se puede decifrar. lo más que he logrado es todo el mismo menos el grub, que me pide la contraseña para iniciar.
en este caso para poder desbloquear un servidor desde el grub habría que tener un monitor físico o remoto para poder entrar y tipearla.
no sé si hay plugins de grub que permiten acceso remoto estilo ssh.
según esto https://unix.stackexchange.com/questions/659190/unlock-grub-bootloader-password-remotely
podríamos:
esto implicaría que
/bootno esté cifrado, pero cualquier modificación resultaría en un error.2 se puede reemplazar con otra cosa que permita aplicar el secreto de desbloqueo remotamente sin tener que sentarse a tipear una contraseña largota por el celular.
me imagino algo así:
tiene sentido? existirá algo así?
recuerdo que había un proyecto donde en una red de servidores cifrados, si se apagan todos, en vez de poner la contraseña de cada uno, solo había que desbloquear uno para que todos se desbloqueen contra ese. pero me olvidé el nombre y nunca más lo volví a encontrar
tercera opción es solo cifrar la partición de datos
en general, requisitos:
quedamos en convocar a la comisión de cuidados acá
La primera opción me parece buena, es similar a esta documentación que vi: https://www.reddit.com/r/sysadmin/comments/j8iitv/how_to_mount_an_encrypted_disk_with_luks_remotely/
Aún así, ya está el tema discutiéndose en la comisión de cuidados
Desde la Comisión de Seguridad hemos avanzado en pensar algunas soluciones al cifrado de disco:
1.- Que se pueda encender remotamente, porque no siempre hay gente a mano:
-Instalar servidor SSH Dropbear en initramfs con el sistema instalado en modo UEFI
#37 (comment)
#37 (comment)
2.- Que sea lo mas seguro que podamos
-El /boot no estaría cifrado, pero cualquier modificación resultaría en un error.
-Usar metedología de secret sharing que bien puede ser un sistema de Keyrings https://grahamwatts.co.uk/gnome-secrets/
(Aunque esto no soluciona teclear una contraseña compleja en teclado pequeño de smartphone, se puede tener la contraseña en un KeepassXC desde smartphone y de ahí copiar-pegar pero no es algo taaan seguro, quizá mejor recomendar si usar la computadora para este caso)
3.- Que resista olvidos de contraseñas
-Tener la contraseña en un gestor de llaves KeepassXC o Vaultwarden
-La contraseña maestra de este gestor que lo tengan por lo menos dos personas de la organización que tiene el server y aparte valorar si se comparte la contraseña de descifrado con el/la wayki
-Hacer una "caja fuerte de contraseñas" con un gestor de contraseñas que contengan los accesos de descifrado y que se encargue una comisión de su resguardo, y sólo se abra "en caso de fuerza mayor" (discutir más esta propuesta)
@pirra @cyborg_yogui tuvieron en cuenta que para que el dropbear sea alcanzable desde internet, el initramfs también tendría que tener la vpn funcionando? escribimos un plugin de initramfs entonces para que incluya la vpn, si no existe ya?
quedamos que se convocaba a reunion de trabajo huertas + cuidados para dirimir esta cuestion
mañana se suma beto a la reunión de cuidados
por qué no simplemente agregar el formateo del disco al proceso de instalación, y lo guardamos en un par de keepass #44
luego pensamos en encendido remoto #54
y mejoramos el secret sharing #53
@Numerica esto salió de la reunión de hoy?
sip @fauno
es decir, esto se puede ir pensando por partes.
1 - el cifrado del disco, lo mas simple es al momento de la instalacion
2- la gestión de secretos. parte desde la parte pedagógica con keepass, eventualmente BDs
3- encendido remoto. este se complejiza con el cifrado del disco
Este Issue se está atendiendo por partes en: