Que se pueda encender remotamente, porque no siempre hay gente a mano: #54
Notifications
Due Date
Dependencies
No dependencies set.
Reference: escuela-comun/abyayala#54
Reference in New Issue
Block a user
No description provided.
Delete Branch "%!s()"
Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?
#37
-Instalar servidor SSH Dropbear en initramfs con el sistema instalado en modo UEFI
-El /boot no estaría cifrado, pero cualquier modificación resultaría en un error.
-Usar metedología de secret sharing que bien puede ser un sistema de Keyrings https://grahamwatts.co.uk/gnome-secrets/
(Aunque esto no soluciona teclear una contraseña compleja en teclado pequeño de smartphone, se puede tener la contraseña en un KeepassXC desde smartphone y de ahí copiar-pegar pero no es algo taaan seguro, quizá mejor recomendar si usar la computadora para este caso)
#53 à propos de secret sharing
@Numerica @cyborg_yogui @pirra tuvieron en cuenta lo que dije sobre la vpn?
#37 (comment)
relacionado #23
en esa parte me quedó la duda, si esta partición de inicio que queda decifrada, con acceso remoto. no sólo se complejiza, sino que también introduce un riesgo para el cifrado?
se habló del ataque Evil Maid, en que por acceso físico a esta partición se puede instalar spyware para obtener la contraseña de cifrado. Esto abriría la puerto a un Evil Neighbor que haga algo similar por red?
quizás el encendido remoto en sí mismo plantea un tradeoff de seguridad?
con secure boot el kernel e initramfs estarian protegidos de modificacion por intervencion externa, con o sin acceso remoto.
guarda con usar "evil maid" alegremente porque se la ha criticado por ser clasista.
ese articulo dice que hay que ponerle una buena contraseña a la bios
a resolver con el modelo de amenazas, en conjunto con la comisión de cuidados
Según la app Haven puede ayudar en los casos de los ataques "Evil maid" (o el nombre alterno que deseemos usar) en algunos casos, ya que registra evidencia con los dispositivos móviles, pero esto no soluciona el escenario del server retenido en alguna frontera. ---> https://www.mypress.mx/tecnologia/crea-snowden-app-de-seguridad-haven-2102
Actualización de en dónde estamos hasta ahora
El encendido remoto de la computadora viene del desglose del Issue de cifrado de disco #37
El modo de cifrado y encendido remoto sería "Instalar servidor SSH Dropbear en initramfs con el sistema instalado en modo UEFI" y seria de este modo: comentario #37 :
Ruta:
a) grub inicia en modo uefi
b) bootea linux, que llega hasta el paso de desbloquear discos
c) un servidor de secretos envía la notificación
d) operadore(s) recibe(n) una notificación diciendo que la huerta necesita que le permitan iniciar
e) al decir que sí, se le pide una contraseña o una forma de autenticación personal
f) el servidor comprueba la autorización
g) la huerta inicia
Referencias:
Falta resolver:
En lo relacionado al comentario del Issue #37 en referencia a que el initframfs tenga la VPN funcionando:
Según varios links de documentación que acá iré compartiendo, no he encontrado como configurar que la VPN inicie en el initframfs y/o utilizando Dropbear. Más bien sería que arranque desde systemd, pero no sé si eso lo solucione, pero activando la VPN desde el systemd puede ser una opción.
Una vez instalando dropbear-intframs y todos los pasos indicados acá , habría que configurar el servicio en systemd, para esto acá hay un tutorial, el ejemplo de acá es con el cliente OpenConnect VPN, está en este link: https://www.linuxbabe.com/debian/openconnect-vpn-server-ocserv-debian-12-bookworm en la parte de la mitad para abajo del tutorial, en dónde están las indicaciones para: Auto-Connect on System Startup
Lo que falta ahora es que hagamos la prueba en algún server para ver si la teoría funciona.
no se como sera en el initramfs de debian, habria que explorar el paquete dropbear-initrams, pero en arch por ejemplo, es posible configurarlo para que al generar el initramfs se copie algunos archivos y modulos. entonces se podria configurar para que copie
/etc/tincy/usr/sbin/tincd, ademas del modulotun, para que inicie durante el encendido.hay que tener en cuenta que estariamos copiando la llave privada de tinc desde el disco cifrado al initramfs abierto.
@pirra esta vos con esto entonces? estimo que instalar dropbear-initramfs es facil, el tema es hacer un tinc-initramfs. avisame si necesitas ayuda
Sip, tengo la teoría, necesito hacer una prueba de que funcione, estoy por hacer esto.
hoy quedamos que los pasos serían:
/bootinitramfs/initrd@cyborg_yogui @ChasquiLabo para la planificacion pedagogica:
estoy pensando que si la instalación de las huertas incluye el cifrado, las contraseñas de decifrado deberían ya guardarse en el vaultwarden de cada quien y darles acceso antes de empezar la escuelita, porque es un lio cambiarlas después. nos tendriamos que meter en comando oscuros de cryptsetup.
Anotado para los acuerdos, políticas y protocolos.