Re: Consigli su volumi criptati su LVM e RAID
Il 12/08/2018 03:07, Lorenzo "Palinuro" Faletra ha scritto: On 08/12/2018 02:40 AM, Felipe Salvador wrote: On Sat, Aug 11, 2018 at 05:13:26PM +0200, gerlos wrote: In ultimo, vi chiedo una conferma: nel momento in cui dovessi dismettere i dischi criptati, per rendere inaccessibili i dati sarebbe sufficiente azzerare i primi MB dei dischi, giusto? Non ne ho idea, immagino di si, spesso immaginare non basta. Io non so se LUKS utilizzi dei meccanismi per permettere un eventuale recupero dei dati o se cancellando i primi MB si perda tutto per sempre, quindi: https://www.kali.org/tutorials/nuke-kali-linux-luks/ Mi pare un metodo valido, se non altro un alternativa assennata al "io speriamo che ho cancellato tutto". Se sai quanto è grande l'header e sovrascrivi solo quello hai già reso il disco irrecuperabile salvo backup dell'header. ovviamente se scrivi un po di piu male non fa, quindi su un disco con una sola partizione luks, scrivere roba pseudorandomica sul primo giga o sui primi 10 giga e già molto piu che sufficiente in quanto davvero il disco perde di significato senza l'header. perchè parlo di singola partizione? perchè cominciando a sovrascrivere dall'inizio del disco, il blocco verrebbe sicuramente sovrascritto, altrimenti c'è da andare a capire dove si trova e mettere l'offset appropriato in fase di cancellazione se la partizione criptata ha l'inizio buttato in giro nel disco tra altre partizioni Grazie per le utili informazioni! Da quel che leggo, se uno vuole poter dismettere un disco senza troppe preoccupazioni per i contenuti, la cosa migliore da fare è mettere una partizione cifrata LUKS il più possibile "vicino al metallo": - Se si usano dischi singoli, meglio fare Metallo -> LUKS -> LVM -> File System - Se si usano dischi in RAID software, meglio fare Metallo -> RAID -> LUKS -> LVM -> File System Al momento di dismettere il disco si possono rendere inaccessibili i dati sovrascrivendo l'header della partizione LUKS (generalmente 2 MB). Poiché quando si usa LUKS per un disco di sistema spesso si usa il primo GB per /boot, per rendere inaccessibili i dati sul disco dovrebbe essere sufficiente sovrascrivere i primi 2-4 GB del disco con dati pseudo random. Per esempio: # dd bs=1k count=2M status=progress if=/dev/urandom of=/dev/sdX && sync Per come funziona LVM, se si annida la partizione LUKS su un volume LVM non c'è modo semplice di sapere in quale area *fisica* del disco si trovi l'header LUKS, e quindi non c'è la certezza di sapere quale area del disco debba essere sovrascritta, e per prudenza uno dovrebbe sovrascrivere tutto (e con dischi di vari TB ci possono volere molte ore). Ovviamente tutto questo supponendo di avere hard disk tradizionali a piatto rotante. Con SSD e SSHD credo che la situazione si faccia più complicata... saluti e grazie ancora, gerlos <>
Re: Consigli su volumi criptati su LVM e RAID
On Sun, Aug 12, 2018 at 03:07:04AM +0200, Lorenzo "Palinuro" Faletra wrote: > Se sai quanto è grande l'header e sovrascrivi solo quello hai già reso > il disco irrecuperabile salvo backup dell'header. > ovviamente se scrivi un po di piu male non fa, quindi su un disco con > una sola partizione luks, scrivere roba pseudorandomica sul primo giga > o sui primi 10 giga e già molto piu che sufficiente in quanto davvero il > disco perde di significato senza l'header. > > perchè parlo di singola partizione? perchè cominciando a sovrascrivere > dall'inizio del disco, il blocco verrebbe sicuramente sovrascritto, > altrimenti c'è da andare a capire dove si trova e mettere l'offset > appropriato in fase di cancellazione se la partizione criptata ha > l'inizio buttato in giro nel disco tra altre partizioni > > per i nuke slots di cryptsetup serve ovviamente una versione > appositamente patchata, e attualmente le uniche 2 distro di cui sono a > conoscenza che integrano la patch sono kali [1] e parrot [2] > la patch [3] è uguale per entrambe. > > una nota importante da fare sulla patch è che anche qualora andasse bene > per un uso generico, è quasi inutile in caso lo storage venga sottoposto > ad una corretta procedura forense in quanto dopo l'acquisizione bit per > bit del drive, tutte le prove verrebbero fatte su copie dell'originale, > e qualsiasi dump del blocco chiavi verrebbe ripristinato, motivo per cui > la patch non è stata mai accettata in upstream e viene considerata piu > un giocattolo che una feature. > > un'attenta lettura alla sezione 5.21 della FAQ di cryptsetup [4] è > d'obbligo! Preziosissime informazioni, Grazie Lorenzo :) > [1] http://kali.mirror.garr.it/mirrors/kali/pool/main/c/cryptsetup/ > [2] http://parrot.mirror.garr.it/mirrors/parrot/pool/main/c/cryptsetup/ > [3] > https://dev.parrotsec.org/parrot/cryptsetup/blob/master/debian/patches/cryptsetup_nuke_keys.patch > [4] https://gitlab.com/cryptsetup/cryptsetup/wikis/FrequentlyAskedQuestions > > -- > Lorenzo "Palinuro" Faletra > > Parrot Security > > GPG FINGERPRINT: B350 5059 3C2F 7656 40E6 DDDB 97CA A129 F4C6 B9A4 > > GPG Info: http://pgp.mit.edu/pks/lookup?op=vindex=0x97CAA129F4C6B9A4 > GPG Key: http://pgp.mit.edu/pks/lookup?op=get=0x97CAA129F4C6B9A4 -- Felipe Salvador
Re: Consigli su volumi criptati su LVM e RAID
On 08/12/2018 02:40 AM, Felipe Salvador wrote: > On Sat, Aug 11, 2018 at 05:13:26PM +0200, gerlos wrote: >> In ultimo, vi chiedo una conferma: nel momento in cui dovessi >> dismettere i dischi criptati, per rendere inaccessibili i dati sarebbe >> sufficiente azzerare i primi MB dei dischi, giusto? > > Non ne ho idea, immagino di si, spesso immaginare non basta. > > Io non so se LUKS utilizzi dei meccanismi per permettere un eventuale > recupero dei dati o se cancellando i primi MB si perda tutto per > sempre, quindi: > > https://www.kali.org/tutorials/nuke-kali-linux-luks/ > > Mi pare un metodo valido, se non altro un alternativa assennata al "io > speriamo > che ho cancellato tutto". Se sai quanto è grande l'header e sovrascrivi solo quello hai già reso il disco irrecuperabile salvo backup dell'header. ovviamente se scrivi un po di piu male non fa, quindi su un disco con una sola partizione luks, scrivere roba pseudorandomica sul primo giga o sui primi 10 giga e già molto piu che sufficiente in quanto davvero il disco perde di significato senza l'header. perchè parlo di singola partizione? perchè cominciando a sovrascrivere dall'inizio del disco, il blocco verrebbe sicuramente sovrascritto, altrimenti c'è da andare a capire dove si trova e mettere l'offset appropriato in fase di cancellazione se la partizione criptata ha l'inizio buttato in giro nel disco tra altre partizioni per i nuke slots di cryptsetup serve ovviamente una versione appositamente patchata, e attualmente le uniche 2 distro di cui sono a conoscenza che integrano la patch sono kali [1] e parrot [2] la patch [3] è uguale per entrambe. una nota importante da fare sulla patch è che anche qualora andasse bene per un uso generico, è quasi inutile in caso lo storage venga sottoposto ad una corretta procedura forense in quanto dopo l'acquisizione bit per bit del drive, tutte le prove verrebbero fatte su copie dell'originale, e qualsiasi dump del blocco chiavi verrebbe ripristinato, motivo per cui la patch non è stata mai accettata in upstream e viene considerata piu un giocattolo che una feature. un'attenta lettura alla sezione 5.21 della FAQ di cryptsetup [4] è d'obbligo! [1] http://kali.mirror.garr.it/mirrors/kali/pool/main/c/cryptsetup/ [2] http://parrot.mirror.garr.it/mirrors/parrot/pool/main/c/cryptsetup/ [3] https://dev.parrotsec.org/parrot/cryptsetup/blob/master/debian/patches/cryptsetup_nuke_keys.patch [4] https://gitlab.com/cryptsetup/cryptsetup/wikis/FrequentlyAskedQuestions -- Lorenzo "Palinuro" Faletra Parrot Security GPG FINGERPRINT: B350 5059 3C2F 7656 40E6 DDDB 97CA A129 F4C6 B9A4 GPG Info: http://pgp.mit.edu/pks/lookup?op=vindex=0x97CAA129F4C6B9A4 GPG Key: http://pgp.mit.edu/pks/lookup?op=get=0x97CAA129F4C6B9A4
Re: Consigli su volumi criptati su LVM e RAID
On Sat, Aug 11, 2018 at 05:13:26PM +0200, gerlos wrote: > In ultimo, vi chiedo una conferma: nel momento in cui dovessi > dismettere i dischi criptati, per rendere inaccessibili i dati sarebbe > sufficiente azzerare i primi MB dei dischi, giusto? Non ne ho idea, immagino di si, spesso immaginare non basta. Io non so se LUKS utilizzi dei meccanismi per permettere un eventuale recupero dei dati o se cancellando i primi MB si perda tutto per sempre, quindi: https://www.kali.org/tutorials/nuke-kali-linux-luks/ Mi pare un metodo valido, se non altro un alternativa assennata al "io speriamo che ho cancellato tutto". > (Ovviamente mi riferisco ad un uso "civile", in cui uno > butta/rivende/monta altrove i dischi in questione, e non vuole/non può > perdere decine di ore ad azzerare TB di storage - non a contesti da > analisi forense e simili) Temo che con l'avvento del GDPR non esistono piu' i dischi ad uso "civile"... > Grazie a tutti > -gerlos > > > begin:vcard > fn:Gerlando Lo Savio > n:Lo Savio;Gerlando > email;internet:gerlo...@gmail.com > tel;work:+393396260782 > x-mozilla-html:TRUE > version:2.1 > end:vcard > -- Felipe Salvador
Re: Consigli su volumi criptati su LVM e RAID
Il 10/08/2018 19:19, Felipe Salvador ha scritto: On Fri, Aug 10, 2018 at 01:52:51PM +0200, gerlos wrote: Ciao a tutti, Ciao Devo criptare i dati[1] su un file server con Debian Stable. Sullo stesso server devo configurare RAID 1 (per prestazioni e ridondanza), e usare LVM per gestire i volumi (per espandere i volumi secondo le esigenze, fare snapshot, etc). RAID1 non da alcun vantaggio prestazionale, mentre, come dici tu, viene utilizzato per la ridondanza. Sì, hai ragione, RAID10 da invece vantaggi prestazionali insieme alla ridondanza. In effetti per un sistema che serve la lan di un ufficio le prestazioni del singolo disco sono più che adeguate, visto che il collo di bottiglia è altrove (la rete). Io penso che farei così: 0. Hardware 1. RAID -> LUKS 2. LVM 3. File system Che ne dite? Vantaggi/svantaggi? Voi come fareste? https://superuser.com/questions/1193290/best-order-of-raid-lvm-and-luks Devi decidere in base alle tue esigenze, in base alla discussione sopra, invertire LUKS con LVM significa decidere se utilizzare una o tante password quanti sono i pv. Studierei anche l'associazione LUKS-LVM. Non so cosa sia meglio o peggio, a livello prestazionale. Grazie per il link, è proprio la mia domanda! Penso che andrò RAID -> LUKS -> LVM -> FS perché: - Se si guasta un disco, posso sostituirlo senza complicazioni - Non mi serve avere password diverse per i vari volumi, visto che verranno montati tutti al boot (e a quel punto la sicurezza dipenderà dal sistema dei permessi) - Devo creare almeno due volumi, e al momento non so quanto dovranno essere grandi - li allargherò in base alle esigenze, e con ext4 su LVM posso farlo in modo indolore - Anche estendere lo storage aggiungendo nuovi hard disk o sostituendo quelli esistenti si può fare in modo tutto sommato indolore, creando prima partizioni LUKS e poi usando LVM per aggiungere i dischi allo stesso gruppo di volumi. In ultimo, vi chiedo una conferma: nel momento in cui dovessi dismettere i dischi criptati, per rendere inaccessibili i dati sarebbe sufficiente azzerare i primi MB dei dischi, giusto? (Ovviamente mi riferisco ad un uso "civile", in cui uno butta/rivende/monta altrove i dischi in questione, e non vuole/non può perdere decine di ore ad azzerare TB di storage - non a contesti da analisi forense e simili) Grazie a tutti -gerlos <>
Re: Consigli su volumi criptati su LVM e RAID
On Fri, Aug 10, 2018 at 01:52:51PM +0200, gerlos wrote: > Ciao a tutti, Ciao > Devo criptare i dati[1] su un file server con Debian Stable. > Sullo stesso server devo configurare RAID 1 (per prestazioni e > ridondanza), e usare LVM per gestire i volumi (per espandere i volumi > secondo le esigenze, fare snapshot, etc). RAID1 non da alcun vantaggio prestazionale, mentre, come dici tu, viene utilizzato per la ridondanza. > È la prima volta che mi capita (e sto studiando LUKS e cryptsetup), e > non sono sicuro di aver capito cos'è meglio fare. > > Mi spiego. Sul sistema c'è un SSD per il sistema operativo, e una > coppia di HDD per lo storage, da mettere in RAID1 software. Questo > dispositivo RAID lo configurerei come physical volume LVM, e sui vari > volumi LVM andrei a creare i file system per i dati. In sintesi: > > 0. Hardware > 1. RAID > 2. LVM > 3. File system > Dove dovrei andare a configurare il volume LUKS? Tra il livello 0. e > il livello 1.? Oppure tra il livello 1. e il livello 2.? (Escluderei > di mettere LUKS tra 2. e 3 o no?) > > Io penso che farei così: > 0. Hardware > 1. RAID > -> LUKS > 2. LVM > 3. File system > > Che ne dite? Vantaggi/svantaggi? Voi come fareste? https://superuser.com/questions/1193290/best-order-of-raid-lvm-and-luks Devi decidere in base alle tue esigenze, in base alla discussione sopra, invertire LUKS con LVM significa decidere se utilizzare una o tante password quanti sono i pv. Studierei anche l'associazione LUKS-LVM. Non so cosa sia meglio o peggio, a livello prestazionale. > grazie a tutti, > gerlos > > > > [1]: Vogliono che i dati siano criptati per limitare i rischi in caso > di furto dell'hardware (o in caso di sostituzione dei dischi) > begin:vcard > fn:Gerlando Lo Savio > n:Lo Savio;Gerlando > email;internet:gerlo...@gmail.com > tel;work:+393396260782 > x-mozilla-html:TRUE > version:2.1 > end:vcard > Ciao -- Felipe Salvador
Re: Consigli su volumi criptati su LVM e RAID
Il giorno 10 agosto 2018 16:14, gerlos ha scritto: Da quel che vedo in giro l'approccio "standard" al momento è: > linux-raid + dm_crypt e LUKS + LVM + ext4 > > Solo non sono sicuro in quale "ordine" usarli. > > ciao io ho 2 dischi in raid 1 software che uso per i soli dati. OS sta su ssd non criptato, /boot pure. per /home ho linux-raid + LVM + dm_crypt e LUKS + ext4 però così credo non sia semplice allargare i volumi LVM dopo averli cryptati; fino ad ora non ne ho avuto esigenza poi swap è partizione fisica criptata. ho scelto questa perchè inizialmente la root / non criptata stava su una partizione dei 2 dischi. Forse con la configurazione linux-raid + dm_crypt e LUKS + LVM + ext4 puoi allargaree/gestire meglio LVM rimanendo su dischi già criptati my 2 cent Gianluca
Re: Consigli su volumi criptati su LVM e RAID
Capisco perfettamente. Anche io un tempo ero più legato alla "tradizione". Ora uso zfs su mail server e file server di clienti...una quindicina di macchine, mal contate, ne sono soddisfatto e non me ne pento (anzi dovendo poi fare il sync su file server di mirroring, mi ha aiutato un sacco). Da poco ho iniziato af usare zfs anche sui firewall per la sua capacità di essere consistente sempre per definizione. Non esiste un fsck, maltrattala quanto vuoi, lei sarà sempre consistente, lo è intrinsecamente per costruzione. Luca Il giorno 10 ago 2018, 16:15, alle ore 16:15, gerlos ha scritto: >Il 10/08/2018 14:06, dea ha scritto: >> >> >> Tutto OK per quanto leggo... ma da qualche anno uso praticamente solo > >> più ZFS e mi trovo benissimo. >> > >ZFS sembra interessante - non lo conosco direttamente perché non l'ho >mai usato. > >Mi lascia perplesso il fatto che (almeno al momento) non sia la >"soluzione standard" adottata da Debian e simili - ho letto di problemi > >di licenze, ma non ho approfondito. > >Per questo lavoro vorrei attenermi il più possibile ad un approccio >"standard", in modo tale che in un secondo tempo altri possano >intervenire senza troppe difficoltà (o in modo tale che io possa >ricostruire il lavoro fatto anche a distanza di tempo). > >Da quel che vedo in giro l'approccio "standard" al momento è: >linux-raid + dm_crypt e LUKS + LVM + ext4 > >Solo non sono sicuro in quale "ordine" usarli. > >grazie lo stesso, >gerlos
Re: Consigli su volumi criptati su LVM e RAID
Il 10/08/2018 14:06, dea ha scritto: Tutto OK per quanto leggo... ma da qualche anno uso praticamente solo più ZFS e mi trovo benissimo. ZFS sembra interessante - non lo conosco direttamente perché non l'ho mai usato. Mi lascia perplesso il fatto che (almeno al momento) non sia la "soluzione standard" adottata da Debian e simili - ho letto di problemi di licenze, ma non ho approfondito. Per questo lavoro vorrei attenermi il più possibile ad un approccio "standard", in modo tale che in un secondo tempo altri possano intervenire senza troppe difficoltà (o in modo tale che io possa ricostruire il lavoro fatto anche a distanza di tempo). Da quel che vedo in giro l'approccio "standard" al momento è: linux-raid + dm_crypt e LUKS + LVM + ext4 Solo non sono sicuro in quale "ordine" usarli. grazie lo stesso, gerlos <>
Re: Consigli su volumi criptati su LVM e RAID
Tutto OK per quanto leggo... ma da qualche anno uso praticamente solo più ZFS e mi trovo benissimo. - SSD come accelerazione per lo ZIL e cache - raid gestito da ZFS - snapshot: sono il pane di ZFS, anche il push-pull di snapshot verso server di backup in ZFS sono una "magia" di ZFS che non puoi facilmente fare con altri sistemi (allineamento di server tramite push differenziale di snapshot) - cifratura e compressione native - etc. Luca
Consigli su volumi criptati su LVM e RAID
Ciao a tutti, Devo criptare i dati[1] su un file server con Debian Stable. Sullo stesso server devo configurare RAID 1 (per prestazioni e ridondanza), e usare LVM per gestire i volumi (per espandere i volumi secondo le esigenze, fare snapshot, etc). È la prima volta che mi capita (e sto studiando LUKS e cryptsetup), e non sono sicuro di aver capito cos'è meglio fare. Mi spiego. Sul sistema c'è un SSD per il sistema operativo, e una coppia di HDD per lo storage, da mettere in RAID1 software. Questo dispositivo RAID lo configurerei come physical volume LVM, e sui vari volumi LVM andrei a creare i file system per i dati. In sintesi: 0. Hardware 1. RAID 2. LVM 3. File system Dove dovrei andare a configurare il volume LUKS? Tra il livello 0. e il livello 1.? Oppure tra il livello 1. e il livello 2.? (Escluderei di mettere LUKS tra 2. e 3 o no?) Io penso che farei così: 0. Hardware 1. RAID -> LUKS 2. LVM 3. File system Che ne dite? Vantaggi/svantaggi? Voi come fareste? grazie a tutti, gerlos [1]: Vogliono che i dati siano criptati per limitare i rischi in caso di furto dell'hardware (o in caso di sostituzione dei dischi) <>
