[howto]crypter ses partitions avec un noyau 2.6

ultraViolet · Last edited by ultraViolet on Tue Sep 07, 2004 7:11 pm; edited 1 time in total

Salut à tous,
Je viens de réaliser mon premier how to, à portée modeste puisqu'il n'explique pas comment crypter la partition racine, ou un seul fichier / répértoire. N'hésitez pas à me corriger si j'ai écrit n'importe quoi

ou si vous trouvez des parties incomplètes, ou incompréhensibles.

Crypter ses partitions (pour noyau 2.6.x) HOW TO

1) Résumé :
Ce HOW-TO résume la procédure nécessaire à l'encryption d'une partition avec les noyaux 2.6.x. Il n'a pas la prétention de couvrir l'ensemble du sujet, mais devrait permettre à un débutant d'empécher la CIA ou le FBI de fouiller dans ses données personnelles

2) Introduction :
Supposons qu'un individu dérobe votre ordinateur portable. Où qu'un espion s'introduise chez vous afin de dérober votre disque dur

. Comment l'empécher d'accèder à vos données ? Le logiciel d'identification initial ne vous protège pas rééllement. En effet, rien ne l'empéche de booter sur un autre disque dur en utilisant le votre comme disque esclave.
Linux propose cependant à ses utilisateurs d'encrypter / décoder les données à la volée. C'est-à-dire que les données sont cryptées sur le disque dur, et qu'un mot de passe est nécessaire pour le monter. Mais du point de vue de l'utilisateur local ou des échanges distants, l'opération est transparente (ainsi, on peut toujours vous attaquer via un protocole type ftp ou autre). N'en reste pas moins qu'une tierce personne, désirant accéder au contenu du disque dur, après qu'il soit démonté, (par exemple en redémarrant votre machine), devra utiliser des méthodes extrèmes (et très couteuses en temps de calcul) pour y arriver.

3) Principe :
On attache la partition à un "loopback device" (dispositif de réalimentation au mot à mot, alors ne m'en voulez pas si j'utilise le terme anglais

), qui se charge des opérations d'encryption /décodage. On monte ensuite ce "device" comme un disque dur traditionnel, en précisant les options d'encryptions à utiliser.

4) Les différents algorythmes d'encryption :
Quand on décide d'encoder une de ses partitions, il est d'abord nécessaire de choisir la facon dont les données vont être encodées. Le noyau de linux propose plusieurs algorythmes, dont certains n'ont, semblerait-il, encore jamais été craqués.
D'après mes recherches, les codes les plus difficiles à craquer semblent être "aes", "serpent" et "twofish". AES semblant être le plus répandu, je lui ai personnellement préféré twofish, partant du principe que ce qui est moins connu est moins soumis aux attaques

.
Il faut ensuite choisir un niveau d'encryption. Chaque algorythme peut être associé à plusieurs niveaux exprimé en bits. Les clés de 128 bits sont en théorie suffisante pour empécher une personne normale de vous craquer (car elle n'est pas sensée disposer de 100 supercalculateurs

). Les clés de 256 bits devrait vous protéger pendant les 10 prochaines années en dépit de l'évolution technologique

, mais elle risque d'être plus gourmandes en ressources. Notez que la loi n'autorise pas toujours l'encryption. En France, toute clé de chiffrage égalant ou dépassant les 128 bits doit être communiquée à l'état. Mais comme nous le verrons plus tard, il est impossible de savoir si votre disque dur est encrypté ou non, à moins d'accèder à votre /etc/fstab.

5) Configuration requise :
- Les derniers util-linux

zdra · Posted: Tue Sep 07, 2004 7:05 pm Post subject:

j'ai voté "interraissant", bien que ce ne soit pas plus utile pour moi qu'une simple culture général, mais c'est certainement utile pour d'autres. de toutes facons un howto n'est jamais à jeter

Beau travaille !

pour etre parfait je mettrais quand meme le titre du style: [howto]crypter ses partitions avec un noyau 2.6

DuF · Advocate Joined: 09 Dec 2002 Posts: 2687 Location: Paris

Moi je ne comprends pas à quel moment tu donnes le mot de passe pour monter les partitions au démarrage, ça se fait pendant le boot avant d'être connecté par le login après la séquence de boot ?

kernelsensei · Posted: Tue Sep 07, 2004 7:13 pm Post subject:

il doit bien avoir un ralentissement niveau ecriture/lecture sur une partoche cryptee non ?

c'est sensible comme ralentissement ?
_________________
$ ruby -e'puts " .:@BFegiklnorst".unpack("x4ax7aaX6ax5aX15ax4aax6aaX7ax2aX5aX8 \
axaX3ax8aX4ax6aX3aX6ax3ax3aX9ax4ax2aX9axaX6ax3aX2ax4ax3aX4aXaX12ax10aaX7a").join'

guilc · Posted: Tue Sep 07, 2004 7:16 pm Post subject:

Bien ce tuto

Je tiens toutefois a y apporter un bémol, sur l'utilisation de cryptoloop, qui est maintenant déprécated, et en sursis sur les kernel 2.6...
Voir ceci : http://kerneltrap.org/node/view/3521
il faut maintenant utiliser dm-crypt au lieu de cryptoloop, qui soufre de mutliples failles sécurité.
_________________
Merci de respecter les règles du forum.

Mon site perso : https://www.xwing.info
Mon PORTDIR_OVERLAY : https://gentoo.xwing.info ou layman -a xwing

kernelsensei · Posted: Tue Sep 07, 2004 7:19 pm Post subject:

ultraViolet · Posted: Tue Sep 07, 2004 7:21 pm Post subject:

ultraViolet · Posted: Tue Sep 07, 2004 7:24 pm Post subject:

ultraViolet · Posted: Tue Sep 07, 2004 7:27 pm Post subject:

guilc · Posted: Tue Sep 07, 2004 7:46 pm Post subject:

Ce n'est pas un probleme de perte de données, mais les dévelos du kernel considèrent que l'utilisateur est floué quand on lui dit que cryptoloop est une solution de cryptage de périphérique loop, parceque ce n'est pas sécure : le cryptage se casse facilement d'après eux (je n'ai pas cherché d'exploit pour ça, mais je leur fait confiance, si ils le disent, c'est que ça doit etre vrai

). C'est pour ça que le support est arreté.
dm-crypt : http://www.saout.de/misc/dm-crypt/
Ça utilise le device-mapper : CONFIG_BLK_DEV_DM et CONFIG_DM_CRYPT dans le support "Device Drivers > Multi-device support (RAID and LVM)"

Le portage n'a pas l'air bien compliqué, c'est tout expliqué dans le lien que j'ai donné juste au dessus, et il y a une méthode de portage des devices cryptoloop

_________________
Merci de respecter les règles du forum.

Mon site perso : https://www.xwing.info
Mon PORTDIR_OVERLAY : https://gentoo.xwing.info ou layman -a xwing

ultraViolet · Posted: Wed Sep 08, 2004 9:59 am Post subject:

Merci pour les tuyaux !
Je vais donc tester dm-crypt et j'ajouterais la méthode. Apparemment, le fait que l'un ou l'autre soit plus ou moins sécurisé est controversé, mais dm-crypt semble meilleur car:

-il ne souffre pas des bugs de loop.c
-il ne dépend pas d'un outil specifique (util-linux)
-il utilise mempool, ce qui le rend plus stable que cryptoloop

Sinon, de manière général, pensez vous qu'il faille que je sois plus précis dans les manip ou moins précis ?

scout · Posted: Wed Sep 08, 2004 10:12 am Post subject:

guilc · Posted: Wed Sep 08, 2004 10:23 am Post subject:

moon69 · Guru Joined: 30 Aug 2003 Posts: 444

tres bien ce howto!
merco +1

ya possibiliter de mettre le passwd dans fstab ?
meme si c'est pas secu, car je pense utiliser le systeme pour des disques amovilbles seulement!

ultraViolet · Posted: Wed Sep 08, 2004 12:12 pm Post subject:

DuF · Advocate Joined: 09 Dec 2002 Posts: 2687 Location: Paris

navier-stokes · n00b Joined: 03 Jul 2004 Posts: 41

je me sers de cryptsetup et de dmsetup, mais pas pour crypter mon disque root, seulement tous les autres et la swap. Je range les Clefs de mes disques durs cryptes sur une clef usb (que je vais appeller stick pour eviter les confusions)

emerge cryptsetup et les options kernel sus-mentionnees.

Je cree des clefs aleatoires comme ca,