Menyalakan sistem terenkripsi pada jarak jauh

11

Sistem saya penuh dengan data yang sangat sensitif, jadi saya perlu mengenkripsi sebanyak mungkin dari itu.

Saya memiliki instalasi Debian terenkripsi yang meminta kata sandi panjang setiap kali selama boot. Apakah ada cara sederhana untuk mengaturnya sehingga saya dapat memasukkan kata sandi itu dari jarak jauh?

Jika beberapa distribusi lain dapat melakukannya, saya tidak keberatan menginstal sesuatu yang lain daripada Debian.

debian remote luks pengguna2363676
sumber
2
Vektor serangan seperti apa yang Anda khawatirkan? Apakah penyimpanan kunci perangkat keras (di mana kunci pribadi tidak dapat diekstraksi oleh perangkat lunak, tetapi siapa pun yang memiliki perangkat keras itu dapat mendekripsi konten Anda) sesuai? (BTW, perhatikan bahwa banyak sistem enkripsi disk penuh membuka kunci master saat Anda menggunakannya, dan kemudian menyimpan kunci itu dalam RAM - artinya siapa pun yang memiliki hak istimewa yang cukup berpotensi dapat menyalin kunci master itu dari sistem tidak terkunci, bahkan jika mereka tidak tidak pernah mendapatkan kata sandi Anda; ini adalah tempat di mana dekripsi aktual terjadi di perangkat keras bisa lebih aman).
Charles Duffy
@CharlesDuffy Perhatian utama adalah server (atau disk-disknya) dicuri secara fisik, jadi kunci perangkat keras tidak mungkin, karena dapat dicuri juga. Saya secara khusus menetapkan 40+ kata sandi sistem file simbol dan 20+ password root simbol (yang merupakan satu-satunya pengguna di seluruh sistem), jadi saya seharusnya aman dalam banyak kasus, bukan?
user2363676
1
Dihapus dan dicuri, atau Anda khawatir penyerang mendapatkan akses fisik saat perangkat keras masih dinyalakan? Jika seseorang dapat menyambungkan perangkat baru ke bus PCI, mereka dapat membuat salinan memori fisik, sehingga mereka dapat mencuri kunci enkripsi dari sistem yang sedang berjalan dan tidak terkunci. (Mereka tidak dapat mencuri kata sandi yang digunakan untuk mengenkripsi kunci, tetapi jika Anda memiliki kunci itu sendiri, itu tidak relevan).
Charles Duffy
1
Vektor serangan lain adalah bagi seseorang untuk memodifikasi urutan boot untuk membuat salinan kata sandi selama proses dekripsi / membuka, me-reboot mesin Anda, dan kemudian menunggu Anda untuk login dan membuka kunci (sehingga membiarkan kode yang mereka tambahkan menyimpan salinan) dari kata sandi out-of-band) sebelum mencuri perangkat keras. Datang dengan model ancaman yang komprehensif (dan mitigasi terhadap mereka) kadang-kadang rumit. (Saya melihat madscientist159 sudah menunjukkan kemungkinan itu).
Charles Duffy

Jawaban:

16

Anda dapat mengaktifkan ini dengan menginstal dropbear-initramfsdan mengikuti instruksi untuk mengkonfigurasi kunci SSH Anda. Ini akan memulai server SSH dari initramfs, memungkinkan Anda untuk terhubung dari jarak jauh dan memasukkan frasa sandi enkripsi Anda.

Stephen Kitt
sumber
3
Ketahuilah bahwa siapa pun yang memiliki akses fisik ke mesin dapat mengganti initramf Anda dengan versi jahat mereka sendiri, mengekstrak kunci pribadi SSH Anda untuk serangan MITM, dan berbagai bentuk nastiness lainnya. Minimal Anda harus melihat TPM, jika tidak lebih teknologi keamanan canggih, jika ada kemungkinan kotak itu diakses secara fisik oleh aktor jahat.
madscientist159
0

Jika Anda telah menginstal Debian pada server Dell atau HP - Dell memiliki iDrac dan HP memiliki ILO, keduanya memiliki konsol virtual berbasis web yang memungkinkan Anda berinteraksi dengan mesin saat boot.

bk201
sumber
Sayangnya HP saya terlalu tua untuk memiliki ILO, terima kasih atas sarannya.
user2363676