View Full Version : tips per uso dm-crypt e gpg
sgdfgsgfsgs
06-09-2005, 23:11
salve gente!
ho crittato una partizione con dm-crypt
cryptsetup -h ripemd160 -s 448 -c blowfish create pippo /dev/hda7
e la key sta in una penna usb ovviamente crittata con la mia chiave privata gpg, gestisto tutto tramite uno script bash che decripta la chiave usb, la mette in /tmp, la usa e poi con un dd /dev/zero chiave per 20 volte di seguito spiana la chiave!
la mia chiave privata gpg sta cmq nel mio hd in una partizione non cifrata.
secondo voi ho commesso degli errori tattici?
i consigli sono ben accetti
c'e' qualcosa che non ti va?
la partizione riesci poi a montarla correttamente?
dove hai preso quella procedura?
sgdfgsgfsgs
07-09-2005, 00:28
c'e' qualcosa che non ti va?
la partizione riesci poi a montarla correttamente?
dove hai preso quella procedura?
no no va tutto bene, + che altro vorrei sapere se c'è qualcosa di illogico (bug :D ) in quello che ho fatto
per la procedura ho sbirciato su internet e mi sono fatto uno script bash per automatizzare il tutto
indipendentemente da quante volte ci passi sopra (esiste wipe per questo ;) )
è un terribile errore memorizzare una chiave in chiaro!!!
non si fa!!!!
la chiave si dovrebbe tenere a mente, del resto non tieni a mente quella di gpg?
anche mettendo che la chiave della partizione sia più lunga non ha alcun senso.
la sicurezza del sistema è quella del passaggio più debole.
quindi rimane la sicurezza della chiave di pgp.
è inutile cifrare una chiave lunga con una corta.
la chiave corta è quella che dà la sicurezza!
violata la chiave corta ottengo quella lunga!!!!
se hai altri motivi potrebbe esserci un senso, non posso essere nella tua mente :)
tra le domande che mi vengono c'è il perchè del blowfish. una scelta statisticamente strana.
nel caso tu volessi continuare a estrarla dalla tua chiave di gpg (sono curioso di sapere le motivazioni però) credo sia meglio usare una pipe (|) che un file
programma_che_sputa_la_chiave | cryptsetup -h ripemd160 -s 448 -c blowfish create pippo /dev/hda7
almeno non rimane nell'hd :)
ah, anche io avevo chiamato pippo la mia chiave cifrata :sofico:
ciao!
sgdfgsgfsgs
07-09-2005, 01:16
indipendentemente da quante volte ci passi sopra (esiste wipe per questo ;) )
è un terribile errore memorizzare una chiave in chiaro!!!
non si fa!!!!
la chiave si dovrebbe tenere a mente, del resto non tieni a mente quella di gpg?
anche mettendo che la chiave della partizione sia più lunga non ha alcun senso.
la sicurezza del sistema è quella del passaggio più debole.
quindi rimane la sicurezza della chiave di pgp.
è inutile cifrare una chiave lunga con una corta.
la chiave corta è quella che dà la sicurezza!
violata la chiave corta ottengo quella lunga!!!!
se hai altri motivi potrebbe esserci un senso, non posso essere nella tua mente :)
tra le domande che mi vengono c'è il perchè del blowfish. una scelta statisticamente strana.
nel caso tu volessi continuare a estrarla dalla tua chiave di gpg (sono curioso di sapere le motivazioni però) credo sia meglio usare una pipe (|) che un file
programma_che_sputa_la_chiave | cryptsetup -h ripemd160 -s 448 -c blowfish create pippo /dev/hda7
almeno non rimane nell'hd :)
ah, anche io avevo chiamato pippo la mia chiave cifrata :sofico:
ciao!
1)grazie per wipe, ora vedo di cosa si tratta :D
2?la chiave non la posso tenere a mente, lho generata con urandom, ed è piena di caratteri strani.
3) non ho capito il concetto di chiave corta e lunga :D
4)cos' hai che non va blowfish
5)avevo pensato anche io ad una pipe ma l'output della decriptazione,anche se armorizzata, è abbastanza complessa da greppare e formattare come si deve, ed io sono pigro :D
6) hai altri bug da segnalarmi nel mio algoritmo mentale? :D :(
7) tu come mi consigli di fare? tu come hai fatto? :D
grazie
ilsensine
07-09-2005, 08:57
Per decifrare qualcosa crittato con una chiave privata è necessaria solo la chiave pubblica, non quella privata.
Il tuo punto di debolezza è qui:
gestisto tutto tramite uno script bash che decripta la chiave usb, la mette in /tmp
Dio buono, /tmp è leggibile da tutti! Anche se sovrascrivi il file, può essere letto da qualcuno prima di essere sovrascritto!
Perché la metti in un file? Cosa devi farci dopo?
nb hai la signature un pò troppo lunga: http://www.hwupgrade.it/forum/regolamento.php
...
3- te stai cifrando con gpg la tua chiave della penna.
la chiave della penna è formata da caratteri pseudocasuali e avrà una certa lunghezza.
la tua chiave di gpg invece è tale che te la riesci a ricordare a memoria (non la hai scritta su un foglio di carte, vero???? :mbe: ).
se quella di gpg te la ricordi è più semplice di quella della penna. giusto?
nel momento in cui qualcuno vuole leggere la tua penna non cercherà più di attaccare la sua chiave direttamente.
prenderà quella di gpg che è più semplice e come se fosse un user autorizzato poi si mette a decifrare l'altra chiave.
a questo punto può essere anche una chiave di 100000 caratteri generata dalle interferenze sulla linea elettrica (sembra siano abbastanza casuali), ma non cambia può nulla. la decifra come se fosse un utente autorizzato!
il mio consiglio è quello di semplificarla un pò e di studiartela a memoria.
4- non ho nulla contro blowfish, se non il fatto che lui stesso si propone come successore del des!
non è una grande pubblicità :D
per cifrare le partizioni va molto di moda l'aes, ma nessuno degli algoritmi presenti nel kernel dovrebbe essere stato ufficialmente violato (quindi non vedo perchè la tua scelta non vada bene :) ).
7- io la ho studiata a memoria, e ti assicuro che è lunga :cool:
a me interessava automatizzare il processo, ma non saprei come farlo :(
ciao!
sgdfgsgfsgs
07-09-2005, 11:12
Per decifrare qualcosa crittato con una chiave privata è necessaria solo la chiave pubblica, non quella privata.
Il tuo punto di debolezza è qui:
Dio buono, /tmp è leggibile da tutti! Anche se sovrascrivi il file, può essere letto da qualcuno prima di essere sovrascritto!
Perché la metti in un file? Cosa devi farci dopo?
nb hai la signature un pò troppo lunga: http://www.hwupgrade.it/forum/regolamento.php
hai ragione che tmp è leggibile da tutti, ma il mio è un sistema stand alone e il file viene immediatamente spianato e cancellato!
cmq , ditemi se il discorso fila: si potrebbe sacrificare il crittaggio con gpg della chiave di dm-crypt e dare
cat /pennausb/chiave | cryptosetup bla bla bla
oppure sempre meglio gpgiare la chiave su usb?
voi , in questo caso, cosa fareste?
dai dai ub brainstorm non fa mai male :D
cmq , ditemi se il discorso fila: si potrebbe sacrificare il crittaggio con gpg della chiave di dm-crypt e dare
cat /pennausb/chiave | cryptosetup bla bla bla
:eek:
qui si peggiora!!!:D
ora ti rimane SEMPRE sul pc!!!! :banned:
nono, fidati. abbatti qualche caratere, semplifica la chiave e studiatela a memoria :)
sgdfgsgfsgs
07-09-2005, 11:18
3- te stai cifrando con gpg la tua chiave della penna.
la chiave della penna è formata da caratteri pseudocasuali e avrà una certa lunghezza.
la tua chiave di gpg invece è tale che te la riesci a ricordare a memoria (non la hai scritta su un foglio di carte, vero???? :mbe: ).
se quella di gpg te la ricordi è più semplice di quella della penna. giusto?
nel momento in cui qualcuno vuole leggere la tua penna non cercherà più di attaccare la sua chiave direttamente.
prenderà quella di gpg che è più semplice e come se fosse un user autorizzato poi si mette a decifrare l'altra chiave.
a questo punto può essere anche una chiave di 100000 caratteri generata dalle interferenze sulla linea elettrica (sembra siano abbastanza casuali), ma non cambia può nulla. la decifra come se fosse un utente autorizzato!
il mio consiglio è quello di semplificarla un pò e di studiartela a memoria.
4- non ho nulla contro blowfish, se non il fatto che lui stesso si propone come successore del des!
non è una grande pubblicità :D
per cifrare le partizioni va molto di moda l'aes, ma nessuno degli algoritmi presenti nel kernel dovrebbe essere stato ufficialmente violato (quindi non vedo perchè la tua scelta non vada bene :) ).
7- io la ho studiata a memoria, e ti assicuro che è lunga :cool:
a me interessava automatizzare il processo, ma non saprei come farlo :(
ciao!
grazie per le info
qui si peggiora!!!
ora ti rimane SEMPRE sul pc!!!!
nono, fidati. abbatti qualche caratere, semplifica la chiave e studiatela a memoria
sempre sul pc :confused:
la chiave sta su penna usb e faccio semplicemente un cat di essa (va a finire in ram) e la do in pasto a cryptsetup :)
grazie per le info
sempre sul pc :confused:
la chiave sta su penna usb e faccio semplicemente un cat di essa (va a finire in ram) e la do in pasto a cryptsetup :)
si, vabbè :D
intendevo sempre memorizzata in chiaro ;)
ciao!
sgdfgsgfsgs
07-09-2005, 11:48
si, vabbè :D
intendevo sempre memorizzata in chiaro ;)
ciao!
prima mi fai capire che la chiave criptata con gpg è inutile perche ha la password + facile della chiave dm-crypt (anche se la pass della chiave privata sono 19 caratteri alfanumerici)
ora mi dici che in chiaro è peggio! :D
nn ti sto a capire!
forse mi conviene lasciare la chiave per dm-crypt criptata sulla penna usb, ricavarmi dall' output della decriptazione solo la chiave e mandarlo direttamente al cat e pipe senza scrivere niente sull 'hd del pc! :)
sgdfgsgfsgs
07-09-2005, 12:19
prima mi fai capire che la chiave criptata con gpg è inutile perche ha la password + facile della chiave dm-crypt (anche se la pass della chiave privata sono 19 caratteri alfanumerici)
ora mi dici che in chiaro è peggio! :D
nn ti sto a capire!
forse mi conviene lasciare la chiave per dm-crypt criptata sulla penna usb, ricavarmi dall' output della decriptazione solo la chiave e mandarlo direttamente al cat e pipe senza scrivere niente sull 'hd del pc! :)
fatto! niente di piu' semplice :D
ora non scrivo niente nell' hd!
se volete posto lo script completo cosi mi dite se ci sono degli errori ok?
sgdfgsgfsgs
07-09-2005, 12:51
vai!
if [ "$UID" != "0" ]; then
echo -e "\n[!] Sorry but.. you must be r00t to execute this script..\n"
exit 1;
fi
#variabili
REAL_PARTITION=/mnt/hda7
REAL_DEVICE=/dev/hda7
USBPEN_DIR=/mnt/sda1
USBPEN_DEVICE=/dev/sda1
KEYGPG=$USBPEN_DIR/private/babalua.gpg
NOME_DEVICE_CRITTATO=home
UTENTE_GPG=ospite
#fine variabili
mount $USBPEN_DEVICE $USBPEN_DIR
if [ ! -f $KEYGPG ]; then
echo -e "\n[!]Sorry Usb Pen not mounted or key not found\n"
exit 1;
fi
#è utile fare questo prima di montare?
umount $REAL_PARTITION 2>/dev/null
cryptsetup remove $NOME_DEVICE_CRITTATO 2>/dev/null
#
su $UTENTE_GPG -c "gpg --decrypt $KEYGPG" | cryptsetup -h ripemd160 -s 448 -c blowfish create $NOME_DEVICE_CRITTATO $REAL_DEVICE
mount /dev/mapper/$NOME_DEVICE_CRITTATO $REAL_PARTITION
umount $USBPEN_DIR
echo ""
echo ":: CHECK THE PARTITION STATUS ::"
echo ""
mount
per miglioramenti postate pure, sono sempre pronto ad imparare cose nuove :D
vBulletin® v3.6.4, Copyright ©2000-2026, Jelsoft Enterprises Ltd.