tips per uso dm-crypt e gpg

salve gente!
ho crittato una partizione con dm-crypt
cryptsetup -h ripemd160 -s 448 -c blowfish create pippo /dev/hda7
e la key sta in una penna usb ovviamente crittata con la mia chiave privata gpg, gestisto tutto tramite uno script bash che decripta la chiave usb, la mette in /tmp, la usa e poi con un dd /dev/zero chiave per 20 volte di seguito spiana la chiave!
la mia chiave privata gpg sta cmq nel mio hd in una partizione non cifrata.
secondo voi ho commesso degli errori tattici?
i consigli sono ben accetti

[pipex]

c'e' qualcosa che non ti va?
la partizione riesci poi a montarla correttamente?

dove hai preso quella procedura?

Originariamente inviato da pipex

c'e' qualcosa che non ti va?
la partizione riesci poi a montarla correttamente?

dove hai preso quella procedura?

no no va tutto bene, + che altro vorrei sapere se c'è qualcosa di illogico (bug ) in quello che ho fatto
per la procedura ho sbirciato su internet e mi sono fatto uno script bash per automatizzare il tutto

[NA01]

indipendentemente da quante volte ci passi sopra (esiste wipe per questo )
è un terribile errore memorizzare una chiave in chiaro!!!
non si fa!!!!
la chiave si dovrebbe tenere a mente, del resto non tieni a mente quella di gpg?

anche mettendo che la chiave della partizione sia più lunga non ha alcun senso.
la sicurezza del sistema è quella del passaggio più debole.
quindi rimane la sicurezza della chiave di pgp.
è inutile cifrare una chiave lunga con una corta.
la chiave corta è quella che dà la sicurezza!
violata la chiave corta ottengo quella lunga!!!!

se hai altri motivi potrebbe esserci un senso, non posso essere nella tua mente
tra le domande che mi vengono c'è il perchè del blowfish. una scelta statisticamente strana.

nel caso tu volessi continuare a estrarla dalla tua chiave di gpg (sono curioso di sapere le motivazioni però) credo sia meglio usare una pipe (|) che un file

programma_che_sputa_la_chiave | cryptsetup -h ripemd160 -s 448 -c blowfish create pippo /dev/hda7

almeno non rimane nell'hd

ah, anche io avevo chiamato pippo la mia chiave cifrata

ciao!

Originariamente inviato da NA01

indipendentemente da quante volte ci passi sopra (esiste wipe per questo )
è un terribile errore memorizzare una chiave in chiaro!!!
non si fa!!!!
la chiave si dovrebbe tenere a mente, del resto non tieni a mente quella di gpg?

anche mettendo che la chiave della partizione sia più lunga non ha alcun senso.
la sicurezza del sistema è quella del passaggio più debole.
quindi rimane la sicurezza della chiave di pgp.
è inutile cifrare una chiave lunga con una corta.
la chiave corta è quella che dà la sicurezza!
violata la chiave corta ottengo quella lunga!!!!

se hai altri motivi potrebbe esserci un senso, non posso essere nella tua mente
tra le domande che mi vengono c'è il perchè del blowfish. una scelta statisticamente strana.

nel caso tu volessi continuare a estrarla dalla tua chiave di gpg (sono curioso di sapere le motivazioni però) credo sia meglio usare una pipe (|) che un file

programma_che_sputa_la_chiave | cryptsetup -h ripemd160 -s 448 -c blowfish create pippo /dev/hda7

almeno non rimane nell'hd

ah, anche io avevo chiamato pippo la mia chiave cifrata

ciao!

1)grazie per wipe, ora vedo di cosa si tratta
2?la chiave non la posso tenere a mente, lho generata con urandom, ed è piena di caratteri strani.
3) non ho capito il concetto di chiave corta e lunga
4)cos' hai che non va blowfish
5)avevo pensato anche io ad una pipe ma l'output della decriptazione,anche se armorizzata, è abbastanza complessa da greppare e formattare come si deve, ed io sono pigro

6) hai altri bug da segnalarmi nel mio algoritmo mentale?
7) tu come mi consigli di fare? tu come hai fatto?

grazie

[ilsensine]

Per decifrare qualcosa crittato con una chiave privata è necessaria solo la chiave pubblica, non quella privata.
Il tuo punto di debolezza è qui:

gestisto tutto tramite uno script bash che decripta la chiave usb, la mette in /tmp

Dio buono, /tmp è leggibile da tutti! Anche se sovrascrivi il file, può essere letto da qualcuno prima di essere sovrascritto!
Perché la metti in un file? Cosa devi farci dopo?

nb hai la signature un pò troppo lunga: http://www.hwupgrade.it/forum/regolamento.php

[NA01]

Originariamente inviato da Stl

...

3- te stai cifrando con gpg la tua chiave della penna.
la chiave della penna è formata da caratteri pseudocasuali e avrà una certa lunghezza.

la tua chiave di gpg invece è tale che te la riesci a ricordare a memoria (non la hai scritta su un foglio di carte, vero???? ).
se quella di gpg te la ricordi è più semplice di quella della penna. giusto?

nel momento in cui qualcuno vuole leggere la tua penna non cercherà più di attaccare la sua chiave direttamente.
prenderà quella di gpg che è più semplice e come se fosse un user autorizzato poi si mette a decifrare l'altra chiave.
a questo punto può essere anche una chiave di 100000 caratteri generata dalle interferenze sulla linea elettrica (sembra siano abbastanza casuali), ma non cambia può nulla. la decifra come se fosse un utente autorizzato!

il mio consiglio è quello di semplificarla un pò e di studiartela a memoria.

4- non ho nulla contro blowfish, se non il fatto che lui stesso si propone come successore del des!
non è una grande pubblicità
per cifrare le partizioni va molto di moda l'aes, ma nessuno degli algoritmi presenti nel kernel dovrebbe essere stato ufficialmente violato (quindi non vedo perchè la tua scelta non vada bene ).

7- io la ho studiata a memoria, e ti assicuro che è lunga
a me interessava automatizzare il processo, ma non saprei come farlo

ciao!

Originariamente inviato da ilsensine

Per decifrare qualcosa crittato con una chiave privata è necessaria solo la chiave pubblica, non quella privata.
Il tuo punto di debolezza è qui:

Dio buono, /tmp è leggibile da tutti! Anche se sovrascrivi il file, può essere letto da qualcuno prima di essere sovrascritto!
Perché la metti in un file? Cosa devi farci dopo?

nb hai la signature un pò troppo lunga: http://www.hwupgrade.it/forum/regolamento.php

hai ragione che tmp è leggibile da tutti, ma il mio è un sistema stand alone e il file viene immediatamente spianato e cancellato!
cmq , ditemi se il discorso fila: si potrebbe sacrificare il crittaggio con gpg della chiave di dm-crypt e dare
cat /pennausb/chiave | cryptosetup bla bla bla
oppure sempre meglio gpgiare la chiave su usb?

voi , in questo caso, cosa fareste?
dai dai ub brainstorm non fa mai male

[NA01]

Originariamente inviato da Stl

cmq , ditemi se il discorso fila: si potrebbe sacrificare il crittaggio con gpg della chiave di dm-crypt e dare
cat /pennausb/chiave | cryptosetup bla bla bla

qui si peggiora!!!
ora ti rimane SEMPRE sul pc!!!!
nono, fidati. abbatti qualche caratere, semplifica la chiave e studiatela a memoria

Originariamente inviato da NA01

3- te stai cifrando con gpg la tua chiave della penna.
la chiave della penna è formata da caratteri pseudocasuali e avrà una certa lunghezza.

la tua chiave di gpg invece è tale che te la riesci a ricordare a memoria (non la hai scritta su un foglio di carte, vero???? ).
se quella di gpg te la ricordi è più semplice di quella della penna. giusto?

nel momento in cui qualcuno vuole leggere la tua penna non cercherà più di attaccare la sua chiave direttamente.
prenderà quella di gpg che è più semplice e come se fosse un user autorizzato poi si mette a decifrare l'altra chiave.
a questo punto può essere anche una chiave di 100000 caratteri generata dalle interferenze sulla linea elettrica (sembra siano abbastanza casuali), ma non cambia può nulla. la decifra come se fosse un utente autorizzato!

il mio consiglio è quello di semplificarla un pò e di studiartela a memoria.

4- non ho nulla contro blowfish, se non il fatto che lui stesso si propone come successore del des!
non è una grande pubblicità
per cifrare le partizioni va molto di moda l'aes, ma nessuno degli algoritmi presenti nel kernel dovrebbe essere stato ufficialmente violato (quindi non vedo perchè la tua scelta non vada bene ).

7- io la ho studiata a memoria, e ti assicuro che è lunga
a me interessava automatizzare il processo, ma non saprei come farlo

ciao!

grazie per le info

qui si peggiora!!!
ora ti rimane SEMPRE sul pc!!!!
nono, fidati. abbatti qualche caratere, semplifica la chiave e studiatela a memoria

sempre sul pc

la chiave sta su penna usb e faccio semplicemente un cat di essa (va a finire in ram) e la do in pasto a cryptsetup

[NA01]

Originariamente inviato da Stl

grazie per le info


sempre sul pc

la chiave sta su penna usb e faccio semplicemente un cat di essa (va a finire in ram) e la do in pasto a cryptsetup

si, vabbè
intendevo sempre memorizzata in chiaro

ciao!

Originariamente inviato da NA01

si, vabbè
intendevo sempre memorizzata in chiaro

ciao!

prima mi fai capire che la chiave criptata con gpg è inutile perche ha la password + facile della chiave dm-crypt (anche se la pass della chiave privata sono 19 caratteri alfanumerici)
ora mi dici che in chiaro è peggio!
nn ti sto a capire!
forse mi conviene lasciare la chiave per dm-crypt criptata sulla penna usb, ricavarmi dall' output della decriptazione solo la chiave e mandarlo direttamente al cat e pipe senza scrivere niente sull 'hd del pc!

Originariamente inviato da Stl

prima mi fai capire che la chiave criptata con gpg è inutile perche ha la password + facile della chiave dm-crypt (anche se la pass della chiave privata sono 19 caratteri alfanumerici)
ora mi dici che in chiaro è peggio!
nn ti sto a capire!
forse mi conviene lasciare la chiave per dm-crypt criptata sulla penna usb, ricavarmi dall' output della decriptazione solo la chiave e mandarlo direttamente al cat e pipe senza scrivere niente sull 'hd del pc!

fatto! niente di piu' semplice
ora non scrivo niente nell' hd!
se volete posto lo script completo cosi mi dite se ci sono degli errori ok?

[NA01]

vai!

Originariamente inviato da NA01

vai!

if [ "$UID" != "0" ]; then
echo -e "\n[!] Sorry but.. you must be r00t to execute this script..\n"
 exit 1;
fi
#variabili
REAL_PARTITION=/mnt/hda7
REAL_DEVICE=/dev/hda7
USBPEN_DIR=/mnt/sda1
USBPEN_DEVICE=/dev/sda1
KEYGPG=$USBPEN_DIR/private/babalua.gpg
NOME_DEVICE_CRITTATO=home
UTENTE_GPG=ospite
#fine variabili

mount $USBPEN_DEVICE $USBPEN_DIR
if [ ! -f $KEYGPG  ]; then
echo -e "\n[!]Sorry Usb Pen not mounted or key not found\n"
 exit 1;
fi
#è utile fare questo prima di montare?
umount $REAL_PARTITION 2>/dev/null
cryptsetup remove $NOME_DEVICE_CRITTATO 2>/dev/null
#
su $UTENTE_GPG -c "gpg  --decrypt $KEYGPG" | cryptsetup -h ripemd160 -s 448 -c blowfish create $NOME_DEVICE_CRITTATO $REAL_DEVICE
mount /dev/mapper/$NOME_DEVICE_CRITTATO $REAL_PARTITION
umount $USBPEN_DIR
echo ""
echo ":: CHECK THE PARTITION STATUS ::"
echo ""
mount

per miglioramenti postate pure, sono sempre pronto ad imparare cose nuove