Remote-Einschalten des verschlüsselten Systems

11

Mein System ist voll von sehr sensiblen Daten, daher muss ich so viel wie möglich davon verschlüsseln.

Ich habe eine verschlüsselte Debian-Installation, die jedes Mal beim Booten nach einem langen Passwort fragt. Gibt es eine einfache Möglichkeit, es so einzurichten, dass ich dieses Passwort aus der Ferne eingeben kann?

Wenn es eine andere Distribution kann, macht es mir nichts aus, etwas anderes anstelle von Debian zu installieren.

debian remote luks user2363676
quelle
2
Um welche Art von Angriffsvektor machen Sie sich Sorgen? Ist ein Hardware-Schlüsselspeicher (bei dem der private Schlüssel nicht von der Software extrahiert werden kann, aber jeder, der diese Hardware besitzt, Ihren Inhalt entschlüsseln kann) angemessen? (Übrigens: Beachten Sie, dass viele Verschlüsselungssysteme mit voller Festplatte einen Hauptschlüssel entsperren, wenn Sie sie aktivieren, und diesen Schlüssel dann im RAM speichern. Dies bedeutet, dass jeder mit ausreichenden Berechtigungen diesen Hauptschlüssel möglicherweise aus dem entsperrten System kopieren kann, selbst wenn er dies nicht tut Erhalten Sie niemals Ihr Passwort. Dies ist ein Ort, an dem die eigentliche Entschlüsselung der Hardware sicherer sein kann.
Charles Duffy
@CharlesDuffy Das Hauptanliegen ist, dass der Server (oder seine Festplatten) physisch gestohlen wird, sodass ein Hardwareschlüssel nicht in Frage kommt, da er auch gestohlen werden kann. Ich habe speziell die Passphrase für das 40+ Symbol-Dateisystem und das 20+ Symbol-Root-Passwort festgelegt (wer ist der einzige Benutzer im gesamten System), daher sollte ich in den meisten Fällen sicher sein, oder?
user2363676
1
Entfernt und gestohlen, oder haben Sie Angst, dass ein Angreifer physischen Zugriff erhält, während die Hardware noch eingeschaltet ist? Wenn jemand neue Geräte an den PCI-Bus anschließen kann, kann er eine Kopie des physischen Speichers erstellen, um den Verschlüsselungsschlüssel aus einem laufenden, entsperrten System zu stehlen. (Sie können das zum Verschlüsseln des Schlüssels verwendete Passwort nicht stehlen, aber wenn Sie den Schlüssel selbst haben, ist das irrelevant).
Charles Duffy
1
Ein weiterer Angriffsvektor besteht darin, dass jemand die Startsequenz ändert, um während des Entschlüsselungs- / Entsperrvorgangs eine Kopie des Kennworts zu erstellen, den Computer neu zu starten und dann darauf zu warten, dass Sie sich anmelden und entsperren (sodass der hinzugefügte Code eine Kopie speichert des Passworts außerhalb des Bandes), bevor die Hardware gestohlen wird. Es wird manchmal schwierig, umfassende Bedrohungsmodelle zu entwickeln (und diese zu mildern). (Ich sehe, madscientist159 hat bereits auf diese Möglichkeit hingewiesen).
Charles Duffy

Antworten:

16

Sie können dies aktivieren, indem Sie die Anweisungen zum Konfigurieren Ihrer SSH-Schlüssel installieren dropbear-initramfsund befolgen. Dadurch wird ein SSH-Server von initramfs aus gestartet, sodass Sie eine Remoteverbindung herstellen und Ihre Verschlüsselungspassphrase eingeben können.

Stephen Kitt
quelle
3
Beachten Sie, dass jeder Benutzer mit physischem Zugriff auf den Computer Ihre Initramfs durch eine eigene, böswillige Version ersetzen, Ihren privaten SSH-Schlüssel für einen MITM-Angriff extrahieren und verschiedene andere Arten von Unangenehmkeiten feststellen kann. Zumindest sollten Sie sich ein TPM ansehen, wenn nicht eine fortschrittlichere Sicherheitstechnologie, wenn die Möglichkeit besteht, dass ein böswilliger Akteur physisch auf die Box zugreift.
madscientist159
0

Wenn Sie Debian auf einem Dell- oder HP-Server installiert haben - Dell verfügt über iDrac und HP über ILO. Beide verfügen über webbasierte virtuelle Konsolen, mit denen Sie beim Booten mit dem Computer interagieren können.

bk201
quelle
Meine HP ist leider zu alt, um ILO zu haben, danke für den Vorschlag.
user2363676