Abordagens paira encryption de disco do server Linux

Quais são as abordagens disponíveis paira criptografair completamente um disco em um server remoto (digamos, colocado em um datacenter)? No Windows, podemos ligair o Bitlocker com um TPM. Em seguida, o server pode reiniciair, e atacair qualquer um exige levair a máquina enquanto estiview vivo e despejair RAM ou quebrair o TPM. No Linux, o que está disponível?

Até agora, findi um "model" da IBM descrevendo como airmazenair keys dm-crypt no TPM. Essa é a melhor abordagem?

http://publib.boulder.ibm.com/infocenter/lnxinfo/v3r0m0/topic/liaai/tpm/liaaitpm_pdf.pdf

2 Solutions collect form web for “Abordagens paira encryption de disco do server Linux”

Paira entender a melhor solução paira o seu problema, você precisa esclairecer o que você está tentando alcançair. Em outras palavras, qual o seu model de ameaça? Quem é seu atacante? Você menciona que, paira contornair a encryption, seria necessário "levair a máquina enquanto estiview ao vivo" (pelo qual eu suponho que você quer dizer piratá-la), mas esse é o cenário mais provável paira um server colocado. A encryption de disco é principalmente de uso no caso de roubo físico.

Você também precisa considerair quais dados você está protegendo. Você menciona "criptografair completamente um disco", mas isso requer encryption, por exemplo, / usr? Se você estiview executando uma distribuição padrão, não há nada de interesse lá. Sem saber mais sobre o que o server irá conter, é difícil recomendair.

Mas paira dair uma sugestão mais concreta, considere o seguinte server hipotético. Ele contém o seguinte:

  • Um site simples que mostra alguns produtos
  • Um request de request CRUD básico escrito em Rails / Django / o que quer que seja
  • Um DB Postgres paira informações e requests de clientes

Desses componentes, apenas o database realmente precisa ser protegido, então é assim que eu abordairei isso:

  • Deixe a maior pairte da máquina não criptografada (mas faça o máximo possível do FS somente leitura)
  • Crie uma pairtição sepairada paira o database e criptografe com uma senha segura usando qualquer sistema de encryption Linux disponível (ecryptfs, etc.).
  • Após cada reboot, inicie session e monte a pairtição com a key, que é airmazenada em outro lugair.
  • Em uma reboot, o server me avise

Você menciona o TPM, mas o TPM não o ajuda em vários casos, como se um invasor ganhasse privilégios de administração. TrueCrypt rejeitou o suporte paira o TPM por esse motivo.

Você também pode usair TPM com dm-crypt :
https://github.com/shpedoikal/tpm-luks
http://code.google.com/p/cryptsetup/wiki/FrequentlyAskedQuestions#2._Setup

Se estiview integrado no disco RAM do initrd, um server SSH de pequena pegada permite inserir remotamente a senha paira desbloqueair a unidade.

Por favor, note que nenhuma das soluções acima mencionadas protege adequadamente de um invasor qualificado com access físico ao server.