losetup/dm-crypt & flash-key

mount тут ни причём, эта команда никогда с зашифрованными разделами не работает. Она монтирует либо loopback-device созданный losetup, либо dm-device созданный cryptseup/dm-crypt. Собственно и пароль запрашивает losetup или dm-crypt. Напиши для них простой скрипт-обёртку хоть на bash.

К сожалению обход такой защиты очень просто делается даже для начинающего линуксоида (( - главное получить рута, что при физическом доступе к машинке не вопросс.

Увидел такой вариант: имя файла на флешке или его контент должны объединятся с введённым паролем - и вместе уже составлять private key.
Тогда действительно, даже получив доступ к машинке, человеку обязательно нужны будут 2 условия:
* знание пароля раздела
* наличие нужной флешки (или хотя бы её образа)

> обход защиты очень просто делается - главное получить рута

ты определись что и от кого ты защищаешь. От рута в любом невозможно скрыть данные обрабатываемые на локальном CPU.

неверно. зашифрованные разделы, если пароль раздела не совпадает с паролям рута (ужос), расшифровать без ключа не выйдет (речь не идёт о методах взлома помещением ноута в халодильник и т.п., если в курсе...)

з.ы. машинка - ноут, юзер один. защита инфы раздела на случай, если её тупо сопрут.
даже школьник сможет залогиниться, используя кноппикс или подобное, фиг с ним - мне важно сокрытие именно криптованного разделла
з.ы. считаем, что тот кто спёр машинку - знает также пароль раздела, а вот флешки у него точно нет

>фиг с ним - мне важно сокрытие именно криптованного разделла

он заразит комп вирусом и подсунет его назад

это страшно только в том случае, если я не узнаю, что ноута не было на месте.
можем считать что такой страшный вариант не рассматриваем пока.

прочитай ещё раз по буквам: «От рута в любом невозможно скрыть данные ОБРАБАТЫВАЕМЫЕ на локальном CPU».

это страшно только в том случае, если я не узнаю, что ноута не было на месте.
можем считать что такой страшный вариант не рассматриваем пока.

Правильная идея тут уже промелькнула: половина пароля хранится в файле на флешке, половина — у тебя в голове. Объединение их и скармливание полученного пароля системе шифрования выполняет простой скрипт на твоем любимом скриптовом языке.

// Рут-то, конечно, может все, но кроме рутовых привилегий нужен еще мозг и некоторые необходимые инструменты, а такие спецы обычно стоят очень дорого.

Правильная идея тут уже промелькнула: половина пароля хранится в файле на флешке, половина — у тебя в голове. Объединение их и скармливание полученного пароля системе шифрования выполняет простой скрипт на твоем любимом скриптовом языке.

Это ещё у Шнайера, AFAIR, было.

дык йоу, я ж и говорю - поделитесь мыслями-ссылками