Какие существуют способы полностью скрыть от пользователей файлы в системе?

grsec умеет, например.

chmod -r directory

RSBACK.

Каждый приличный руткит это умеет.

Вложенная fs внутри файла или полостей файловых систем. mount -o loop,offset=

А поподробнее, что значит вложенная fs внутри файла?

google://rootkit for linux

Смотришь исходники и правишь под свои нужды.

фс в зашифрованном контейнере, монтируемом через loop и требующим ввода пароля или файла-ключа

man mount

/loop

Все эти штуки с монтированием фс имеют минус - во время того как фс смонтирована - рут сможет увидеть содержимое этой фс.

Да, решение необходимо именно такое, чтобы не было доступно root, по-крайней мере до совершения определенных манипуляций, скрытых от того, кто может завладеть root.

Смотришь исходники и правишь под свои нужды.

опенсорс, все дела. Даже руткит можно приспособить под свои нужды.

RSBAC

Спасибо. Надо будет повнимательнее посмотреть.

Да руткит можно не только приспособить, но и самому написать.

roota отключи в системе, важные данные расположи в зашифрованном контейнере, в качестве которого может выступать как и весь диск например /dev/sdb (без разбиения его на разделы) так и файл с фс внутри

Постановка задачи изначально неправильная. Тебе нужно отключить рута и дать административные права на все кроме этих файлов другому пользователю, который будет выступать в роли рута. Потому что рут ДОЛЖЕН видеть все by design.

что ты там такого делаешь то страшного?

Ну почему же неправильная. Задача именно такая как я описал, и никак по-дурогому. Мне нужны самые различные варианты решения задачи, и вы мне как раз привели ОДИН ИЗ вариантов, далеко не единственный. Спасибо.

Я делаю специальную фишку, для безопасности.

Спасибо.

Здравствуйте. Какие существуют способы полностью скрыть от пользователей файлы в системе? Даже от root'а.

право -x на каталоге — то, что тебе надо.

И да, можно отмонтировать каталог.

Конкретизируй задачу.

Ну почему же неправильная. Задача именно такая как я описал, и никак по-дурогому.

Ну вот именно эта задача и отражает категорически неверное построение системы. Лично я не понимаю, что мешает сделать нормально.

Да, решение необходимо именно такое, чтобы не было доступно root, по-крайней мере до совершения определенных манипуляций, скрытых от того, кто может завладеть root.

есть только ОДИН вариант: шифрование. Можно зашифровать и файл, и ФС целиком.

root может вскрыть шифрование, поставив руткит, который будет ловить момент поступления ключа/пароля.

Всё остальное — не поможет.

Если предыдущая тема (про облачное файловое хранилище с ограничением на загрузку документов и редактированием на сервере) связана с данной, может быть стоит описать местным аналитикам всю задачу, а они помогут с стандартными решениями?

Просто уже второй ваш тред подходит под тег «хочется странного», и это наводит на мысли что вы велосипедостроительством занимаетесь.

Ну вот именно эта задача и отражает категорически неверное >построение системы. Лично я не понимаю, что мешает сделать >нормально.

Не вижу ничего «ненормального». Никакие нормы данный вопрос и данное решние не нарушает. Вы что-то путаете, или применяете неизвестные вам слова не там где надо)))

Напротив, тем и хорош Unix, что можно собрать так, как посчитаете нужным, и не нарушать каки-то придуманных кем-то «норм». Задача описана в соответствии со всеми нормами и стандартами opensource и posix. Не выдумывайте ерунду.

Ну будем отталкиваться от того, что root не подозревает о таком решении.

Задача описана в соответствии со всеми нормами и стандартами opensource и posix. Не выдумывайте ерунду.

Конкретизируй задачу.

Нужно чтобы пользователи и root не видели файлов на диске, при просмотре всеми стандартными инструментами Linux. По крайней мере, например, до совершения каких-либо дополнительных манипуляций.

Ну будем отталкиваться от того, что root не подозревает о таком решении.

это глупо, даже если root идиот, но с google. Недолго будет нагуглить нужное.

Да, тем и хорош Unix, что можно собрать так, как посчитаете нужным, и не нарушать норм opensource. Нет в этом вопросе ничего ненормального и нестандартного. Решение вполне соответствует всем стандартам.

Давайте не будем филосовствовать в конкретных технических вопросах, ок?

Задача описана в соответствии со всеми нормами и стандартами opensource и posix. Не выдумывайте ерунду.

Я не о той задаче, которая в этом треде описана. Я о задаче в целом. Как видите, не я один указываю вам на странность ваших желаний, и, возможно, есть более изящные и простые решения, чем создавать самый скрытый в мире файл.

fs на папке jpeg-ов

Ну будем отталкиваться от того, что root не подозревает о таком решении.

Security by obscurity НЕ РАБОТАЕТ. Можешь сделать татуеровку у себя на лбу.

По поводу задачи: странная она. И в рамках POSIX/UNIX IMHO не выполнимая. Наилучшее приближение даст шифрование. Но и оно ломается.

http://www.outguess.org/

задача же скрыть файлы а не недать прочитать, виртуальные fs поверх настоящих файлов самый адекватный вариант. Если админ узнает, то прочесть сможет :)

Смысл суперпользователя в том, что он может все. Если ты хочешь иметь рута, который чего-то не может, то это должен быть отдельный нерутовый пользователь. Так понятно?

Естественно, можно извратиться и сделать руткит. Но это будет костыль, о чем некоторые здесь и предупредили. Решение за тобой, мое дело сообщить.

Я не о той задаче, которая в этом треде описана. Я о задаче в >целом.

О какой «задаче вцелом» вы говорите? Я о задаче в конкретном треде. О чем говорите вы мне неведомо. Мало ли кто что говорит, если кто-то не допонимает вопроса-я ему разъясняю, если человек уточняет, а не пытается например «поставить диагноз» на основании своего непонимания.

Естественно, можно извратиться и сделать руткит. Но это будет >костыль, о чем некоторые здесь и предупредили. Решение за >тобой, мое дело сообщить.

Не костыль, а одно из возможных решений задачи. Спасибо за ответ.

По поводу задачи: странная она. И в рамках POSIX/UNIX IMHO не >выполнимая.

Пусть и кажтся странной, но вполне выполнимая(причем в рамках POSIX/UNIX), пусть и с долей %.Но ведь никто и не говорил о 100%.

Это впринципе понятно. Спасибо.

Если монтировать через fuse, например sshfs, то рут не будет иметь доступ

О! Тоже вариант. Спасибо.

О какой «задаче вцелом» вы говорите?

вы просите «скрыть от пользователей файлы в системе? Даже от root'а.»

Но это же не самоцель. Это средство решения какой-то задачи, вот я и спрашиваю, в чем она заключается?

1). то, что нужно коннектить по sshfs должно где-то лежать

2). точка монтирования явно видна в списке фс

3).

qnikst@localhost ~ $ sshfs -p 9999 qnikst@192.168.13.172:/home/qnikst ~/mnt/tmp/
qnikst@localhost ~ $ su -
Password: 
localhost ~ # ls ~qnikst/mnt/tmp 
ls: cannot access /home/qnikst/mnt/tmp: Permission denied
localhost ~ # su qnikst 
qnikst@localhost /root $ ls ~qnikst/mnt/tmp/
1.patch

Но это же не самоцель.

В рамках технического вопроса-«самоцель».

вот я и спрашиваю, в чем она заключается?

Заключается в изучении возможностей и методов технологий.

У твоей задачи две подзачади:
1) Как скрыть от рута существование файла
2) Как, в случае обнаружения, не дать руту прочесть содержимое и не дать ему возможность перехватить «ключ» или реальные данные в какой-то момент времени.

На первый вопрос уже были ответы: RSBAC, руткиты, стенография, фс внутри пустого пространства.
Предлагаю ещё один тупой способ: делаешь «скрытую папку», т.е. директорию с точкой в начале, в каком-нибудь неприметном месте и которое автоматом не будет зачищено.

Второй вопрос. Всё шифрование/дешифрование нужно производить не на машине-хранилище.
Медленные и простые варианты: любой крипто-контейнер поверх sshfs. Сначала монтируешь фс на клиент, потом контейнер монтируешь уже на клиенте, не на сервере.
Можно тупо шифровать/дешифровать файл на клиенте и копировать на сервере если данных не много и они редко меняются.

Если файлы часто меняются можешь попробовать duplicity.


--
Я просто недавно озадачился поиском софта для бекапа, которое может позволит хранить бекапы на untrusted сервере. Пока остановился на duplicity, но его ещё не ковырял.

Какие существуют способы полностью скрыть от пользователей файлы в системе?

Полностью и от всех? Никаких.

От просто пользователей допустим и есть и их великое множество.

От root-а спрятать что либо уже на несколько порядков сложнее. А еще и с учетом того что root способен и ядро принудительно сменить на потенциально вообще любое и любую систему защиты водрузить.

Да и особенно сильно мудрить не нужно достаточно:

• поставить гарантированно чистое ядро а дальше
• влепить ro на все что только можно
• включить дикое логирование вообще всего
• проверить «автозапуск»
• проверить любые подозрительные и не очень процессы
• проверить каким программам соотвествуют какие файлы

От такого ничего не скроется.