«без ключевое» шифрование конфига

Почему нельзя собрать все секретные конфиги, выделить им отдельный раздел, и его зашифровать dm-crypt?

Подумай как заюзать TrustZone, по-идее для этого он и сделан.

Бери ключ из облака

Есть куча железок на убунте (может будет расбиан)

Если на железках нет управляющей логики, то пусть собирают данные и шлют их на обработку куда подальше, откуда не стырят. И не надо ничего шифровать, добавляя точки отказа.

без ентернетов могут железки работать

Я и говорю, что зависит от того, чем железки занимаются, если просто сбор данных, то чего там скрывать то.

Или вы опасаететсь, что вашу софтинку без вас начнут использовать, тогда и вопрос надо шире ставить, а не концентрироваться на шифрованном конфиге.

потому что проблема где хранить потом этот пароль, а не в шифровании раздела

в конфиге важные служебные данные, даже если она и собирает что то, предоставить к этому доступ нельзя.

если просто сбор данных, то чего там скрывать то.

софтинка собирает, например, когда вы туда-сюда мимо железки ходили - это просто сбор данных или нужно скрывать!? )))

А этот вопрос вообще решается навешиванием таблички - «Ваше движение фиксируется». Если так не делать, то это сомнительно с точки зрения законодательства, кмк. )

демагогия конечно интересная, но вопрос не в этом )

Ну наверное самое банальное это «derived» ключ, вычисляемый от какого-то значения или комбинации факторов. Может быть соль + номер сборки + номер машины, что-то такое.

При декомпиляции готовый ключ виден не будет а нормальным реверс-инжинирингом мало кто сейчас умеет заниматься.

В качестве защиты от школьников вполне хватит.

потому что проблема где хранить потом этот пароль

Запоминать надо пароль. А ключ в открытом виде всё равно не хранится.

Вовсе не для этого TZ сделан. Его основное назначение - вынести секьюрные операции в физически отдельное адресное пространство, в котором выполняется гораздо более простая секьюрная ОС, вход в которую в одном контролируемом месте. И всё это дабы защитить секьюрный код от уязвимостей в большой, толстой забагованной RichOS (Linux).

И там опять появится эта проблема, ведь клиентов доверенных приложений надо по-хорошему как-то аутентифицировать, например, слать им тот же пароль. И где его хранить? В коде клиента - не вариант.

Все текстовые константы видны в бинарниках без декомпиляции )

Вбей в гугол фразу «key derivation», будь так добр.

Сделать демона, чтоб к серверу с мастер ключом подключался и вытаскивал расшифрованное только по надобности. Нет сервера - нет ключа. Без сети что можно сделать, это, например, геофенсинг по GPS маячку. Про метод с обфускацией уже сказали.

геофенсинг по GPS маячку

Это как?

Поллим рутовым демоном GPS, если слишком далеко - отрубаем доступ к конфигам.

А если нет сигнала?

Ну продумать можно, куллдаун, скажем, на час. Вряд ли ОП в бетонном бункере устройство разместил.

Поллим рутовым демоном GPS, если слишком далеко - отрубаем доступ к конфигам.

Тогда уж сразу самоподрыв. Для надежности.

Способ интересный в плане узнать спёрли ли железку, но практически для моей текущей железки не реалиализуемый

поэтому из мыслей брать пароль и соль, например, mac и uuid диска

Чем это лучше просто зашитого в код пароля? Чтобы узнать пароль нужно будет ковырять код, а если будут ковырять код, то все твои приседания всё равно увидят.

которые могут быть физически стырены

При включении проси ввести пароль, ну или бери где-нибудь по сети.

Ну всяко проще в бинарнике пароль посмотреть, чем разбираться как он был сгенерирован.

Взрывпакет с поносом. Не травматично и очень унизительно.

судя по прежним топикам - вы сами себе придумываете проблемы которых нет.

никому кроме ваших-же техников, не нужен ваш конфиг на железке, если только вы туда плайн-текстом не кладёте ключи/пароли/явки ssh. Опять-же судя по вопросам - и сами железки с их софтом никому невсрались.

а вот закритованный конфиг принесёт вам немало гемороя и прямых расходов в поддержке.

проще в бинарнике пароль посмотреть

Как ты узнаешь куда смотреть? Там же не написано «тут пароль». Да даже если написано, можно тупо xorить его и уже grep по бинарнику не работает. В общем те же яйца, вид сбоку.

Жираф большой, ему видней (с)

тем не менее железки тырят, так что помножу ваше мнение на ноль.

Просто интересный вопрос. Какова вероятность того, что тому, кто спёр твою железку, будет интересны твои файлы? Что-то мне кажется, что скорее всего со стыренной железки всё сотрут не разбираясь, либо просто её продадут. Шанс, что тот, кому стали твои файлы интересны, попытается вытащить ключ из бинарника ещё ниже.

Полагаю не малая вероятность, судя по новостям про моих прямых конкурентов.

Чаще правда они и тырят, потом возвращают обычно неисправными.

Речь про кабельные/спутниковые ТВ-приставки?

Типа того, но нет, а вообще не в этом вопрос.

HASP. Подходит для сценария «сотрудник пришел, воткнул ключ, работает на своей машине». На другой машине ключ работать не будет. Есть ключи с поддержкой шифрования корня, чтобы без них даже не бутилось.

Есть куча железок на убунте (может будет расбиан) судя по новостям про моих прямых конкурентов.

А деньги-то у благородного дона есть? Или под «конкурентами» подразумеваются бомжи и алкашня, сдающая девайсы на металлолом?

Как я понял тут именно разбросанные в абстрактных местах автономные малинки, т.е. хардварный ключ не то.

Чем больше информации, тем больше шанс получить вменяемый ответ. Нужна конкретная модель угроз, потому что в общем случае при безлимитном времени и финансах ломается вообще всё, к чему есть физический доступ. Конкретные методы защиты выбираются исходя из сценариев использования и типичного профиля злоумышленника.

В металл там почти ничего не сдашь - пластик и граммы алюминия.

Собсна и не софт нужно защитить, а данные и доступы, с доступом попроще, тк требуется сертификат, а не только пароль, а вот с данными вопрос.

Это понятно, но хочется как с угоном автомобиля - повысить сложность до уровня чтобы угнали не вашу тачку, а ту что попроще.

В целом да, хоть они и под замком, но их срезают.

Собсна и не софт нужно защитить, а данные и доступы,

Это надо на серверной стороне делать, на клиенте лишь учетка для входа, UUID какой-нибудь.

Есть подозрение на взлом или кражу? Блокируешь доступ на сервере.

Я тебе черным по-белому написал: деньги есть? Если есть бюджет - пиши, сделаю.

Подскажите как можно решить нерешаемую задачу, в идеале «штатным» средствами.

Тысячи учеток, никто следить не будет, там хоть и происходит на особо опасном сервисе регулярная смена паролей, но тоже промежуток достаточный учеткой попользоваться.

Тут из нескольких сотен симок какой то процент отъехал, никто не знает какие ))

Если есть часть приватной сети, которая не может быть физически стырена, то каким-то боком ещё можно посмотреть в сторону network-bound encryption. Иначе надо либо условие менять, либо перестать хотеть невозможного.

Да я и сам сделаю, знать бы куда делать )

Да я и сам сделаю, знать куда делать )

Если ты сам руками работаешь, тогда не строй из себя бизнесмена с «конкурентами», смешно выглядит.

Тысячи учеток, никто следить не будет, там хоть и происходит на особо опасном сервисе регулярная смена паролей, но тоже промежуток достаточный учеткой попользоваться. Тут из нескольких сотен симок какой то процент отъехал, никто не знает какие ))

Тут только удачи пожелать.

В смысле не строй, люди спросили - я ответил, к чему ваше наваливание про бомжей к теме не понятно.

И правда, что ж я сразу не подумал. Добавляем GPS и, если что, просто делаем невозможное.

Потому что это разные уровни. Если есть свои девайсы и свои клиенты, у которых эти девайсы установлены - это уже бизнес. Тем более если появились конкуренты.

Тут руками самому работать уже не стоит, стоит больше головой думать.

Вот если ты наемный сотрудник и обслуживание всего этого зоопарка твоя дневная работа, за которую платят и зп - другое дело, имеет смысл ходить по форумам и просить помочь. Но конкурентов тогда у тебя нет и быть не может.

Как-то так.