Безопасность безопасности

/boot на флешку и носи её на шее.

Ах да, вероятность, очевидно же, 50/50: или проникнет, или нет.

Может все файлы или раздел подписывать и проверять хэш файлов при загрузке? Ключи можно держать на зашифрованном разделе.

Какова вероятность того, что мой старший брат проникнет ночью в мою комнату и изменит initramfs таким образом, что cryptsetup сохранит мой пароль куда-нибудь на HDD..

навернякатака и произойдёт!

именно поэтому обычно всегда и говорят что — шифрование может защищать только в случаях когда злоумышленники не имеют периодического физического доступа к твоей системе.

в твоём случае тебе всего-лишь придётся угостить пару раз пивом брата, ну и вообще сдружиться с ним :-) — то есть отнять у него повод красть твои фотки. или переехать от него в другую квартиру :)

Ах да, вероятность, очевидно же, 50/50: или проникнет, или нет.

или проникент или нет — это не 50/50 :-) ..

каждый раз когда я пытаюсь пройти в дверной проём — я либо прохожу свободно, либо врезаюсь лбом в стену (промазал мимо дверного проёма).. тут тоже вероятность 50/50 ? :-D

Установите GRUB2 на LUKS.

Хотя брат всё равно может придти ночью и пропатчить MBR. Лучше носите /boot на заблокированной от записи SD-карте.

Высока, это классическая «атака уборщицы», кроме этого он может снимать образы шифрованных разделов, скажем раз в сутки или неделю и выяснять в каких областях изменяются данные, и много чего прочего.

Ясно. Так и сделаю. Спасибо!

врежешься ты в косяк или пройдешь в дырку в каждом конкретном случае - 50/50... ?! :D lol

старший брат на службе^W дома не пьет(

от того, что он выяснит, в каких областях меняются данные, разве он что-то полезное узнает? Разве не все данные шифрованы? Или только структура ФС?

бухать меньше нужно

от того, что он выяснит, в каких областях меняются данные, разве он что-то полезное узнает?

например сможет узнать — обновил ли ты свой архив — новыми видеофайлами :-)

или сможет (с определённой вероятностью) узнать когда ты делал последний раз апдейт системы :) ..

вообщем утилита cryptsetup-reencrypt — частично сможет исправить ситуацию, но не шипко хорошо в случае если физический доступ у злоумышленника слишком частый.

Qubes OS придумали уже.

Благодарю, понял. Вопрос закрыт. Думаю о потайном бронированном подвале. Жаль, правда, что я живу на пятом этаже - ну да ладно - попытаюсь объяснить нужность этого соседям снизу.

Лучше психологу.

Внимание вопрос: Какова вероятность того, что мой старший брат проникнет ночью в мою комнату и изменит initramfs таким образом, что cryptsetup сохранит мой пароль куда-нибудь на HDD?

В зависимости от экономической выгоды от данной операции. Рекомендую использовать доверенную загрузку или внешний бут раздел (на флешке).

от того, что он выяснит, в каких областях меняются данные, разве он что-то полезное узнает? Разве не все данные шифрованы? Или только структура ФС?

Практически ничего, кроме последнего доступа к областям диска и объёму измененной информации. В случае отсутствия перебоев по питанию (ИБП/ноут) можете проверять аптайм и запретить гибернацию. И ещё поставить внешнюю систему мониторинга, которая Вам звонит при отсутствии пингов. Не забывайте про атаки через хотребут и заморозку памяти, когда можно снять дамп вместе с ключами.

Лучше носите /boot на заблокированной от записи SD-карте.

Одному мне кажется, что гипотетически гиперактивный брат ТС и к ней имеет физический доступ и задача все же не решена? И в принципе не решается?..

Пожми их в squashfs и переименуй в Rammstein - Benzin.mp3. Фиг догадается, что фоточки именно там.

Я храню на своем ноутбуке свои интим фоточки.

Фоточки с осликом? или с барашком?

с конём

r0ck3r, твой братик вполне может читать ЛОР, и прочитав твой вопрос здесь он не станет заморачивать себе голову, а возьмет паяльник...

не, ну то что терморектальный криптоанализ никто не отменял и так понятно

Используйте TPM + Trusted Boot (trustedgrub, например). Если ваш старший брат изменит initramfs, то система не загрузится (шифрованный раздел не расшифруется). Однако, если ваш старший брат — горничная, то он может провернуть атаку типа evil maid, таким образом украдет ваш пароль, а уже потом, как-нибудь в ваше отсутствие, будет его использовать.

Но и от этого можно себя уберечь. Более подробно тут http://theinvisiblethings.blogspot.se/2009/10/evil-maid-goes-after-truecrypt....

А «старший брат» это вариация большого брата? Если у него есть доступ к твоей комнате (а значит он знает где она нахоидтся) скорее всего он будет подбирать пароль с помощью терморектального криптоанализа. Держи /boot на флешке.

толсто

педогог?

да, это именно он.
Да, так сейчас и делаю), ну а терморектальный криптоанализ никто не отменял, поэтому остается надеяться на адекватов, ну то есть, адвокатов :)

в далеком прошлом