Запаролить дамп ДБ для юзверей.

а пароль ты им как перешлёшь, тоже на мыло? :)

А что они будут потом делать с дампом? Если заливать снова на сервак, то не важно, как он зашифрован. А если ковырять вручную, то и формат SQL не очень подходит, гони в какой-нибудь xlsx и пихай в rar с паролем.

В архив сжать, какие тут ещё варианты... Только тогда они начнут ныть, что пароль сложный и вводить его каждый раз надо.

gpg

Значит так, сначала сжимаешь дамп, затем зашифровываешь:

openssl aes-256-cbc -e -in dump.sql.tar.gz -out dump.sql.tar.gz.aes-256-cbc

вводишь парольную фразу не меньше 100 символов

отсылаешь зашифрованный дамп на мыло

потом вызваниваешь клиента лично к себе в контору

просишь предъявить документы, удостоверяющие личность, внимательно сравниваешь с оригиналом, задаёшь наводящие вопросы, при положительном результате шепчешь парольную фразу от дампа на ушко и отправляешь с миром

и настоятельно советуешь установить линукс :)

+1

Обязательно запаролить? Логичнее шифровать открытым ключом..

бгы гы гы) А как его блондинко на винде откроет?

мне надо not_cleartext & userfriendly.

Должно открываться под виндой и маком.

Нытье, проблемы ПМСов.

p7zip?

Скачает сборку openssl под винду, запустит cmd.exe, ... :)

Ну или винраром упаковать, с паролем

Будут открывать в экселе. Экспортируется а ля csv. rar с паролем не вариант, так же как и экселевские пароли. На ПТУшных админских лабах страдают их «взламыванием».

Мне не особо надо что-бы какойнить кулхацкер получил инфу из дампа потому, что у буха пароль «адынадын111»

винрар/экселевские пароли несекурно)

Гпг

Красавица, в том же винраре ЕМНИП пароль нужен для расшифровки, а не для анлока :) . Т.е. при хорошем пароле будет хорошая секъюрность.

Не знала я... Когда у меня была винда, то БИОС и БсОД выглядело одинаково страшно.)

Значит будет зип с энкрипьтом.

Спасибо.

так же как и экселевские пароли. На ПТУшных админских лабах страдают их «взламыванием».

Брутфорсом разве что, других способов на сегодня нет. И для винрара, и для экселя старше 2007. Но если ты вдруг что-то знаешь, выкладывай сюда :)

Не вижу проблемы. У gpg есть гуй.

про винрарные пароли пруфца бы.

+1

пруфец желательно с алгоритмом «взламывания» из ПТУ

Принцип разархирование прост – при вводе пароля, из него 262144 раз вычисляется хеш по алгоритму SHA1, и полученным ключом WinRAR пытается расшифровать (по AES) и разархировать файлы (тут не проверяется правильный пароль или нет). После того как файлы расшифрованы и разархированны, из них вычисляется контрольная сумма по CRC32, и это сумма сравнивается с той суммой которая прописана в самом архиве.

из-за многократного sha1 брутфосить просто дорого.
или попытаться подобрать правильные 160бит, что оценивается в 10^48 вариантов для брутфорса.

ПТУшные маны давно погибли смертью храбрых вместе с сайтиком учителя. Учитель показывал как обходить оффисные и рарные пароли, как, я не помню. Это было 4-5 лет назад.

контейнер luks же...

хм... а зачем шифровать диск, если им на почту надо?

Вот и мне интереско зачем ты написал такую глупость... Диск шифровать не нужно, просто создаешь файл нужного размера, луксом его шифруешь, паролишь, отправляешь = профит. Вот подробнее почитай мануал http://www.dkws.org.ua/index.php?page=show&file=a/system/containers

В итоге у тебя получится шифрованный, запароленный файл, можно также ключи использовать. На виндовсах нужно будет поставить FreeOTFE.

Спасибо за ман, авось на будущее пригодиться.

На виндовсах нужно будет поставить FreeOTFE

Там очень большой ытырпрайз на 6к юзверей, тоесть, как в любой большой конторе, права урезаны и самим ставить ничего нельзя. Любой чих пересматривается цепочкой IT директоров, а только потом одобряется/отклоняется.

Дефолтные винрары есть у всех. Ставить дополнительный софт не вариант.

У них свои маразмы. На пример, для каждого кодера нашей конторы, они выдают ноут с VPN до их $staging_server. Кинуть VPN от нас до сервера почему-то не хотят. Директорам не нравится. Мало ли что у нас в офисе! А то что кодер может ноут потерять (с логином $username / qwerty123), это ничего страшного.

Ставить дополнительный софт не вариант.

как раз вариант.

GnuPG https://www.gnupg.org/index.html

маздайная версия: http://gpg4win.org/download.html

технология след:

1. заставляешь всех реципиентов поставить программу и сгенерить ключ, это намного проще, чем зарегится в контакте.

2. заставляешь все отправить свой ключ на https://pgp.mit.edu/ (ЕМНИП в маздайной версии есть кнопка для дебилов. Другой сервер тоже подойдёт)

3. в любом Linux gpg есть из коробки, на сервер ничего ставить не нужно. На сервере нужно создать юзера, с шеллом, желательно без пароля с входом по ssh с ключом(там отдельный ключ).

4. под специальным юзером создаёшь пару ключей: gpg --gen-key, в данном случае пароль на секретный ключ НЕ нужен.

5. добавляешь на связку ключи всех реципиентов командой gpg --recv-keys IDs тут IDs — идентификаторы реципиентов, себя любимого не забудь. И конечно проверь, что настройки кейсервера правильные(поправь по необходимости в конфиге, или в самой команде gpg --keyserver…)

На этом подготовка заканчивается, можно юзать

6. для отправки неким A и B дампа используй команду mysqldump …|gpg --sign --default-key ID_SIGN_KEY --encrypt --recipient A --recipient B - >dump.sql.gpg

7.расшифровать файл могут только A и B. Им также понадобится ключ, которым подписан файл(его надо тебе передать на сервер ключей, откуда его заберут юзвери). Подпись нужна для защиты от подмена.

Что непонятно — спрашивай.

Там очень большой ытырпрайз на 6к юзверей, тоесть, как в любой большой конторе, права урезаны и самим ставить ничего нельзя. Любой чих пересматривается цепочкой IT директоров, а только потом одобряется/отклоняется. Дефолтные винрары есть у всех. Ставить дополнительный софт не вариант.

по ссылке приведённой выше:

To create a portable Gpg4win version use the included tool mkportable.exe. HOWTO: Install Gpg4win with all components and then run from the command line (cmd) in install directory: mkportable.exe [OPTIONS] TARGETDIR. Use mkportable.exe --help to get all options.

1. заставляешь всех реципиентов поставить программу

Юзер в энтерпрайзах ничего ставить не может. Там АД с урезанными правами.

Ставить дополнительный софт не вариант.

Как это организовать наиболее безопасно?

Ставить дополнительный софт не вариант.

7zip чем не устраивает? Он умеет AES-256.

А вообще:

1. Смотришь на установленный в системе софт

2. Делаешь для себя выводы

3. ???

4. </thread>

ну если такие требования, то иди на rarlab.com, и купи консольную версию WinRAR для Linux. Вариант конечно не очень годный(потому что никто точно не знает, насколько (не)уязвим rar), но для взлома рара пять минут гуглежа не помогут. Это более серьёзно, и от школия это защитит, я гарантирую это! Как и разные анонимные аналиьтеги с разных хоботов, хабра-хабров, и прочих ресурсов, где любят обсуждать WinRAR.

И да, проверь, умеет-ли этот rar вообще с паролем шифровать(WinRAR умеет, а этот — не знаю), и учти, что вообще говоря параметры командной строки видны всем подряд. Да и вообще это маздай, держать пароль на сервере в plain-text(ведь шифрование ключом для тебя «не вариант», вот и страдай).

вот и страдай

Зачем? Проблема решена другим способом, а тред помечен как решенный уже давно.

твоё решение очень плохое и не годное. Сам же писал, что у вас пароли «123».

Пароли не причём. У нас есть куча ноутов той конторы. В них впн до парочки их серверов. Они открыли для одного ноута доступ на их файлопомойку.

Скрипт скачивает с моего серва ДБ и шлёт на их файлопомойку. Тоесть к моей конторке никак придолбаться не могут и если произошла утечка информации, они будут разбираться сами. Меня это устраивает.

В случае с пересылкой ДБ на мыло, если ДБ скомуниздят, претензии будут ибо «а мы же незнали, а вы нам не сказали, а вы должны придумать что-то, что бы нам было удобно пользоваться, вы же эксперты»

ну я же объясняю:

1. ты делаешь дамп и шифруешь его их _ключом_.

2. ты отправляешь им (хоть на яндекс-диск, хоть на рапидшаре, не важно) дамп

3. прочитать шифрованный дамп могут только они. Его даже ты прочитать не сможешь даже с паяльником в жопе. У тебя есть только ИХ ключ, и им ты можешь только шифровать. Потому даже если у тебя украсть ключ, то это не поможет для расшифровки.

Если ты делаешь с паролем(винрар, 7зип, gpg --symmetric, etc), то тебе необходимо:

1. возиться с паролем, т.к. передавать пароль из командной строки нельзя, его ручками набивать надо или костылём expect

2. охранять пароль, ибо его у тебя могут украсть, и получить доступ к чужим дампам, которые в свободном доступе.

3. как-то получить пароль по телефону или там СМСкой или лично. Это запарно и небезопасно.

Та я не спорю, что даже с паяльником не прочитать, просто проблему решили методом перекладывания проблемы с блондинистой головки, на сертифицированные лысинки дядичек в костюмчиках.

«Смерть кощея» уже запилина. Проэкт заканчивается в Феврале. Всех поднимать на уши и перепиливать мне влом.

Раз с паролями было неюзверьфрендненько, запилили без паролей, потому что надо было быстро и секурно.

ДБ скачивается и заливается через ВПН, это значит, что если они базу пролюбят, ответственность будет висеть на их ынтрыпрайзе, а не на моей конторке, потому что им база была доставленна секурно. А за секурность у них в ынтрыпрайзах я не отвечаю.

Для меня этого достаточно.

что даже с паяльником не прочитать

дело в твоей жопе. Тебе их БД нафиг не нужна, потому о себе подумай.

запилили без паролей, потому что надо было быстро и секурно.

девиз фрилансера:

Быстро, качественно, дёшево. Выбирайте любые два!

Да, жопа ценнее ДБ. Моя задача была доставить ДБ секурно. Что они с ней делают там, дело не мое. Где гарантия, что какая нибудь блондинка не запишет на листочке пошаговую инструкцию, как открыть шифрованный файлик, вместе с паролями, а потом его не потеряет?

Или где гарантия, что она не потеряет нешифрованный и незапароленный ноут, с мейл клиентом? Меня волновало наличие ДБ в ящиках 15+ юзверей. У юзверей всегда пароли а ля qwerty123. Если юзверь пролюбит ДБ, то админы которые там, будут валить вину на нас, мол злые хакеры в интернетах вынюхали ДБ ваершарком. Если ДБ доставленна секурно, моя задача выполненна.

ДБ скачивается и отсылается через ВПН, этого для моей совести в данном случае достаточно. Там есть свои админы для обеспечивания секурности.

Переделывать за месяц до конца проекта - лень. Как подсказывает практика, смена рутины вводит юзверей в заблуждение и панику.

Моя задача была доставить ДБ секурно.

вот для этого нужен криптоконтейнер.

Где гарантия, что какая нибудь блондинка

эта блондинка как-то относится к вашей жопе?

И да, пароль к ключу работает _только_ на компьютере этой блондинки. И нужен для того, что-бы какой-нить «хакер» не мог удалённо открыть gpg «на месте». Т.е. враг может порутать систему, поставить кейлоггер, стянуть пароль, стянуть ключ, стянуть дамп и открыть у себя. Иначе никак.

А локально, у блондинки, это не проблема.

У юзверей всегда пароли а ля qwerty123.

именно потому и не нужно применять симметричное шифрование. Оно на практике ОЧЕНЬ слабое. Вдвойне её ослабляет то, что пароль должны знать как минимум трое:

1. донор

2. реципиент

3. администратор

А при несимметричном шифровании ключ _только_ у реципиента. Причём желательно, что-бы юзер не знал про ключ и где он. Его задача просто сгенерить ключ (в GPA есть кнопочка), и всё. Ну и отправить его(публичную часть) на сервер ключей(ещё кнопочка).

В принципе нажать на кнопки может сам реципиент.

ДБ скачивается и отсылается через ВПН

ВПН помогает не очень. Ну и опять-таки, трое нужны. А что знает трое, знает и свинья.

эта блондинка как-то относится к вашей жопе?

Да, лысый дядя с красной кожей, по профессии техдиректор, при каждом его косяке ищет отмазку для своего начальства. Ему легче отправить гневное письмо своему начальнику и моим насяльникой в СС, о том что, все вокруг виноваты, чем признать, что он только что для себя открыл, что mysql имеет опцию -h, а тут я такая красивая, наштукатуренная, в платичке и на каблуках.

Он долго не верил, что «вот эта девушка» и есть Маруся Синеглазкина с которой он переписывался и настойчиво требовал познакомить с «настоящей» Марусей Синеглазкиной, суровой женщиной за 40. Я более чем уверенна, что остальной планктон мыслит так же.

Мой насяльника был кодером и прекрасно всё понимает, только я не хочу, что бы были какие-то непонятки. С той стороны люди не всегда технари. Отмазки красного дяди прокатывали лет 10. Меня не устраивает, что бы моя конторка теряла баблистого клиента, изза того, что какой-то помидор свалил свою вину на нас, а получать рекомендации в линкедине от мирового поставщика какой-то хрени, меня устраивает :)

Ставить софт на компы той конторы, тоже не вариант изза этого помидорки. Я не могу угадать когда у него будет ПМС и что именно сгенерирует волну гнева.

ВПН помогает не очень. Ну и опять-таки, трое нужны. А что знает трое, знает и свинья.

Та да, только если вылезет какая-то жопа, то мы следовали их процедурам. Тут не придерешься и помидорко в этом случае не сможет свалить всё на нас и поменять кодеровскую контору для спасения своей шкуры секурности.

ДБ отправляется покоцанная. Блондинкам нужно знать имя, мыло покупателя, что тот купил и ещё пара таблов с какой то фигней, из жанра, а лайкнул ли их покупатель на фейсбуке. Остальная дата им нафиг не нужна. На отпавку имен/мыла/продукта менее секурным способом у меня совесть не срабатывает. Ну купил человек открывашку для пива, ну и что? Что кулхацкер с этим сделает?

Метод который ты привел, подходит для блондинок в моей конторке, а не для интрыпрайза с маразматиками.

Что кулхацкер с этим сделает?

очевидно продаст конкуренту.

1. клиента можно переманить предложив ему открывашки по лучшей цене.

2. можно поставить открывашки за 3 рубля, учитывая, что закупка конкурентов 2.99, и что они Over9000 открывашек закупили. Клиент не дурак, считать умеет, и уйдёт к конкурентам.

Есть ещё 3, 4, 5... схем. Они совершенно законные(не учитывая кражу, но и кражу тут будет сложно инкриминировать), я таким занимался, когда у нас вообще было беззаконие и полная тупость. Профит с этого неплохой идёт, но идёт он в карман директора. А мне почти ничего не достаётся, т.е. это с директором нужно решать.

Метод который ты привел, подходит для блондинок в моей конторке, а не для интрыпрайза с маразматиками.

маразматики везде есть, увы.

Цен и чеголибо связанного с баблом там нет. Открывашки для пива идую конечному потребителю, а не магазину.

Инфа которая нужна была блондинкам больше по соц. сетям.

Там что-то а ля «потребитель который больше всего налайкал в фейсбуке, инстаграмме, твитере и т.д. получает бонус в виде ящика пива».

ну хрен знает, я давно этим не занимаюсь, это в 90х было.