LINUX.ORG.RU
Форум — Security  

Crypt fs over Intranet: несколько непонятков


0

0

Вот есть задача, сделать cryptfs так чтобы сама она была на одном хосте а ключ на другой т.е
host 1) Linux 2.4.x int-patch
host 2) Linux 2.4.x NFS server

host 1: mount nfs host 2, losetup -k xxx -e xxx /dev/loop1 /mnt/nfs/file
pass: xxx
mount /dev/loop1 /mnt/netcrypt

теперь в теории, если я записываю информацию в /mnt/netcrypt, то фактически она должна падать на host 2 в уже защифрованном виде..
НО если я на host 2 сделаю mount этого файла и удалю из него что нибудь, то при проверке на host 1 информация все равно лежит в нем, т.е насколько я понимаю host 1 кешит файл и фактически уже не обращается к нему :( вопрос как заставить host 1 вообще не кешить файлы для определенного девайса?

★
← НЕИЗВЕСТНЫЕ MAC-АДРЕСА
Начальство сказало разобраться с RSBAC. Кто-нибудь об этом звере что-нить знает? →

Если я правильно понял, что вы хотите достичь, то учтите, что про производительность можно будет забыть.

ivlad ★★★★★
()

Естественно, но задача состоит в том чтобы кусков защищаемой информации за пределами net crypt fs не было, и это встает на первый план. К сожалению я так и не добился нужного эффекта :(

Matrix ★
() автор топика

а когда вы размонтируете, что происходит?

ivlad ★★★★★
()

Собственно store данных происходит только когда я размонтирую файловую систему :(. Это очень плохо.

Matrix ★
() автор топика

а если sync делаете, получается?

ivlad ★★★★★
()

при монтировании loop (crypt) устройства с флагом sync получается следующая ситуация:
tcpdump показывает что данные идут в момент записи, но при этом на stdout сыпятся сообщения "error syncing ext2 inode", что напрягает, при этом из 5-6 записей ни в одном случае на целостность данных это не повлияло. Честно говоря я даже не знаю как к этому относится, есть идея использовать CODA (модификация NFS насколько я понимаю) которая имеет фичи crypt так сказать build in, хотя я не очень уверен насчет того что это лучший вариант

Matrix ★
() автор топика

В Solaris есть чудесный Kerberized NFS, я не знаю, отнесли его под Linux или нет, но можете попробовать поискать. Искать по словам : "GSS", "GSS RPC" ну и NFS, Linux, Kerberos.
Вторым вариантом может быть AFS. Те, кто пользовался были довольны, я сам не применял.

ivlad ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← НЕИЗВЕСТНЫЕ MAC-АДРЕСА
Security
Начальство сказало разобраться с RSBAC. Кто-нибудь об этом звере что-нить знает? →