Шифрование диска в линукс

Да, так как создаётся и сохраняется на этом же диске заголовок LUKS.

Если при выполнении luksFormat сохранить заголовок в другом месте (опция –header), то определить, что это действительно зашифрованный диск будет значительно сложнее.

Спасибо. Это важно. Если допустить что использована опция –header то как определить? Мне интересно именно доказательное подтверждение или опровержение.

Что-то в духе: Пишем sudo shifrovanie /dev/sda -searh -odnoznachno И если в выводе этой команды есть строка «/dev/sda зашифрован однозначно!» то это гарантия того что тот набор мусора что есть на диске это зашифрованный том.

То есть интересно именно доказательство, а не утверждение. Утверждать что любой набор случайных байт это что-то зашифрованное можно на пустом месте.

Зависит от имеющихся ресурсов, наличия физического доступа к диску, возможности его исследовать, затрат.

На первый взгляд, при отсутствии заголовка будет выглядеть, как просто шум.

Но исследовать диск физически, можно попытаться определить, когда в какие области происходила запись. Станет видно, что это не просто диск, записанный рандомом. Если используется SSD и опция discard, появятся другие артефакты. Будут явно видны области, в которых записаны какие-то данные и пустые области. А что такое диск, на котором в какие-то области записаны случайные данные? Это зашифрованный диск.

Я не специалист, не берусь что-то утверждать.

То есть если нет хидера на диске зашифрованном люксом, то других доказательств формальных нет? То есть можно максимум обоснованно предполагать? Я верно понимаю?

То есть фактически максимум что можно собрать с такого диска это косвенные улики. Верно?

То есть если нет хидера на диске зашифрованном люксом, то других доказательств формальных нет?

Нет, но они и не нужны. Если содержимое диска напоминает случайные данные, значит явно зашифровано, и в дело вступают методы терморектального криптоанализа, после которых вся информация успешно расшифровывается.

после которых вся информация успешно расшифровывается.

А зачем расшифровывать, когда есть признание?

Ну мало ли, может там кошелёк с биткоинами. Товарищу майору тоже хочется кушать.

То есть фактически максимум что можно собрать с такого диска это косвенные улики. Верно?

У вас изначально подход неверный, тов. Майор.

Наличие чего либо (или отсутствие) на диске не является доказательством или уликой.

Доказательства (в юриспруденции) — сведения о фактах, полученные в предусмотренном законом порядке, на основании которых устанавливается наличие или отсутствие обстоятельств, имеющих значение для правильного рассмотрения и разрешения дела (ч. 1 ст. 74 УПК РФ, ч. 1 ст. 26.2 КоАП РФ, ч. 1 ст. 55 ГПК РФ, ч. 1 ст. 64 АПК РФ, ч. 1 ст. 59 КАС РФ).

Таким образом, в юриспруденции под доказательствами понимаются сведения, то есть результат познавательной деятельности, тогда как в логике доказательство — это обоснование истинности, то есть действие[1].

Раз есть познавательная деятельность, то должен быть и субъект, например, технический эксперт, который и будет интерпретировать состояние диска как шифрованное или нет.

Допустим такой умозрительный опыт: Берется 10 файлов по 1 гиг. Все забиваются рандомными данными. 1 из 10-и форматируется как диск с выносом хидера за пределы диска. И все файлы предоставляются эксперту. Выходит что найти из означенных 10-и файлов тот на котором лежат зашифрованные данные он может только наугад?

и в дело вступают методы терморектального криптоанализа, после которых вся информация успешно расшифровывается.

Только если подозреваемый в шифровании вообще знает как расшифровать. А ведь бывает и такое что не знает.

А ведь бывает и такое что не знает.

Научим!

Раз есть познавательная деятельность, то должен быть и субъект, например, технический эксперт, который и будет интерпретировать состояние диска как шифрованное или нет.

На любого эксперта есть другой эксперт который может и станет интерпретировать иначе. Следовательно эксперт не сможет дать однозначное заключение если нет прямых улик, а косвенные могут быть интерпретированы противоположно.

Мне кажется, ты не в России живёшь. У нас тут экспертами запросто оказываются какие-то непонятные мимокрокодилы, и всех это устраивает.

Улика, если по правильному - это и есть косвенное доказательство, они не могут быть прямыми. Т.е. при наличии, улика требует интерпретации.

Нет, но они и не нужны. По скольку Вы явно намекаете на кровавую гэбню, но тоже намекну, что формальные доказательства бывают нужны не только кровавой гэбне, но и вполне себе респектабельным и высокооплачиваемым экспертам. И им то они как раз нужны. Так что ваше: «но они не нужны», говорит не о вашем остроумии, а о вашей тупости и ограниченности.

В частности мой вопрос связан не с кровавой гэбней, как вам показалось в Ваших влажных фантазиях, а с вполне разумной и утилитарной необходимостью.

А именно, есть примерно 200+ терабайт случайных данных разбросанных на носителях разного размера и типа. Есть не нулевая вероятность что некоторые из носителей являют собой зашифрованные Люкс тома. И есть необходимость минимизировать затраты по поиску именно зашифрованных томов. А вот спросить какие именно тома зашифрованы, а какие только рандомизированы, возможности нет. Так как тот кто мог сказать, погиб. На автомобиле разбился. И так уж сложилось что где-то в этих данных может быть нужная информация. Очень нужная. И опять-же, нужна она не кровавой гэбне.

Мне кажется, ты не в России живёшь. Креститься надо когда кажется.

У нас тут экспертами запросто оказываются какие-то непонятные мимокрокодилы, и всех это устраивает.

Просто надо нанимать не мимокрокодилов, а толковых экспертов. Это работает в ЛЮБОЙ стране.

Улика, если по правильному - это и есть косвенное доказательство, они не могут быть прямыми.

Если по правильному, то улики бывают прямыми и косвенными. И те и другие требуют интерпретации. Нож в руке у подозреваемого над трупом убитого этим ножом, улика прямая. Но она тоже требует интерпретации. Потому что подозреваемый мог просто вытащить нож из трупа. И вполне может убийцей не являться.

Просто надо нанимать не мимокрокодилов, а толковых экспертов.

Почему так не делали жертвы «экстремистских» статей?

Есть не нулевая вероятность что некоторые из носителей являют собой зашифрованные Люкс тома.

Ну заголовки ты уже поискал?

нужная информация

Несомненно, но ты недооцениваешь сложность подбора пароля к ключу.

Почему так не делали жертвы «экстремистских» статей?

Наверное потому что слишком тупые. Те кто поумнее «жертвами» не стали.

Нет, это доказательства прямые и косвенные. Улика - синоним косвенного доказательства.

Несомненно, но ты недооцениваешь сложность подбора пароля к ключу.

Я даже переоцениваю. Потому что пароли то как раз известны все. Их много, но это все равно проще если точно известно где зашифрованный том, а где просто мусор.

Ну заголовки ты уже поискал?

Я? Нет и не собираюсь. У каждого своя работа. Кто-то ищет заголовки, кто-то думает. Я предпочитаю получать деньги за второе.

Их много, но это все равно проще если точно известно где зашифрованный том, а где просто мусор.

Тогда не вижу проблемы. Заголовки найти легко. Находишь и перебираешь свои пароли. Если заголовков нет, то шансов у тебя тоже нет, потому что шифруются данные не паролем.

Нет, это доказательства прямые и косвенные. Улика - синоним косвенного доказательства.

Спорить на ЛОРе о интерпретации юридических терминов с анонимным оппонентом смысла не вижу. Считаешь что так? Флаг тебе в руки. У меня своё мнение.

Если заголовков нет, то шансов у тебя тоже нет, потому что шифруются данные не паролем.

Так считал один «эксперт» которого я уволил с этой работы. За тупость уволил. А то что данные шифруются не паролем по моему вполне очевидно всем кто хоть немного почитал что-то о шифровании.

Для понимания: Я описал многое, но не всё. Кто тебе сказал что тебе известно всё то-же что известно мне и твои выводы стоят хоть что-то? Я задал вполне конкретный вопрос. И получил на него, не радующий меня, но достаточно однозначный ответ. И задал я этот вопрос не только на ЛОРе. И получил тоже вполне однозначные ответы. Так что получается что я не смог минимизировать издержки. Жаль. Но не смертельно.

А то что данные шифруются не паролем по моему вполне очевидно всем кто хоть немного почитал что-то о шифровании.

И вот ты снова лоханулся. cryptsetup умеет шифровать и просто паролем, заголовком при этом не будет совсем. За что, говоришь, тебе деньги-то платят?

Если заглавия вынесены, то ты не узнаешь был ли зашифрован диск LUKS. Некоторые шифровалки дисков, даже с заглавными, найти нельзя.

некоторые из носителей являют собой зашифрованные Люкс тома. … Так как тот кто мог сказать, погиб. На автомобиле разбился. И так уж сложилось что где-то в этих данных может быть нужная информация. Очень нужная.

Ну узнаешь ты что третий диск в пятой коробке зашифрован и содержит полезные данные, а толку? Расшифровать без пароля или ключа все равно не получится.

Если домашний архив зашифрован то никак.

Если рабочий, то должен быть второй админи, который должен знать как минимум часть паролей и ключей необходимых и достаточных для нормальной работы. Должны быть резервныекопии ключей и заглавий.

Если заголовков нет, то шансов у тебя тоже нет, потому что шифруются данные не паролем.

Так считал один «эксперт» которого я уволил с этой работы.

В отношении LUKS аноним ЛОРа согласен с уволенным экспертом. Без заглавий LUKS знание паролей и пользовательских ключей бесполезно.

Так что получается что я не смог минимизировать издержки. Жаль.

А как было организовано?

И вот ты снова лоханулся.

Снова? По моему я пока ни разу не лоханулся.

cryptsetup умеет шифровать и просто паролем, заголовком при этом не будет совсем.

А вот это интересно. Не подскажешь как это сделать?

За что, говоришь, тебе деньги-то платят?

За решение задач мне платят. И я их решаю. Иногда не очень эффективно решаю. Но решаю.

Ну узнаешь ты что третий диск в пятой коробке зашифрован и содержит полезные данные, а толку?

Мне гораздо важнее узнать что оставшиеся диски в пятой коробке вообще НЕ содержат данных. Тогда это снизит время на перебор вариантов.

Если рабочий, то должен быть второй админи, который должен знать как минимум часть паролей и ключей необходимых и достаточных для нормальной работы. Должны быть резервныекопии ключей и заглавий.

Если бы в мире не было бардака и распиздяйства, то бестолковой работы было бы на порядок меньше. Как должно быть, знают очень многие, но почему-то многие этого не делают надеясь на авось. Так что как бы ни был ужасен грядущий экономический кризис, от моих услуг вряд-ли смогут отказаться. :)

В отношении LUKS аноним ЛОРа согласен с уволенным экспертом. Без заглавий LUKS знание паролей и пользовательских ключей бесполезно.

Повторю это и для тебя: Я описал многое, но не всё. Кто тебе сказал что тебе известно всё то-же что известно мне и твои выводы стоят хоть что-то? Ты можешь быть хоть 1000 раз согласен с любым экспертом, но уволен был эксперт ни за то что что-то знал или не знал, а за то что начал говорить что что-то сделать невозможно. Увольнение отрезвило остальных и решение, хоть и не самое эффективное, было найдено очень быстро. Сейчас это решение выполняется.

А как было организовано?

Во первых почему было? Это и сейчас так организовано. И выполняется. Думаю что если ты знаток в области шифрования линукс, то понять как именно организовано и почему, труда не составит. И так-же не составит труда понять о чем именно я умолчал.

Пытаетесь перебором расшифровать?

а есть варианты?

И кстати, уже есть позитивные результаты. Пока не то что нужно, но хотя-бы что-то есть. Значит путь выбран верный.

В общем тема себя исчерпала…

Удачи вам.

Спасибо.

Вы преувеличиваете важность подобных доказательств при проведении экспертиз. Суды сами решают - мнение какого эксперта принимать во внимание, а какого нет. Если вам (кому-то) актуально прятать содержимое, и на него все равно вышло следствие - значит имеются и другие данные о совершении преступления, поэтому суд с вероятностью 98% (вроде такой процент обвинительных решений в РФ) примет мнение эксперта, который подтвердит зашифрованность диска только на том основании, что он не найдет там стандартных файлов.

Нанятые же эксперты, непонятно талдычащие что-то об отсутствии заголовков LUKS на ваших дисках, вызовут лишь зевание судей.

Зашифрованные данные будут иметь энтропию, близкую к 8 бит на байт. Незашифрованный текст на английском языке будет иметь энтропию в районе 5-6 бит на байт. Разница будет легко заметна.

Утилит для оценки энтропии вагон.

Вы видимо не прочитали весь топик. Во первых речь в топике вообще не шла о сокрытии чего-то. Это только влажные мечты одного из мемберов который увидел слово шифрование и начал как для него видимо свойственно завывание о кровавой гэбне. А во вторых, в топике я явно сказал что нанимать надо грамотных экспертов.

Нанятые же эксперты, непонятно талдычащие что-то об отсутствии заголовков LUKS на ваших дисках, вызовут лишь зевание судей.

Нанятый эксперт должен не рассказывать судьям о технических деталях вызывающих зевание, а четко, аргументированно и достоверно выставлять как самого эксперта противополложной стороны, так и обвинение в целом кровавыми тиранами которые не имея НИКАКИХ оснований шьют дело на пустом месте. Обычно, если судья поставлен перед выбором присоединиться к явным кровавым тиранам и мракобесам или проигнорировать мнение эксперта который придумал якобы улику. Он выбирает проигнорировать улику. И это уже работа даже не эксперта, а адвоката. Но еще более обычно, что такая сомнительная улика просто убирается из списка улик на этапе до судебном.

Суды сами решают - мнение какого эксперта принимать во внимание, а какого нет.

Это полностью верно. Но среди судей редко попадаются такие уж идиоты которые будут вить себе петлю на шею при столь явных аргументах против. Естественно ни кто не говорит о ситуации когда судья просто куплен. В этом случае аргументация готовится не для него, а сразу для более высокой инстанции. Мало кто из обвинителей может себе позволить купить даже две судебных инстанции.

Если вам (кому-то) актуально прятать содержимое, и на него все равно вышло следствие - значит имеются и другие данные о совершении преступления

Что тоже верно. Редко бывает что единственной серьезной доказательной базой является содержимое зашифрованного диска. Обычно зашифрованный диск, а точнее его содержимое, может стать дополнительной частью обвинения. И дополнительной доказательной базой. Так что шифровать надо. И делать так чтобы зашифрованный диск не стал уликой тоже надо. Лучше если у следствия будет меньше улик чем больше.

поэтому суд с вероятностью 98% (вроде такой процент обвинительных решений в РФ) примет мнение эксперта, который подтвердит зашифрованность диска только на том основании, что он не найдет там стандартных файлов.

И про 98% про которые так любят петь ратователи за кровавую гэбню. Они обычно приводят в качестве аргумента что например в демократичном США количество обвинительных приговоров на много меньше. Верно. Меньше. Но эти ратователи, обычно стыдливо молчат о том что судебные системы в США и РФ ОЧЕНЬ разные. И что в США ни одно открытое дело не может пройти мимо суда, даже если стороны пришли к соглашению. Это соглашение тоже подтверждает в США судья. И в США даже такие соглашения идут в копилку оправдательных приговоров. А вот в РФ есть система при которой дело не доходит до суда. И соответственно в судебную статистику не попадает. Потому и всего 2 процента оправдательных приговоров. Что вполне логично. Прокурор скорее отправит слабый материал на доследование в процессе которого материал может быть даже закрыт за отсутствием состава преступления, чем отправит в суд чтобы наверняка попасть в те самые 2 процента.

Так что лично для меня. Те кто визжат про 98% обвинительных приговоров в РФ и тем более апеллируют к другому проценту в США, не более чем туповатые ограниченные ублюдки которые не могут разобраться в теме и визжат непонятно о чем. Ну или козлы-провокаторы, что еще хуже. И кстати, если сравнить статистику по США и РФ более-менее корректно, то она будет далеко не в пользу США.

И еще. Из опыта. На практике, нерасшифрованный диск даже если заведомо известно что он зашифрован, редко попадает в состав улик для суда. И уж тем более крайне редко бывает что для доказательства что диск зашифрован приглашают эксперта в суд. Это не имеет смысла. Сам факт шифрования не является чем-то предосудительными в РФ, а 51-ая статья в любом случае делает ситуацию еще более абсурдной.

Зашифрованные данные будут иметь энтропию, близкую к 8 бит на байт. Незашифрованный текст на английском языке будет иметь энтропию в районе 5-6 бит на байт. Разница будет легко заметна.

Это как я понимаю для текста. Для смешанных данных в том числе и бинарных данное правило работать не будет. Я верно понял?

Для этого нужен гомотелепат!

Зашифрованные данные будут иметь энтропию, близкую к 8 бит на байт. Незашифрованный текст на английском языке будет иметь энтропию в районе 5-6 бит на байт. Разница будет легко заметна.

Я с первого раза видимо не до конца верно понял то что вы написали. Вы сравниваете энтропию НЕ зашифрованных данных и зашифрованных. Это в задаче не стоит вообще. Сравнение идет между зашифрованными данными и превдорандомизированным потоком.

нанимать надо грамотных экспертов

Именно к этому я говорил - грамотность эксперта имеет самое минимальное значение при обвинительном уклоне следствия и суда.

эксперт должен не рассказывать судьям о технических деталях вызывающих зевание, а четко, аргументированно и достоверно выставлять как самого эксперта противополложной стороны, так и обвинение в целом кровавыми тиранами которые не имея НИКАКИХ оснований шьют дело на пустом месте.

..тем более если эксперт займется подобной фигней. Роль эксперта в судебном процессе - не размахивать флагами. Эксперт не должен и вообще не имеет права выходить за рамки своей специальности и конкретного вопроса - исследования диска на предмет зашифрованности.

Но среди судей редко попадаются такие уж идиоты которые будут вить себе петлю на шею при столь явных аргументах против.

Вы сейчас о какой стране говорите? Судья совьет себе петлю если проигнорирует мнение эксперта со стороны обвинения - т.е. государства.

На практике, нерасшифрованный диск даже если заведомо известно что он зашифрован, редко попадает в состав улик для суда.

Это только потому, что мало количество дел, где имеет значение зашифрованность. Фактически это всего три категории дел - ЦП, госизмена, экстремизм. По сравнению с количеством «неуловимых Джо» - любителей шифроваться - это почти ничего.

И уж тем более крайне редко бывает что для доказательства что диск зашифрован приглашают эксперта в суд. Это не имеет смысла. Сам факт шифрования не является чем-то предосудительными в РФ

Правильно. Тем более если вы (не вы) вдруг попадете под одну из этих трех вышеперчисленных категорий - на вас будут другие улики и отсутствие на вашем диске файлов популярной ОС, фоток котиков и селфи, переписок с телками, неважно, есть ли там заголовок LUKS и какова энтропия мусора - пойдет как оттягчающий факт и будет принято во внимание только мнение эксперта о зашифрованности диска. Потому что для суда налицо будет попытка скрыть что-то техническими средствами. Хоть это и не будет определяющей уликой.

Поэтому, если хотите совместить своего «неуловимого Джо» с мало-мальски осмысленной реальностью - думайте о стеганографии, а не о сокрытии факта шифрования убиранием заголовков и бессмысленной надежде на нанятых экспертов. Диск у вас не должен ничем отличаться от дисков обычных тусовщиков вашего возраста и это единственное, что может оказаться аргументом в вашу (не вашу) пользу.

Потому что для суда налицо будет попытка скрыть что-то техническими средствами. Хоть это и не будет определяющей уликой.

Если говорим про РФ, то формально зашифрованность вообще вряд ли может быть уликой в чем-либо.

Отчего же, это для суда будет признаком того, что обвиняемый вел противоправную деятельность. В судебном процессе есть такое понятие: «всесторонний учет обстоятельств по делу». Пару цитат:

«суд для вынесения законного решения должен узнать все жизненные факты и явления действительности, которые фактически образуют основу для применения тех или иных норм права.»

«объектом исследования суда становятся факты или совокупность фактов, которые сами по себе не являются юридическими, но в совокупности могут повлечь наступление определенных правовых последствий. Это так называемые, доказательственные факты, при помощи которых устанавливается искомый юридический факт. Вышеперечисленные факты, т.е. юридические факты материально-правового характера и доказательственные факты, образуют предмет доказывания по делу.»

То есть, хотя сам факт шифрования диска никакого значения сам по себе не имеет, в совокупности с прочими фактами он послужит для более убедительной и более тяжелой квалификации по делу. Шифрование будет значит, что подозреваемый осознавал противоправность своих действий и принимал меры для сокрытия улик.

есть ссылки на дела, где все написано именно так, или ты выдумываешь, как это в таких ситациях постоянно бывает?

Это полностью верно. Но среди судей редко попадаются такие уж идиоты которые будут вить себе петлю на шею при столь явных аргументах против. Естественно ни кто не говорит о ситуации когда судья просто куплен. В этом случае аргументация готовится не для него, а сразу для более высокой инстанции. Мало кто из обвинителей может себе позволить купить даже две судебных инстанции.

У вас какие-то розовопоняшные представления о российской судебной системе. В ней сейчас практически любой оправдательный приговор - это подозрение судьи в коррумпированности. Кроме того, еще и оргвыводы против следователей за плохую работу, а значит порча отношений с ними, которые еще могут быть и бывшими коллегами и вообще хорошими ребятами. Не говоря даже про такую мелочь, как что судье придется напрягать мозг и писать самому протокол, а не копипастить обвинение.

И про 98% про которые так любят петь ратователи за кровавую гэбню. Они обычно приводят в качестве аргумента что например в демократичном США количество обвинительных приговоров на много меньше. Верно. Меньше. Но эти ратователи, обычно стыдливо молчат о том что судебные системы в США и РФ ОЧЕНЬ разные.

А почему сразу сравнение с США, а не с Россией же в разные годы? Сейчас, кстати, оправдательных приговоров не 2%, а всего 0.2% если не меньше. На практике «оправдательным» уже считается, если обвиняемый получает меньше низшего предела, особенно если после приговора выходит на волю с зачетом срока, проведенного в СИЗО.

И не надо втирать про какое-то офигительное качество следствия, конечно действительно не все до суда добирается, но достаточно хотя бы немного обращать внимание на то, что до новостей доходит. Вот хотя бы несколько примеров:

дело Голунова - если бы не шум на весь мир, сидел бы он как миленький. Да даже шум бы не помог, но видимо удачно вписался в какие-то внутриклановые полицейские разборки.

тренер, которого посадили за педофилию, за то что рядом с девочкой сидел. Даже видео есть в сети, где видно, что он ничего такого не делал. Шум, возмущения, откровенно натянутое дело, но сел как миленький.

отец девочки, которого усадили за педофилию, потому что экспертке (как потом много позже выяснилось любительнице BDSM) показалось, что кошачий хвост на рисунке девочке - это член. Опять же возмущения общественности очевидно абсурдным судилищем и сидит.

дело Поносова, которого в итоге оправдали, но после нескольких кругов злоключений, слов самого Президента про чепуху, и то не сразу. И был это лет 10 назад, сейчас система еще меньше допускает оправдательных приговоров.

дело Богатова, с которого в итоге сняли обвинения, но после опять же общественного шума и найдя, кого вместо него посадить - кого-то с форума сисадминов и очень похоже, что также бездоказательно, вот только за того человека уже вписываться мало кто стал.

дело Hрвого величия, состряпанное провокаторами. Когда провокатор фактически создал организацию, он же написал ее экcтpемистский устав, оплачивал и организовывал помещения и собрания, другой провокатор организовывал какие-то тренировки. По всем нормальным нормам провокации запрещены и людей должны были бы освободить, вместо этого их засудили.

Суды запросто игнорируют аргументы защиты, теряют те, что включили в дело, а эксперты на практике бывают даже не пытаются ничего исследовать. Известны случаи, когда грубо изымали компьютерное оборудование, приводя его в негодность, но экспертов это не смущало. Как не смущало например найти винду на сановском серваке.

О чем тут говорить, когда суды официально не устанавливают истину и это считается нормальным? Как бы не ругали советские порядки, но они были в этом вопросе сильно честнее, суды тогда официально устанавливали истину, насколько это получалось.

Вообще-то это основы. Какой именно момент из сказанного вызвал у вас сомнения?

Учитывая то, что каждый второй человек держит зачем-то у себя разделы с выхлопом из /dev/urandom, ага. Не порите чушь, человеку нужны стегоразделы или шифрование с двойным дном.