Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Linux Autres OS Linux Debian Choix pour des volumes chiffrés

Choix pour des volumes chiffrés

19 réponses
Avatar
David BERCOT
Bonjour,

Sur une machine, je souhaiterais mettre en place des volumes chiffr=C3=A9s.
Apparemment, l'id=C3=A9al consiste =C3=A0 chiffrer toutes les partitions (/,
swap, /home, voire d'autres), sauf /boot.

Maintenant, l'installer de Debian propose d'utiliser LVM pour cr=C3=A9er un
volume global (tout sauf /boot) et d=C3=A9couper ensuite ce volume. Soit.

A la base, je pensais simplement chiffrer /home mais ce n'est pas tr=C3=A8s
"secure". Je peux =C3=A9galement faire 3 partitions (en plus de /boot)
s=C3=A9par=C3=A9es /, swap & /home et chiffrer chacune d'elles.

Y a-t-il des diff=C3=A9rences importantes entre ces m=C3=A9thodes ? Des
contraintes li=C3=A9es =C3=A0 l'une d'elles ? Bref, tout conseil en la mati=
=C3=A8re
sera le bienvenu ;-)

Merci d'avance.

David.

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org
Archive: http://lists.debian.org/20111129152339.332cdaa0@debian-david
Signaler un problème avec ce contenu

9 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2
Avatar
J
Le mardi 29 novembre 2011 à 15:23 +0100, David BERCOT a écrit :
Bonjour,

Sur une machine, je souhaiterais mettre en place des volumes chiffrés.
Apparemment, l'idéal consiste à chiffrer toutes les partitions (/,
swap, /home, voire d'autres), sauf /boot.



Si c'est une question de sécurité, le principal est là ou sont les
données. Ensuite il s'agit de savoir contre quoi tu veux te protéger
(la sécurité c'est connaître son niveau de parano).

S'il s'agit de protéger tes données contre un vol d'ordinateur, il faut
crypter les partitions (ou dossiers) contenant tes données sensibles, à
savoir :

/home et tout ce qui peut contenir tes données donc :

/tmp sauf si tu n'utilise que la mémoire

/var/mail et /var/spool /var/www peuvent contenir des choses tout aussi
importantes que dans /home, selon ton usage.

Si tu crypte tout, forcément le voleur n'aura accès à rien, mais tu es
déjà dans un niveau de parano plus élevé ;)

Bien sûr, le cryptage du disque ne protège pas l'ordinateur en
fonctionnement dès lors que tu as monté la partition/dossier crypté.

Il doit y avoir de la doc qui traîne un peu partout sur le sujet
y compris le "Manuel de sécurisation de Debian" (qui ne doit pas être à
la pointe mais contient des bonnes choses de base).




--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Avatar
Papinux
Le Tue, 29 Nov 2011 18:25:49 +0100, Jean-Yves F. Barbier a écrit :

On Tue, 29 Nov 2011 17:18:02 +0100
David BERCOT wrote:

> Mais bon, on est d'accord sur le fait que le principal (pour moi),
> c'est /home.
>

Ok

> Non, pas tout à fait ! En effet, chiffrer /home et SWAP est suffisant
> sur le papier. Mais ça apporte déjà la contrainte d'avoir 2 parti tions
> et donc 2 phrases à saisir au boot. En LVM (je mets en parallèle LVM
> et des partitions "classiques"), je n'en ai qu'une...

Rien ne t'empêche d'y mettre la même phrase... Mais il est évident
que tu ne pourras faire autrement que de la saisir 2 fois.

Il faudrait V. ce que disent les sites spécialisés parce qu'avec les
anciens systèmes on pouvait déporter la clé d'encryption sur une cl é
USB qu'il suffisait de plugger au moment du boot ou avant.



C'est ce que j'utilise. Par forcément la technique expliquée
ci-dessous qui est plus simple que celle j'utilise:
http://binblog.info/2008/12/04/using-a-usb-key-for-the-luks-passphrase/

ou encore http://blog.nibbles.fr/162

[...]


--
Px

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Avatar
Nicolas Bercher
De : Goldy
Swap peut être chiffré avec une clé aléatoire qui sera réinitialisée à
chaque démarrage de la machine. Ainsi il est possible d'avoir une
partition home et une partition swap chiffrée sans nécessairement devoir
saisir deux phr ases de passe.



J'imagine qu'il n'est alors plus possible de mettre la machine en hibernation sur swap?

Nicolas


--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Avatar
Guy Roussin
Maintenant, l'installer de Debian propose d'utiliser LVM pour créer un
volume global (tout sauf /boot) et découper ensuite ce volume. Soit.


Pourquoi un /boot séparé ? depuis le support de lvm, raid, ... par grub2
je ne fais plus de /boot séparé.
grub2 ne supporte pas les volumes chiffrés ?
Guy

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Avatar
Damien Clauzel
This is an OpenPGP/MIME signed message (RFC 2440 and 3156)
--------------enig4BE7CC9BE9CA01BF0C859193
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

Le 30/11/2011 10:59, Nicolas Bercher a écrit :

J'imagine qu'il n'est alors plus possible de mettre la machine en hiber nation sur swap?


Sisi, l’initramfs lance des scripts pour ouvrir les volumes, et e nsuite
charge les données d’hibernation pour les restaurer.

Damien
--
Save the seals, save the world


--------------enig4BE7CC9BE9CA01BF0C859193
Content-Type: application/pgp-signature; name="signature.asc"
Content-Description: OpenPGP digital signature
Content-Disposition: attachment; filename="signature.asc"

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.11 (GNU/Linux)

iEYEARECAAYFAk7WhbwACgkQhYdoxggWsGd8cACg3PLiUlWoI/U8VjmyFFigFMoJ
i/gAoLs8ouGGZSGDnmrXyVu7EsmTbtRR
=AQPt
-----END PGP SIGNATURE-----

--------------enig4BE7CC9BE9CA01BF0C859193--

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Avatar
Sylvain L. Sauvage
Le mardi 29 novembre 2011 à 18:25:49, Jean-Yves F. Barbier a
écrit :
[…]
Pour ce qui est de /tmp & /var/tmp, les encrypter n'offre un
intérêt que si ce ne sont pas des partitions à part et si tu
travailles sur de très gros documents.



Euh, il dit qu’il voit pas ce qui invaliderait l’utilit é du
chiffrage si /tmp et /var/tmp sont à part (sauf si tu pensais
plutôt au cas où ces répertoires sont en tmpfs). Et je compr ends
encore moins tes idées sur les petits documents…

--
Sylvain Sauvage

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Avatar
Damien Clauzel
This is an OpenPGP/MIME signed message (RFC 2440 and 3156)
--------------enigCF2155DD36CFBE17416C42D6
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

Le 29/11/2011 16:32, jerome moliere a écrit :
Quitte à faire bondir certains ,je ne vois guère l'intér êt d'aller
chiffrer des partitions comme /usr par exemple , avec du logiciel
libre chiffrer le contenu de binaires disponibles en open source me
parait limite crétin...


Il faut chiffrer / tout simplement pour éviter que quelqu’un puisse
démarrer ton système via une clé USB, modifier tes binaire s et
compromettre tes données.

Par exemple, on peut :
- remplacer ta version de login par une qui envoi par courriel les mots
de passe
- installer un keylogueur ou un cheval de Troie sur ta machine (coucou
la DCRI et la police qui peuvent désormais faire ça sans ré elles
contraintes juridiques)

Bref, si tes données son immédiatement inaccessibles, elles ne sont pas
pour autant en sécurité.

De la même façon, avoir son /boot en clair sur la machine est u ne faille
de sécurité : rien n’empêche l’attaquant d e remplacer ton initramfs par
le sien, qui installera alors ses cochonneries lors de ton prochain
démarrage réussi.

Bref, soit il faut conserver son /boot dans un endroit sur (clé USB dans
sa poche ?), soit appeler très tôt un script situé dans so n volume
chiffré (donc fiable) afin de vérifier que l’initramfs et le noyau
utilisés sont bien les siens (comparaison de checksum ?). Le cas
échéant, le script éteint la machine en catastrophe.

Bon courage :)

Damien

--
Save the seals, save the world


--------------enigCF2155DD36CFBE17416C42D6
Content-Type: application/pgp-signature; name="signature.asc"
Content-Description: OpenPGP digital signature
Content-Disposition: attachment; filename="signature.asc"

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.11 (GNU/Linux)

iEYEARECAAYFAk7WhVQACgkQhYdoxggWsGf6+wCgx3z77HYLJfpd3FDhbR+hj4FW
Q1EAoLqoD9MJz41HgkXpyzzd5TqhNhQ2
=gIKf
-----END PGP SIGNATURE-----

--------------enigCF2155DD36CFBE17416C42D6--

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Avatar
Yves Rutschle
On Wed, Nov 30, 2011 at 08:34:44PM +0100, Damien Clauzel wrote:
Il faut chiffrer / tout simplement pour éviter que quelqu'un puisse
démarrer ton système via une clé USB, modifier tes binaires et
compromettre tes données.



Ce dont tu parles est un problème d'intégrité, pas de
confidentialité. Le chiffrement, ça sert à protéger la
confidentialité. Pour se protéger de l'attaque que tu
suggères, il faut utiliser des systèmes comme TPM.

De la même façon, avoir son /boot en clair sur la machine est une faille
de sécurité : rien n'empêche l'attaquant de remplacer ton initramfs par
le sien, qui installera alors ses cochonneries lors de ton prochain
démarrage réussi.



Ton BIOS n'étant pas protégé, ton chiffrement de /boot ne
sert à rien: rien n'empêche l'attaquant de remplacer ton
BIOS par le sien.

Y.

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
Avatar
Sébastien NOBILI
Bonjour,

Le mercredi 30 novembre 2011 à 8:20, Papinux a écrit :
C'est ce que j'utilise. Par forcément la technique expliquée
ci-dessous qui est plus simple que celle j'utilise:
http://binblog.info/2008/12/04/using-a-usb-key-for-the-luks-passphrase/

ou encore http://blog.nibbles.fr/162



Personnellement, j'ai chiffré /, SWAP et /home. Au boot, je saisis la passphrase
qui permet de déchiffrer /, qui contient la clé permettant de déchiffrer /home.
Elle est alors déchiffrée automatiquement et ça m'évite l'usage d'une clé USB.

Le chemin vers la clé pour /home se trouve dans /etc/crypttab.

Seb

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS
Archive: http://lists.debian.org/
1 2