Newsgroup: it.comp.os.linux.sys
Titolo: Dischi criptati via Samba

Ciao a tutti!
 
Ho questo problema: su un Server, qui in ufficio, e' installato Samba.
Ovviamente c'e' tutta la pletora di utenti con diritti vari, quindi uno
sviluppatore NON puo' accedere ad uno share dei contafagioli (e viceversa).
 
Ma un SysAdmin (io, per gli amici) ha ovviamente, via SSH, accesso a tutto
il disco...
 
Ora, il capo vorrebbe che una certa directory, accessibile via Samba ai
contafagioli, NON possa neanche venire letta, via SSH, dal SysAdmin.
 
La mia prima idea era di usare un file contenente un disco criptato
GPG/PGP, ma come gestire gli accessi simultanei?
 
Altre idee non ne conosco. Qualcuno puo' consigliarmi qualcosa?
 
I Server usano Ubuntu Server 10.04, mentre i clients Windows XP.
 
Grazie mille
Luca Bertoncello
(
luca...@lucabert.de
)
 
-- 
 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it
 
 
 

Altre idee non ne conosco. Qualcuno puo' consigliarmi qualcosa?
Ci sono progetti sperimentali di file shared, ma criptati usando algoritmi
omomorfici che consentono di fare crypt e share. Ma e' tutta roba beta, in
quasi tutti i casi non c'e' supporto per XP.
Prova a vedere 
http://www.entrust.com/groupshare/
 - non c'entra niente con
Linux, usa Samba solo come supporto.
Altrimenti... siediti. Se hai un rosario, dell'acqua santa, tirale fuori -
ma i superalcoolici sono meglio.
Ecco, ora leggi qua.
http://technet.microsoft.com/library/bb457116.aspx#EHAA
Crei una "share DAV", non via Samba. E ci metti sopra dei file criptati in
XP con EFS. A quel punto ci accedi **SOLO** da Windows. Lato server, monti
Apache, mod_dav, auth_digest... vedi:
http://httpd.apache.org/docs/2.2/mod/mod_dav.html
Leonardo
-- 
Surstangas via akcipitr', la cxeval' fojnumas nur:
Jen vigla damo en brakum', kaj vi pensas pri forkur'?
Do li turnis sin, kaj turnis sin, kaj ekdormis sen singard';
Kaj lin apudis je l' vekigx, soldatoj kaj Barnard'.

 Apache, mod_dav, auth_digest... vedi:
OK, mi potrebbe anche andare bene, ma il problema principale rimane: "cosa
succede se piu' utenti da macchine diverse e contemporaneamente accedono
allo stesso disco criptato?".
Grazie



IMHO in uno scenario così gli accessi simultanei non riuscirai mai a 
garantirli, almeno non col software che conosco io
Ma un bel NDA?
Praticamente ti chiedono di fare un'operazione al cuore senza togliere i 
vestiti al malato ...
 
L'unica alternativa che posso pensare è :
Tu installi e configuri una macchina dedicata per fare da file server 
per sta gente, alla consegna cambiano la pass di root, ti firmano una 
bella liberatoria e che succeda quel che succeda
 
Le cose dei pazzi ... :)
 
-- 
I fatti mi cosano

allo stesso disco criptato?".
Niente. Se accedono allo stesso FILE, vanno in conflitto; come lo risolve
DAV e lo strato applicativo dipende da quest'ultimo. Se documenti Word ad
esempio gli compare il dialog box "O brodo! Il documento e' in uso!...'sa
fo? Apro read only, faccio una copia...?".
Altre applicazioni invece non t'avvertono e fanno danno e altre ancora ti
sovrascrivono il file con la versione piu' recente.
MA se sotto DAV tu ci metti Subversion, almeno un po' rimedi.


 Altre idee non ne conosco. Qualcuno puo' consigliarmi qualcosa?
PGP Netshare:
http://www.symantec.com/business/netshare

 bella liberatoria e che succeda quel che succeda
Alla fine ho proposto proprio questo e mi sa che verra' fatto cosi'...
Appena il capo torna dalle ferie, ovviamente... E se non tenta
(nuovamente) di insabbiare il tutto... :(
Ciao



La mia non � esattamente una risposta, per� ricordo una suite di HP-UX
che risolveva questo genere di problemi, legati alla privacy dei dati.
In poche parole, un utente speciale poteva negare i permessi anche a root.
Presuppongo un sacco di modifiche a livello di chiamate di sistema, per 
poterlo realizzare.
Poi un servizio apposito rimaneva in esecuzione, e SOLO quell'utente 
speciale poteva fermarlo, nemmeno un kill funzionava.
Solo l'installazione veniva fatta da root, ma una volta creato 
l'ambiente, root non era pi� "dio".
Ovviamente non c'� "su - utentespeciale" che tenga.
Non riesco a ricordare come si chiama, comunque causava non pochi 
problemi di manutenzione.


 Altre idee non ne conosco. Qualcuno puo' consigliarmi qualcosa?
Posto che LA soluzione e` NDA, mi vengono in mente tre possibili 
alternative:
ACL/XATTR:
Provi ad impostare una ACL in cui neghi l'accesso a root e a rendere 
immutabile la directory, ma dubito fortemente che funzioni
Samba + LUKS:
Imposti un disco criptato in modo che venga montato non appena l'utente fa 
richiesta della share (non so pero` se e come sia possibile passare la 
passphrase)
SELinux:
Imposti un set di regole in modo tale che solo gli utenti che servono a te 
possano utilizzare quella directory
In particolare, se decidi di utilizzare l'ultima opzione (anche perche` MAC 
nasce pure per questo tipo di attivita`), ti consiglio di implementare il 
tutto con una RHEL o derivata (CentOS o Scientific Linux), in quanto 
l'implementazione e gestione e` molto piu` matura rispetto alle altre 
distribuzioni (non so se qualche altra distribuzione abbia copiato le 
regole di SELinux impostate in RHEL)
Enrico