Newsgroup: it.comp.sicurezza.crittografia
Titolo: Crittografia SO senza preboot

Ciao,
qualcuno mi sa consigliare un prodotto, va bene sia free che commercale, che
mi consenta di
crittografare l'intero HD, il sistema operativo (windowsXP) in maniera
trasparente e non necessiti
dell'autenticazione preboot??
Questa caratteristica mi è indispensabile perchè devo evitare che in caso di
spegnimento della
macchina e successivo riavvio in automatico rimanga bloccatta sul preboot e
non carichi
di conseguenza i servizi.
Grazie a tutti.

 -----END PGP SIGNATURE-----

 sistema
Eh no... se non metti la password i files crittati non possono per
definizione essere letti quindi la macchina NON parte, perché non può
leggere neanche i file di sistema che servono a lanciare i servizi stessi.
E ammesso che i servizi fossero su una partizione in chiaro e i dati
sulla partizione crittata i servizi si ritroverebbero comunque senza
accesso ai dati... e in genere un servizio serve proprio a dare accesso
a dei dati, no?
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkFvz/AACgkQaJiCLMjyUvvX0wCgiB6SdMRWGfqPABHA6vA3/CuV
RHUAoJ9l0geGiQ3AxGfN4drjOmAciKLu
=U0sY
-----END PGP SIGNATURE-----

 a dei dati, no?
Non esiste solo l'autenticazione tramite id e pass, pensa ad esempio ai
token.
Sul token è scritta la passphrase necessaria  e il preboot del software che
cripta
se la va a leggere senza  chiedere nulla a nessuno (a meno che si setti il
sistema
per la duplice autenticazione token + pass). Vista l'impossibilita di
gestire
token di qualsiasi tipo sulle appliance in cui deve implementare questa
soluzione,
devo necessariamente trovare una soluzione che vada a scrivere da qualche
parte
sull'HD (magari nell'MBR) cioè che di solito viene scritto nel token e che
dica al
preboot di andarsela a prendere da solo. In questo modo dovrei ottenere ciò
che desidero.
La cosa è fattibile mi è stato confermato dal personale di
http://www.ce-infosys.com.sg
,
solo che vogliono una bella vagonata di soldi per fare la personalizzazione.
Ti ringrazio per l'aiuto, se hai qualche altra idea, suggerimento o
correzione
è ben accetta. Saluti


 preboot di andarsela a prendere da solo.
A prescidnere dal MODO in cui salvi la chiave su disco, se la chiave è
su disco, allora è fondamentalmente inutile crittare il disco... è come
mettere un giga-lucchetto e poi mettere la chiave sotto lo zerbino.
O non ho capito assolutamente quello di cui stai parlando, oppure nno
vedo alternative "sicure".
Lapo
BTW: non conosco questa infosys, ma l'affermazione "lo dice una ditta
quidni è vero", sopratutto in crittografia, è spesso fallace...
sopratutto quando lo scopo principale di questa ditta è guadagnare
vendendoti qualcosa, e non la tua sicurezza in sé.
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkFw5iYACgkQaJiCLMjyUvu6dACgpHrqJhA0Fw7PyZQssine1B/+
ozQAn0xFaNW3dl63psjX4ahCN0krbX/U
=BL6d
-----END PGP SIGNATURE-----

 vedo alternative "sicure".
Io non sono del settore ma mi sembra che esistono dei sistemi basati su 
autenticazione ad esempio di una chiavetta USB. Se ad esempio il sistema 
al boot va a leggere sulla chiavetta la password poi l'utente può 
staccare la chiavetta ed essere sicuro che l'harddisk è al sicuro. Al 
boot se la chiavetta (che può essere anche un altro sistema fisico, 
penso ad esempio alle smartcard) è inserita il sistema non chiederà 
nessuna password.
Può darsi che tutto questo non è implementabile al boot ma credo di no. 
Ormai anche i bios fanno quasi tutto prima che si avvii il SO.

 autenticazione ad esempio di una chiavetta USB.
La crittografia del disco rigido serve per evitare attacchi "in loco",
non certo per evitare attacchi da remoto.. e se uno è in loco, già che
si sta rubando l'HDD non ci mette né 1 né 2 a rubare anche la chiavetta...
E se la richiesta è che nno debba esserci un operatore locale che possa
battere la password al riavvio, direi che non si può neanche pretendere
che ci sia un operatore locale ad inserire la chiavetta (e poi a
richiuderla in cassaforte, in caso).
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
http://www.megatokyo.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkFxhhYACgkQaJiCLMjyUvsdcQCg5p0PfmrLdkd0XLow9TeRF4X5
2WMAoN17B/QFtCKIOvf0NYymbi2dKrg6
=Hqr5
-----END PGP SIGNATURE-----

 che desidero.
Il problema č chiaramente quello indicato da Lapo, un'idea idiota per
ovviare č legare il programmino di boot (o preboot, come lo chiami tu) al
computer, in modo che l'hardisk non si possa avviare correttamente su
un'altra macchina.
Il problema princiapale, perň, č che la chiave (anche se codificata) č
scritta nell'hardsik, cosě come pure il programma di preboot. Forse il
metodo ferma un incompetente, ma non certo uno che si č preso la briga di
rubare un harddisk.
L'unico modo che mi viene in mente per legare il boot alla macchina č
sfruttare i dati memorizzati nel cmos del bios, ma č una vecchia tecnica
di protezione.
Bye, Giubbe