Newsgroup: it.lavoro.informatica
Titolo: crittografare o non crittografare

Questo è il problema.
Se sia meglio contare su prestazioni e semplicità
di dati in chiaro, oppure armati di TrueCrypt e LUKS
reinstallare sistemi operativi, cifrare chiavette,
digitare password assurde.
Siete pronti a farvi rubare il notebook?
-- 
Enos

 wrote:

io uso keepassx per il db delle password che è criptato, più un volume
truecrypt per cose particolarmente sensibili ma più che altro perchè è su
dropbox. il resto è tutto in chiaro, quindi direi che non sono pronto. 
-- 
from iPad



Si (*sgrat* *sgrat*).
Quando faccio assistenza ai clienti mi devo portare il netbook con i dati
relativi (password di rete, domini, etc etc), criptati con TrueCrypt con
una password di oltre 20 caratteri (niente nomi o compleanni), in un file
assolutamente anonimo.
Se mi rubassero il pc, evento che quando sei in giro in una città come
Milano magari in orari non di punta ha una sua probabilità, a parte il
danno economico e l'incazzatura non avrei altri problemi.
PaF

 ha scritto:

la soluzione sta in mezzo: devi crittografare solo una parte del
filesystem.
Nel caso di un Linux applicherai la crittografia solo sulla partizione
home e questa operazione non richiede la reinstallazione del sistema
operativo.
Non vorrai mica crittografare la /usr e la /bin?
Nel caso di un windows so cazzi vostri che avete deciso di usare quel
sistema! :)
Comunque, anche in Windows, puoi tenere tutti i dati utente sul disco
D, che sarà criptato. Mi pare che in windows la directory di base degli
utenti possa essere spostata senza troppi problemi.
-- 
Wikipedia Admin: "wikipedia non è un blog"
Iosif Stalin: "i compagni hanno scambiato il partito per un circolo di
discussione"

 ha scritto:

Anche io uso keepassx e anche io uso dropbox.
Ma, amico, chi accede al tuo account sul notebook accederà
automaticamente anche al tuo account dropbox. Quindi, una volta
modificata la tua password locale (ci vuole poco per questo) potranno
rubarti i dati su Dropbox.
Pertanto, non appena ti hanno fregato il notebook dovrai ricordarti di
cambiare subito la password di dropbox.
A me invece ciò che crea più problemi è il telefono con Android.
Chi mi frega il telefono si ritroverà collegato al mio account Dropbox
e al DB delle password della versione di keepassx per android
(keepassdroid).


 cambiare subito la password di dropbox.
posso anche prendermela comoda, visto che il ladro avrebbe comunque
tutti i dati su dropbox comodamente replicati sul portatile che ha
appena rubato :)

 ha scritto:

ah già ... hai ragione porco boia!!!
Anzi a quel punto ti conviene mantenere la password integra e
cancellare quindi tutti i dati su Dropbox.
A quel punto chi entra nel tuo notebook si sincronizzerebbe su dropbox
ed eliminerebbe quindi tutti i dati salvati localmente :-)
p.s.: mi ero confuso un attimo con la versione Android di dropbox, che
scarica i dati solo on-demand, quando ci clicchi sopra.


 assolutamente anonimo.
beh questo è il minimo sindacale giusto per non buttarsi sotto un
treno dopo il furto :)
ci sono anche i sorgenti, documenti, la posta elettronica.
io per dire le password dei clienti evito per quanto possibile di
salvarle nel mio portatile (uno di questi clienti lo vieta
espressamente). gli accessi ssh ad esempio sempre e rigorosamente per
chiave pubblica/privata, così se succede qualcosa il cliente
disabilita la chiave sul server e si dorme tutti più tranquilli.
direi che il problema c'è e non è banale.

 ed eliminerebbe quindi tutti i dati salvati localmente :-)
eh questa non sarebbe male :)

 Non vorrai mica crittografare la /usr e la /bin?
Ni... come ti difendi dal "collega" che installa un rootkit (o 
sostituisce un eseguibile con un keylogger) e rimette a posto il pc? 
Deve solo pazientare fino al tuo prossimo accesso.
-- 
Enos

 disabilita la chiave sul server e si dorme tutti più tranquilli.
In cosa differisce dalla modifica della password personale?
A meno che non stiano usando password condivise, per cui meritano che 
gli violino il sistema informatico... e pure la fidanzata :-)
-- 
Enos

 In cosa differisce dalla modifica della password personale?
nel fatto che la password non la devi digitare, quindi non memorizzare
e/o salvare in modo da averla sempre dietro :)
comunque si, ci sono anche account condivisi.

 Max_Adamo wrote:

stavamo parlando di furto del PC e di protezione dei tuoi dati
personali. 
Tu hai scritto: "Siete pronti a farvi rubare il notebook?"
In questo caso criptare la home è sufficiente e criptare tutto il resto
non da alcun valore aggiunto alla protezione.


 
ma tu parlavi di un rootkit, inteso come "affare" che legge la password
che tu inserisci al boot per montare la partizione home?
Scusa, ma prima di inventarci ipotetici accrocchi, dovremmo verificare
che questa cosa esista e sia in qualche modo realizzabile.
Mettiamo che il collega metta qualcosa che salti il mount, ma che ti
faccia apparire un prompt analogo dove tu inserisci la password, e
poniamo caso, gliela spedisce per mail non appena il PC è collegato
alla rete.
Scusami, ma qualcuno potrebbe farti fare il boot su un OS che non è
realmente il tuo. A un certo punto ti comparirebbe una richiesta per
inserire la password per montare tutte le partizioni, ma in realtà stai
solo inserendo la password per poi inviarla ad una mail.
Stiamo fantasticando un po' troppo secondo me.....



/home cifrata con encfs e montata con pam_mount
Tutti i dati dei clienti e i progetti ovviamente in /home
Non è a prova di attacco nucleare, lo so, ma mi fa sentire 
sufficientemente sicuro vista la sensibilità dei dati che tratto
In compenso ho dovuto cambiare l'hdd del portatile da 5400rpm a 7200rpm :|
M

> Siete pronti a farvi rubare il notebook?
NO! Proprio adesso che ho seguito con grandissima soddisfazione il
consiglio di PaF per l'hd.
Comunque, a parte l'hardware si, dovrei essere pronto visto che tengo
tutti i dati importanti in un file truecrypt (sorgenti, DB, password,
email....). Credo che chi lo ruba non farà altro che cancellare quel
file e godersi il portatile... anche se... c'è anche un regalino
dentro.. quindi sarà meglio che lo formatti...

 realmente il tuo [...]
Vero... criptare la root complica la vita all'attaccante, ma dà una 
falsa sicurezza. Reinstallerò criptando solo /var e /home - grazie per 
la sveglia.
Ciao
-- 
Enos

 dentro.. quindi sarà meglio che lo formatti...
Qualcosa del tipo "sorridi, sei su Candid Camera" ? :-)
-- 
Enos

> Qualcosa del tipo "sorridi, sei su Candid Camera" ? :-)
una specie.. ti manda l'ip quando ti connetti.. ma sono sicuro che è
totalmente inutile visto che la pwd dell'utente il ladro non ce l'ha e
farà mooolto prima a ripristinare il SO da zero.
La sicurezza maggiore si ha solo tenendolo ben stretto, qualche anno
fa (ma sono sicuro che succede anche oggi) ad un convegno IT
svaligiarono un bel numero di auto nel parcheggio dell'albergo che li
ospitava a caccia di portatili, ed il bottino fu buono visto che so di
almeno due colleghi che se lo sono visto portare via...

 ci sono anche i sorgenti, documenti, la posta elettronica.
I sorgenti non sono sulla macchina che porto in giro, per cui il problema
non si pone, i documenti sono nello stesso file criptato, la posta č
l'unica area non criptata, ma le mail sensibili le archivio sempre nella
stessa area criptata, togliendole dal client di posta.
Nel caso malaugurato dovrei cambiare le password degli account di posta,
recuperabili dal client medesimo (mostra password...), in effetti potrei
mettere anche il mio thunderbird portable su un volume trucrypt !
PaF

 consiglio di PaF per l'hd.
Preso anche tu il disco SSD ?
Io ora quando devo usare un pc con hard disk "classico" ho l'impressione di
passare ad un Intel 386 ! La velocità è come un droga, diventi dipendente !
PaF

> passare ad un Intel 386 ! La velocit come un droga, diventi dipendente !
si si, è una cosa impressionante, credo siano 15 anni che volevo un pc
come questo (che è sempre lo stesso di 2 anni fa!).
Per chi lo usa per lavoro come noi credo che sia un investimento che
si ripaga molto in fretta : sia per i tempi nudi e crudi per fare le
cose che per il benessere del fegato. Anzi, a dire il vero è più per
il fegato.

 farà mooolto prima a ripristinare il SO da zero.
La password dell'utente è assolutamente banale da craccare. Sia in
Linux, sia in Windows.
In Linux basta partire in single user mode, e se hai protetto Grub con
la password, allora partirai con una distro live USB e farai chroot sul
sistema installato sul notebook. A quel punto, da root, ti cambi tutte
le password.
In Windows, ci sono delle distro live USB con linux che ti consentono
di modificare la password di administrator di windows. A quel punto,
una volta entrato come administrator in windows, cambi le pass degli
altri utenti. Non l'ho mai usato, ma è una cosa che si può fare da
circa 10 anni ed è veramente semplice.
Dovresti proteggere anche il BIOS con la password per evitare che si
possa fare boot da CD, da dispositivi USB e da floppy. Ma dovresti avere
anche la garanzia che il tuo BIOS non può essere azzerato in qualche
modo.
E qui dipende dal produttore. Ci sono mainboard dove il BIOS si resetta
spostando un ponticello e ci sono mainboard dove - se non ricordo male
- non puoi fare niente.


 > passare ad un Intel 386 ! La velocit come un droga, diventi

dovrebbe essere pure più robusto dei dischi a rotazione. Mi piacerebbe
anche a me comprarne uno. Comunque, in definitiva, uso portatili
aziendali, quindi per sostituire il disco dovrei apriglielo, mentre è
in garanzia, e questo non va molto bene.
Ma quanto costa un SSD veloce di ultima generazione? Avete fatto la
cessione del quinto per comprarlo?


 modo.
si ma questi sono tutti artifici per impedire (o almeno ostacolare)
l'uso del computer rubato, ma non servono a nulla per proteggere il
dato. basta smontare il disco e poi si può fare tutto.

 wrote:

ecco che ritorno su quanto detto prima: l'unica cosa che ha senso
proteggere sono i dati dell'utente e per fare questo:
- su Linux basta criptare la /home (eventualmente la /var se si tiene
  un server di posta locale)
- su windows basta criptare il disco D dove saranno salvati tutti i
  dati.


 cessione del quinto per comprarlo?
Circa 140 euro senza IVA.

 Linux, sia in Windows.
Si ma a che scopo?  Ovvero perché non dovrebbe reinstallare tutto ?
L'unico motivo potrebbe essere il furto di identità o di dati, ma in
quel caso il furto del portatile è il peggiore dei metodi.



no, non ho capito la logica. ti rubano un portatile con dentro dei
dati privati più o meno riservati, a te basta pensare che
probabilmente lo scopo del ladro non era direttamente quello di rubare
quei dati? il fatto che non hai idea a chi stanno passando di mano non
ti preoccupa affatto?

 Circa 140 euro senza IVA.
bah ... insomma accettabile. Ma scusa se insisto: quanti GB?
Io un disco a rotazione per notebook da 500GB credo di averlo pagato
intorno ai 70. Anche se devo ammettere che 500gb per un notebook sono
mediamente superflui.


> Ma scusa se insisto: quanti GB?
120GB, su amazon.
Guarda, io  ho letto di gente che dopo 2-3 mesi ha acceso il portatile
ed il bios non ha più visto l'HD. Non ti parlo di un settore
danneggiato, una rilettura fatta male o altro. Proprio non l'ha più
visto e buona notte.
Nella mia esperienza, se lo compri, ti consiglio di farti un po' di
giri in rete su come ottimizzare il SO per questo tipo di hardware.
Per dire, windosw 7 ha tutto in sistema incasinatissimo per mettere da
parte defraggate le DLL che carica in avvio per ottenere avvii più
veloci. Tutto questo è totalmente inutile se hai un ssd ed in MS lo
sanno infatti windows 7 (unico SO che dovrebbe essere ottimizzato per
questi dischi) dovrebbe disattivare il servizio e predisporsi per un
utilizzo diverso del disco. Invece il mio, probabilmente perché è un
preinstallato ed ottimizzato dall'OEM non se ne è accorto ed ho dovuto
lavorarci un pochino per avere il meglio e non fare inutili dannose
scritture. Adesso però impiega meno ad avviarsi da freddo che a
ripristinarsi dopo un'ibernazione, so soddisfazioni.
In generale, sopratutto se usi tanti piccoli file (vanno come spade
con i file da 4k) sono veramente un altro pianeta.

 ti preoccupa affatto?
? Si è perso qualcosa nel 3d.
Io ho un disco cryptato, dove ci sono tutti i miei dati sensibili,
email, sorgenti e tutto il resto. Quello non lo apri (almeno non se
sei una persona normale) anche se riesci a far partire il notebook,
anche se hai la pwd da amministratore del SO  o se lo copi in un
server con tante CPU.
Poi ho messo una una tagliola di quelle che mi mandano l'ip e mi danno
il controllo se riesci ad entrare come administrator, ma non credo che
il ladro la farà scattare, formatterà e pace, non credo si metterà a
forzare windows.

 ripristinarsi dopo un'ibernazione, so soddisfazioni.
Non dovrebbe bastare disattivare il servizio di deframmentazione ?
 
PaF

 ripristinarsi dopo un'ibernazione, so soddisfazioni.
hai raggiunto il pianeta Linux passando per altre strade :)
Pure Linux, mediamente impiega più tempo a svegliarsi dall'ibernazione
che non a fare il boot completo. Ma anche per andare in ibernazione
impiega più tempo che a spegnersi.
La sospensione su RAM resta invece la più veloce, essendo quasi
immediata.


   dati.
E' applicabile un'analogia con quello detto sopra per Linux, e vale
anche per Mac e per un qualsiasi altro sistema operativo.

 Non dovrebbe bastare disattivare il servizio di deframmentazione ?
se non ricordo male, mi pare che i tool di deframmentazione un tantino
più evoluti abbiano una opzione specifica per i dischi SSD. Ma, appunto,
potrei ricordarmi male. Uso windows veramente poco.


 una partizione separata a /tmp). ;-)
Ma con un "mkswap" e un "mkfs.XXX" sulla /tmp che vengono eseguiti ogni
qualvolta spengo il PC ti ho fregato o no?
Fra l'altro, secondo me l'hai buttata come se fosse una cosa facile,
quando in realtà siamo a qualcosa di un attimo più complesso.


 quando in realtà siamo a qualcosa di un attimo più complesso.
Citazione:
"OK, l'ho descritto in modo un po' pittoresco ma penso che rende
l'idea." + una serie di emoticon.
Non dico che è semplice, ma è fattibile. Lo so perché ho provato a farlo
(non con swap che non avevo tempo ne voglia) ma con /tmp.

> Non dovrebbe bastare disattivare il servizio di deframmentazione ?
Anche la prefetch e qualche altra cavolata. Il bello è che W7 doveva
farlo da solo ma temo che lo faccia solo se installato su un SDD
oppure semplicemente se lo è scordato..

 oppure semplicemente se lo � scordato..
Il prefetch � inutile su un SSD ma non dovrebbe comportare scritture
eccessive come una deframmentazione, questa si veramente dannosa per gli
SSD. Comunque devo approfondire l'argomento...
PaF

> mettere anche il mio thunderbird portable su un volume trucrypt !
Io ci ho messo solo i dati di thunderbird, e anche il profilo di
firefox. :-)

 farti rivelare le password...Costa meno tempo e fatica. ;-)
Evento cui hanno pensato quelli di TrueCrypt quando hanno deciso di 
permette di avere un volume nascosto dentro un volume criptato.
Tutto sta nel resistere alla tortura, negando di avere un volume ghost 
dentro il principale, e ovviamente nel non sbagliarsi su quale password 
rivelare ;-)
-- 
DES


Si così ti becchi le botte DUE volte, la prima volta per rivelare la
prima password, la seconda volta per rivelare la seconda. E se non hai
il hidden volume, cazzi tuoi, te le becchi lo stesso le botte, anche di più.
Resistere alla tortura? Vorrei vederti nella situazione di vivere ed
essere arrestato in uno dei regimi totalitari, e invocare per giorni la
morte, morte che non arriva. Prima o poi canti eccome, o muori. Dacci
un'occhiata su internet ai metodi usati da Gestapo o dall'Inquisizione.
Ma non è necessario andare così lontano. Basta che non ti facciano
dormire per 3-4 giorni, e vedi come la tua volontà si piega...

 a ROTAZIONE da 36GB. [...] Un motivo evidentemente ci sarà.
Gli SSD non sono ottimizzati per il RAID, inoltre quelli di livello 
enterprise (es. Intel X25-E slc) costano ancora un botto.
-- 
enos76

 essere arrestato in uno dei regimi totalitari, 
non occorre andare lontano:
http://is.gd/U1839t
 dal tempo 1:39:30 in poi, oppure (lo stesso) 
http://www.youtube.com/watch?v=2pIoNecGanc
 da 0:41.10
-- 
DES

 appena rubato :)
Ma su che sistema operativo hai installato DropBox?
ciao
Gabriele

 Ma su che sistema operativo hai installato DropBox?
ovunque. su linux, mac osx, su ipad e cellulare android.
ci tengo molta manualistica (che così posso leggere ovunque) e dei
repository git di progettini miei. sempre più spesso lo uso al posto
delle chiavette per trasferire dal fisso al portatile e viceversa.

rootkit ha scritto:

Ecco la domanda in realtà, visto il topic, era per chiederti se su OSX hai 
attivato FileVault o se lo consideri poco affidabile o poco efficiente.
Perché col FileVault anche se ti rubano il portatile, se ne fanno ben poco; 
solo che mi chiedo quanto sia robusto (non in termini crittografici, ma di 
"incasinamento / mancato funzionamento").
ciao
Gabriele

 attivato FileVault o se lo consideri poco affidabile o poco efficiente.
no non l'ho attivato, fondamentalmente perché ho un imac e un mac mini
ma non ho un portatile con osx, i laptop che ho hanno tutti linux. sul
fisso oggettivamente non mi sembra necessaria la crittografia.

 Una regola che io applico spesso: keep it simple!
Touché... :-)
Bye
-- 
Enos 

 sbloccava la parte "hidden". [...]
Se quei paranoici si fossero accorti dello scherzo, imho ti avrebbero 
arrestato per accertamenti.
-- 
Enos 

 formattare l'intero HD per poterlo usare.
io non capisco ancora cosa se ne fa un utente della mia /usr o della
mia /bin


 Mi dispiace, ma no, se non usi mkfs.XXX -c -c.
e perché non dovrei. Renditi comunque conto che sulla /tmp in fin dei
conti trovera 4 minchiatelle.


 enterprise (es. Intel X25-E slc) costano ancora un botto.
questo ci può anche stare.


 
senti non so a cosa pensavo mentre stavo scrivendo quel messaggio :-)
Oltre a keepassdroid/keepassx, uso pure LastPass per Chrome, Firefox,
Safari e Internet Explorer, e uso anche la versione Mobile poiché mi
hanno regalato una licenza per aver contribuito alla traduzione
dell'applicazione.
Pure in LastPass avrei la possibilità di inserire la master password,
ma per pigrizia ho messo il check su "ricorda password".


 prossibilità che si rompi qualcosa.
Ni. Il lettore è HW si limita a sbloccare la password dell'hard disk, che 
non dimenticherò mai. Se rompo qualcosa ci sono i backup... aggiornati a 
chissà quando :-)))
Nota che non mi affido particolarmente alla sicurezza del lettore di 
imptonte, visto che la maggior parte dei modelli si fa fessa con il Didò 
(non è un nome tecnico, è proprio quella pasta molliccia con cui giocano i 
bambini).
Che S/O usi? Travolto da questa ondata di ottimizzazioni e sicurezza, io 
meditavo di passare da Slackware a netbsd.
Ciao
-- 
Enos 

 Ho i miei dubbi per un motivo: non se ne possono accorgere.
Se trovi quello sveglio, ti chiede perché il sistema operativo è stato 
installato tre mesi fa, ma non ci sono dati recenti né file modificati tra 
tre mesi fa ed oggi.
-- 
Enos

 [...]
Le prime versioni di TRIM non erano compatibili con il RAID.
I test davano risultati ottimi, ma nel mondo reale le prestazioni decadevano 
velocemente. Non so se il problema sia stato risolto.
Ciao
-- 
Enos 

 c'è WIndowsXP [...]
Questo è un segno del destino :-) ieri ho letto di alcuni WEB server NetBSD 
con uptime del 100%.
Ero titubante perché ero indeciso frai i vari *BSD e mi dispiaceva "buttare 
via" alcune mie conoscenze di Slackware.
Proverò NetBSD. Posso eventualmente disrurbarti in pvt se ho problemi? (dopo 
avere "googlato" a dovere, naturalmente)
Ciao
-- 
Enos

enos76 wrote:

Ti fanno accendere il portatile per verificare (di solito) che sia un
"vero" PC; le poche volte che ho viaggiato mi hanno lasciato proseguire
appena compariva la schermata del BIOS o del sistema operativo.
-- 
Ciao, Alessio

 appena compariva la schermata del BIOS o del sistema operativo.
La prossima volta che vai in USA (magari in questi stessi giorni) al 
controllo fai comparire in bella mostra la schermata: "SECRET - 
CONFIDENTIAL - RESTRICTED ACCESS" sullo schermo del tuo "vero portatile"... 
Poi mi racconti se ti lasciano passare senza un interrogatorio o senza 
segnarsi il tuo nome da qualche parte.
Idem le perquisizioni: controllano che tu non abbia armi, ma se ti trovano 
addosso il fodero di un coltello o di una pistola, sono sicuro che non la 
prendono bene.
(le mie restano speculazioni ipotetiche)
-- 
Enos 

CONFIDENTIAL - RESTRICTED ACCESS" sullo schermo del tuo "vero portatile"...
Effettivamente mi sono sempre e solo spostato in Europa :-)
-- 
Ciao, Alessio