В первой части статьи я описывал установку на зашифрованный корневой раздел ОС FreeBSD. Это маленький кирпичик в нашей стене, которую мы вместе с читателями начали строить. Начало положено и теперь необходимо заботиться буквально обо всем, а это не так просто как кажется. На что стоит обратить внимание? Что делать, что бы не потерять мастер ключи? Какие меры принять, по обеспечению их безопасности? Где и как их хранить ? Зачем скрывать наличие загрузочного раздела на съемном носителе? Что такое стеганография? Об этом и многом другом читайте в моей следующей статье: “Криптозащита FreeBSD: Часть 2. Тонкости повседневного использования”
В первой части статьи «Использование средств криптографической защиты в ОС FreeBSD» я описывал установку ОС на зашифрованный корневой раздел. Но время идет, и враг не стоит на месте: c каждым новым днем появляются все более изощренные методы атак на безопасность систем. В этой статье я расскажу, как защитить носитель и мастер-ключи для загрузки ОС от заинтересованной стороны, дам рекомендации по выбору и использованию стеганографических инструментов, а также попытаюсь объяснить на пальцах трудности использования этой системы.
Видишь раздел? Нет? А он есть
Итак, у нас есть носитель, на котором записан каталог /boot с ключами. Было бы хорошо иметь на флешкe скрытый раздел, с которого загружалась бы ОС, и чтобы ей самой можно было повседневно пользоваться в других системах. Это скрывает важность нашего накопителя от злоумышленника и на первый взгляд не вызывает никаких подозрений. Для UNIX-пользователей проблемы в этом нет, а вот для пользователей Windows они возникают на начальном этапе. Дело в том, что Microsoft «разрешила» сменным накопителям иметь только один активный раздел. Даже если поделить флешку на два раздела средствами все того же UNIX, а потом воспользоваться ей в ОС Windows, то будет виден только первый (активный) раздел.
