У меня есть машина под управлением CentOS7, основной раздел которой зашифрован с помощью crypt-setup / luks; Мне предлагается ввести пароль для шифрования при загрузке.
Это машина, которую нужно передать другой стороне - мой вопрос
Без необходимости загрузочного USB, как я могу шифровать зашифрованный раздел?
Я надеялся / предполагал, что неудачный пароль шифрования несколько раз вызовет скремблирование, но это только выглядит так, как если бы он перестал принимать пароли до перезагрузки.
Это просто сделать:
sudo cryptsetup luksErase /dev/sdXY
Замените /dev/sdXY зашифрованным разделом.
Вы получите приглашение, которое выглядит следующим образом:
deltik@node51 [~]$ sudo cryptsetup luksErase /dev/sda1
WARNING!
========
This operation will erase all keyslots on device /dev/sda1.
Device will become unusable after this operation.
Are you sure? (Type uppercase yes):
Введите « YES » и нажмите Enter. Ваш компьютер продолжит работу, но после перезагрузки вы никогда не сможете снова получить доступ к данным.
Вы можете достичь той же цели другим способом, не получая подсказки, выполнив эту команду:
sudo dd if=/dev/zero of=/dev/sdXY bs=1M count=2
Он перезапишет первые два мегабайта раздела /dev/sdXY , который должен охватывать весь заголовок шифрования LUKS.
Чтобы стереть что-либо (диск, раздел, файл), это хорошая команда для запуска:
dd if=/dev/random of=<TheFullPath> bs=1M
Запустите его с любого LiveCD в консоли, но будьте уверены, что вы делаете, особенно убедитесь, что путь правильный.
Но если вы хотите, чтобы данные не подлежали восстановлению, вам понадобятся более сложные методы, более того, если диск использует внутреннее переопределение, чтобы увеличить его динамическое состояние, и вы пытаетесь стереть файл, а не полный раздел или диск.
И что еще хуже, в лабораториях диски можно сканировать, и они могут получить много последних состояний из того, что было там, для магнитной записи около 500 последних состояний, для твердотельного диска около 100 последних состояний.
Таким образом, чтобы быть уверенным, что вы действительно «уничтожаете» «данные», вы должны выполнить очистку не менее 500 раз на магнитных носителях или более 100 раз на твердотельных носителях. Предупреждение: от этого шорты много живут.
Таким образом, если у вас никогда не было данных в открытом виде (не зашифрованных), вы можете подумать, что вы в безопасности, не делая так много вайпов, вы ошибаетесь, незашифрованные данные не будут прочитаны, но зашифрованные данные можно будет получить также заголовки LUK, которые вы удалили, так что это всего лишь время и усилия, чтобы сломать это шифрование.
Итак, вы можете подумать, что если я сделаю> 500 вайпов только для заголовка LUK, я буду на безопасной линии, опять же, неправильно, зашифрованные данные все еще можно восстановить, и тестирование со всеми возможными заголовками LUK (много работы) может проверить каждый как и в предыдущем абзаце, опять же, это только вопрос времени.
Чтобы 100% гарантировать, что данные не будут раскрыты, вы должны думать так:
Таким образом, единственный способ сделать такие вещи, как «100% безопасное» стирание, это только:
Нет другого способа быть на 100% безопасным, независимо от того, что говорят другие, если диск не испарится, данные будут восстановлены в будущем.
Подумайте только, несколько лет назад запись о последних состояниях составляла всего менее десяти, а теперь значительно увеличилась на 100 в твердом состоянии, в 500 - на магнитном; на каком уровне, скажем, миллион лет!
Если вам нужно всего лишь повторно использовать диск (вы не продаете диск), вам не о чем беспокоиться, достаточно просто стереть заголовки LUK.
Дополнительно: на большинстве современных дисков (примерно десять лет или около того) у них есть «зарезервированная» область, которую они используют, когда один сектор диска работает неправильно (обычно такая ситуация отображается в данных SMART); когда это происходит, может случиться так, что такой сектор все еще будет читаемым, но не записываемым, поэтому стереть его невозможно.
Мое лучшее действие правил заключается в том, когда я хочу использовать диск для «защищенных» данных:
Это как-то немного параноидально, но вы просили что-то стереть.
Теперь о другой части, только протрите заголовки LUKS, как вы можете себе представить, и, как я уже говорил, недостаточно избегать других (с бесконечным временем, деньгами и ресурсами), чтобы получить такие данные, если вы позволите им взять их в свои руки. , лучше стереть все, если у вас больше не будет этого диска.
Что касается заключительной части, делающей это во время предварительной загрузки, я не знаю ни одного инструмента, который можно запустить на этой стадии, и сделать такое стирание, и я думаю, что это будет не кто-нибудь, потому что:
Другая вещь - это загрузка с небольшого дистрибутива Linux или старой MS-DOS, для них есть инструменты, которые можно стереть, Linux dd работает медленно, но достаточно.
И на всякий случай, ваш вопрос имеет не очень хорошее название, я думаю, вы действительно спрашиваете:
Для таких есть два решения:
Надеюсь, я смогу помочь вам и другим с этими вопросами безопасности.
Примечание: я не понимаю, почему настоящие эксперты по вопросам безопасности не учат людей (я узнаю все, что знаю, самый тяжелый путь!), И почему это не преподается в начальной школе ?.
П.Д .: В некоторых очень специализированных магазинах есть диски с аппаратным шифрованием, внутри которых есть взрывчатые вещества, которые буквально взрывают диск в случае N последовательных сбоев, а также в случае открытия, чтения диска на низком уровне и т.д. Недешево, на самом деле дорого, и вам нужно авторизация для их перевозки, на рейсах они должны перевозиться в специальном контейнере и т. д. Я использовал один из них некоторое время назад, но изучите трудный путь, что означает такая взрывчатка ... компьютер был полностью уничтожен и стол там, где у меня была большая дыра, так что остерегайтесь того, что вы покупаете и как вы его используете (не позволяйте семье даже прикоснуться к нему и т. д.), для личного использования это слишком рискованно.