[Comm] шифрование дисков

[Comm] шифрование дисков

[Денис Смирнов]

Что сейчас лучше всего использовать для шифрования дисков? Мне нужно
держать в шифрованом виде /home, и, что самое мерзкое,
/var/lib/{mysql,pgsql}.

-- 
С уважением, Денис

http://freesource.info

Re: [Comm] шифрование дисков

[iLya Bryzgalow]

Wed, 7 Apr 2004 00:46:34 +0400 Денис Смирнов <mithraen@freesource.info>
сообщил:

> Что сейчас лучше всего использовать для шифрования дисков? Мне нужно
> держать в шифрованом виде /home, и, что самое мерзкое,
> /var/lib/{mysql,pgsql}.
loop?
> 
> -- 
> С уважением, Денис
> 
> http://freesource.info

-- 
    _/_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/ _/ _/     _/
   _/    iLya Bryzgalow aka iLL        _/    _/     _/
  _/ Linux-Astronomy-Krasnodar-Russia _/ _/ _/     _/
 _/        LinuxUser 301257          _/ _/ _/     _/
_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/_/ _/ _/_/_/ _/_/_/
i don't smoke, so wish to you!
http://www.krumn.oilnet.ru/
ftp://ftp.krumn.oilnet.ru/
JID://ill@jabber.org
e-mail://ill@krumn.oilnet.ru
kernel-2.6.4-std26-up-alt4 ALT Linux Sisyphus (20040405)
 09:27:44  up 8 days, 21:35,  4 users,  load average: 0.89, 0.80, 0.79

Re: [Comm] шифрование дисков

[iceb]

В Срд, 7 Апр 2004, [koi8-r] Денис Смирнов написал(а):

ДС> Что сейчас лучше всего использовать для шифрования дисков?
losetup, вестимо.

ДС> Мне нужно
ДС> держать в шифрованом виде /home, и, что самое мерзкое,
ДС> /var/lib/{mysql,pgsql}.
И что в этом мерзкого ???

-- 
Yura Kalinichenko

[Comm] Re: шифрование дисков

[Денис Смирнов]

On Wed, Apr 07, 2004 at 08:29:07AM +0300, iceb@svitonline.com wrote:

 ДС>> Что сейчас лучше всего использовать для шифрования дисков?
 > losetup, вестимо.

Что будет с ядром 2.6? Бинарно совместимы?

 ДС>> Мне нужно
 ДС>> держать в шифрованом виде /home, и, что самое мерзкое,
 ДС>> /var/lib/{mysql,pgsql}.
 > И что в этом мерзкого ???

Чуть больше требования к производительности. Ну и мелкий геморрой для
правильного поднятия mysql/postgresql, да ещё и завершать их при
определённом количестве времени бездействия.

-- 
С уважением, Денис

http://freesource.info

[Comm] Re: шифрование дисков

[Denis Smirnov]

On Wed, Apr 07, 2004 at 12:16:06PM +0300, Michael Shigorin wrote:

 >>> losetup, вестимо.
 >> Что будет с ядром 2.6? Бинарно совместимы?
 MS> API менялось.  У нас в ed'овском _вроде_ откатывали на
 MS> kerneli.org (то же, что добавлено в 2.4), но вообще "осторожно,
 MS> грабли".

Вот я пока и опасаюсь. Данные-то хоть совместимы? Если отвалятся скрипты
поднятия раздела фиг бы с ними, можно поправить, а вот если после
обновления я буду смотреть на данные с которыми ничего сделать нельзя, то
мне станет очень обидно. А кроме того мне, за такие развлечения, дадут
очень больно по голове.

-- 
С уважением, Денис

http://freesource.info

[Comm] Re: шифрование дисков

[Denis Smirnov]

On Wed, Apr 07, 2004 at 02:53:48PM +0300, Michael Shigorin wrote:

 MS> Ннну... ты ж не будешь очертя голову прыгать, снося known good
 MS> kernel?

Придётся. Потому как машины будет как минимум три, на которых нужно
крипто. Причём одна из них будет ноутом, а значит мне придётся поиграть с
2.6.*.

На сервера, даже не самые критичные, ясное дело, я 2.6 как минимум пока не
пройдёт некоторое время с выхода нового Мастера ставить не рискну. 
 
 MS> А там можно будет поставить в безответственном месте эксперимент,
 MS> да и в sisyphus@ / devel@ тема при таком переезде скорее всего
 MS> будет пройдена основательно.

У меня сейчас _совсем_ безответственных мест нетути, не считая моей
офисной рабочей машины, которую я фактически больше как терминал
использую, и как место которое я иногда hasher'ом нагружаю. Уже на
домашней критичной (рабочей) инфы много больше, со всеми вытекающими
отсюда последствиями (в т.ч. в плане безопасности и требованиями к
надёжности).

Поэтому я и интересуюсь:

а) насколько стабильно сейчас работает крипто в 2.6.*
б) совместимы ли разделы созданые в 2.4 и 2.6 (нынешнем варианте)?
в) какие проблемы я огребу с началом использования этой схемы?

Позволить себе ставить эксперименты я более-менее могу (благо домашняя
машина бэкапится еженедельно, а текучка ежедневно).

-- 
С уважением, Денис

http://freesource.info

Re: [Comm] Re: шифрование дисков

[iceb]

В Срд, 7 Апр 2004, [koi8-r] Денис Смирнов написал(а):

ДС> On Wed, Apr 07, 2004 at 08:29:07AM +0300,
ДС> iceb@svitonline.com wrote:
ДС>
ДС>  ДС>> Что сейчас лучше всего использовать для шифрования
ДС> дисков?
ДС>  > losetup, вестимо.
ДС>
ДС> Что будет с ядром 2.6? Бинарно совместимы?

Не гарантируется при _любой_ смене ядра. Хоть 2.4.20 на 2.4.22.
А вы что, ядро через день меняете ?
Да и backup по-любому надо делать, а в этом случае особенно:
локальное повреждение шифрованного loop-файла может привести к
непредсказуемым результатам.

ДС>
ДС>  ДС>> Мне нужно
ДС>  ДС>> держать в шифрованом виде /home, и, что самое мерзкое,
ДС>  ДС>> /var/lib/{mysql,pgsql}.
ДС>  > И что в этом мерзкого ???
ДС>
ДС> Чуть больше требования к производительности.
Да ну бросьте. У вас такие критичные по времени приложения ?

ДС> Ну и мелкий
ДС> геморрой для
ДС> правильного поднятия mysql/postgresql,
Нету там никакого геморроя. На старте пароль спросили, losetup, подмонтировали.
На стопе отмонтировали, losetup -d.

ДС> да ещё и завершать их
ДС> при
ДС> определённом количестве времени бездействия.
Сие к вопросу шифрования никакого отношения не имеет. Да и вообще
смысла особого не вижу.

-- 
Yura Kalinichenko

[Comm] Re: шифрование дисков

[Денис Смирнов]

On Wed, Apr 07, 2004 at 05:50:36PM +0300, iceb@svitonline.com wrote:

 > Не гарантируется при _любой_ смене ядра. Хоть 2.4.20 на 2.4.22.
 > А вы что, ядро через день меняете ?

Ну не менее пары раз в год :)
 
 > Да и backup по-любому надо делать, а в этом случае особенно:
 > локальное повреждение шифрованного loop-файла может привести к
 > непредсказуемым результатам.

Это я понимаю.

 > ДС>  ДС>> Мне нужно
 > ДС>  ДС>> держать в шифрованом виде /home, и, что самое мерзкое,
 > ДС>  ДС>> /var/lib/{mysql,pgsql}.
 > ДС>  > И что в этом мерзкого ???
 > ДС> Чуть больше требования к производительности.
 > Да ну бросьте. У вас такие критичные по времени приложения ?

Я же сказал -- _чуть_. Просто это означает, что по крайней мере encfs
(через FUSE) и прочие аналогичные вряд ли пойдут, и выбора кроме loop нет.
В случае ~/ выбор есть.

-- 
С уважением, Денис

http://freesource.info