Consigli su volumi criptati su LVM e RAID

Previous Topic Next Topic
 
classic Classic list List threaded Threaded
11 messages Options
Reply | Threaded
Open this post in threaded view
|

Consigli su volumi criptati su LVM e RAID

gerlos
Ciao a tutti,
Devo criptare i dati[1] su un file server con Debian Stable.
Sullo stesso server devo configurare RAID 1 (per prestazioni e
ridondanza), e usare LVM per gestire i volumi (per espandere i volumi
secondo le esigenze, fare snapshot, etc).

È la prima volta che mi capita (e sto studiando LUKS e cryptsetup), e
non sono sicuro di aver capito cos'è meglio fare.

Mi spiego. Sul sistema c'è un SSD per il sistema operativo, e una coppia
di HDD per lo storage, da mettere in RAID1 software. Questo dispositivo
RAID lo configurerei come physical volume LVM, e sui vari volumi LVM
andrei a creare i file system per i dati. In sintesi:

0. Hardware
1. RAID
2. LVM
3. File system

Dove dovrei andare a configurare il volume LUKS? Tra il livello 0. e il
livello 1.? Oppure tra il livello 1. e il livello 2.? (Escluderei di
mettere LUKS tra 2. e 3.... o no?)

Io penso che farei così:
0. Hardware
1. RAID
-> LUKS
2. LVM
3. File system

Che ne dite? Vantaggi/svantaggi? Voi come fareste?

grazie a tutti,
gerlos



[1]: Vogliono che i dati siano criptati per limitare i rischi in caso di
furto dell'hardware (o in caso di sostituzione dei dischi)

gerlosgm.vcf (164 bytes) Download Attachment
dea
Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

dea


Tutto OK per quanto leggo... ma da qualche anno uso praticamente solo
più ZFS e mi trovo benissimo.

- SSD come accelerazione per lo ZIL e cache
- raid gestito da ZFS
- snapshot: sono il pane di ZFS, anche il push-pull di snapshot verso
server di backup in ZFS sono una "magia" di ZFS che non puoi facilmente
fare con altri sistemi (allineamento di server tramite push
differenziale di snapshot)
- cifratura e compressione native
- etc.

Luca

Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

gerlos
Il 10/08/2018 14:06, dea ha scritto:
>
>
> Tutto OK per quanto leggo... ma da qualche anno uso praticamente solo
> più ZFS e mi trovo benissimo.
>

ZFS sembra interessante - non lo conosco direttamente perché non l'ho
mai usato.

Mi lascia perplesso il fatto che (almeno al momento) non sia la
"soluzione standard" adottata da Debian e simili - ho letto di problemi
di licenze, ma non ho approfondito.

Per questo lavoro vorrei attenermi il più possibile ad un approccio
"standard", in modo tale che in un secondo tempo altri possano
intervenire senza troppe difficoltà (o in modo tale che io possa
ricostruire il lavoro fatto anche a distanza di tempo).

Da quel che vedo in giro l'approccio "standard" al momento è:
linux-raid + dm_crypt e LUKS + LVM + ext4

Solo non sono sicuro in quale "ordine" usarli.

grazie lo stesso,
gerlos


gerlosgm.vcf (164 bytes) Download Attachment
dea
Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

dea
Capisco perfettamente.

Anche io un tempo ero più legato alla "tradizione".
Ora uso zfs su mail server e file server di clienti...una quindicina di macchine, mal contate, ne sono soddisfatto e non me ne pento (anzi dovendo poi fare il sync su file server di mirroring, mi ha aiutato un sacco).

Da poco ho iniziato af usare zfs anche sui firewall per la sua capacità di essere consistente sempre per definizione.
Non esiste un fsck, maltrattala quanto vuoi, lei sarà sempre consistente, lo è intrinsecamente per costruzione.

Luca
Il giorno 10 ago 2018, alle ore 16:15, gerlos <[hidden email]> ha scritto:
Il 10/08/2018 14:06, dea ha scritto:


Tutto OK per quanto leggo... ma da qualche anno uso praticamente solo
più ZFS e mi trovo benissimo.


ZFS sembra interessante - non lo conosco direttamente perché non l'ho
mai usato.

Mi lascia perplesso il fatto che (almeno al momento) non sia la
"soluzione standard" adottata da Debian e simili - ho letto di problemi
di licenze, ma non ho approfondito.

Per questo lavoro vorrei attenermi il più possibile ad un approccio
"standard", in modo tale che in un secondo tempo altri possano
intervenire senza troppe difficoltà (o in modo tale che io possa
ricostruire il lavoro fatto anche a distanza di tempo).

Da quel che vedo in giro l'approccio "standard" al momento è:
linux-raid + dm_crypt e LUKS + LVM + ext4

Solo non sono sicuro in quale "ordine" usarli.

grazie lo stesso,
gerlos

Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

Mr. P|pex-3
In reply to this post by gerlos
Il giorno 10 agosto 2018 16:14, gerlos <[hidden email]> ha scritto:

Da quel che vedo in giro l'approccio "standard" al momento è:
linux-raid + dm_crypt e LUKS + LVM + ext4

Solo non sono sicuro in quale "ordine" usarli.


ciao
io ho 2 dischi in raid 1 software che uso per i soli dati. OS sta su ssd non criptato, /boot pure.

per /home ho
linux-raid + LVM + dm_crypt e LUKS + ext4
però così credo non sia semplice allargare i volumi LVM dopo averli cryptati; fino ad ora non ne ho avuto esigenza

poi swap è partizione fisica criptata.

ho scelto questa perchè inizialmente la root / non criptata stava su una partizione dei 2 dischi.

Forse con la configurazione
linux-raid + dm_crypt e LUKS + LVM + ext4
puoi allargaree/gestire meglio LVM rimanendo su dischi già  criptati

my 2 cent

Gianluca



Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

Felipe Salvador-2
In reply to this post by gerlos
On Fri, Aug 10, 2018 at 01:52:51PM +0200, gerlos wrote:
> Ciao a tutti,

Ciao

> Devo criptare i dati[1] su un file server con Debian Stable.
> Sullo stesso server devo configurare RAID 1 (per prestazioni e
> ridondanza), e usare LVM per gestire i volumi (per espandere i volumi
> secondo le esigenze, fare snapshot, etc).

RAID1 non da alcun vantaggio prestazionale, mentre, come dici tu,
viene utilizzato per la ridondanza.

> È la prima volta che mi capita (e sto studiando LUKS e cryptsetup), e
> non sono sicuro di aver capito cos'è meglio fare.
>
> Mi spiego. Sul sistema c'è un SSD per il sistema operativo, e una
> coppia di HDD per lo storage, da mettere in RAID1 software. Questo
> dispositivo RAID lo configurerei come physical volume LVM, e sui vari
> volumi LVM andrei a creare i file system per i dati. In sintesi:
>
> 0. Hardware
> 1. RAID
> 2. LVM
> 3. File system



> Dove dovrei andare a configurare il volume LUKS? Tra il livello 0. e
> il livello 1.? Oppure tra il livello 1. e il livello 2.? (Escluderei
> di mettere LUKS tra 2. e 3.... o no?)
>
> Io penso che farei così:
> 0. Hardware
> 1. RAID
> -> LUKS
> 2. LVM
> 3. File system
>
> Che ne dite? Vantaggi/svantaggi? Voi come fareste?

https://superuser.com/questions/1193290/best-order-of-raid-lvm-and-luks

Devi decidere in base alle tue esigenze, in base alla discussione
sopra, invertire LUKS con LVM significa decidere se utilizzare una o
tante password quanti sono i pv. Studierei anche l'associazione LUKS-LVM.

Non so cosa sia meglio o peggio, a livello prestazionale.

> grazie a tutti,
> gerlos
>
>
>
> [1]: Vogliono che i dati siano criptati per limitare i rischi in caso
> di furto dell'hardware (o in caso di sostituzione dei dischi)

> begin:vcard
> fn:Gerlando Lo Savio  
> n:Lo Savio;Gerlando
> email;internet:[hidden email]
> tel;work:+393396260782
> x-mozilla-html:TRUE
> version:2.1
> end:vcard
>

Ciao

--
Felipe Salvador

Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

gerlos


Il 10/08/2018 19:19, Felipe Salvador ha scritto:

> On Fri, Aug 10, 2018 at 01:52:51PM +0200, gerlos wrote:
>> Ciao a tutti,
> Ciao
>
>> Devo criptare i dati[1] su un file server con Debian Stable.
>> Sullo stesso server devo configurare RAID 1 (per prestazioni e
>> ridondanza), e usare LVM per gestire i volumi (per espandere i volumi
>> secondo le esigenze, fare snapshot, etc).
> RAID1 non da alcun vantaggio prestazionale, mentre, come dici tu,
> viene utilizzato per la ridondanza.
Sì, hai ragione, RAID10 da invece vantaggi prestazionali insieme alla
ridondanza.
In effetti per un sistema che serve la lan di un ufficio le prestazioni
del singolo disco sono più che adeguate, visto che il collo di bottiglia
è altrove (la rete).

>> Io penso che farei così:
>> 0. Hardware
>> 1. RAID
>> -> LUKS
>> 2. LVM
>> 3. File system
>>
>> Che ne dite? Vantaggi/svantaggi? Voi come fareste?
> https://superuser.com/questions/1193290/best-order-of-raid-lvm-and-luks
>
> Devi decidere in base alle tue esigenze, in base alla discussione
> sopra, invertire LUKS con LVM significa decidere se utilizzare una o
> tante password quanti sono i pv. Studierei anche l'associazione LUKS-LVM.
>
> Non so cosa sia meglio o peggio, a livello prestazionale.
Grazie per il link, è proprio la mia domanda!

Penso che andrò RAID -> LUKS -> LVM -> FS perché:

- Se si guasta un disco, posso sostituirlo senza complicazioni
- Non mi serve avere password diverse per i vari volumi, visto che
verranno montati tutti al boot (e a quel punto la sicurezza dipenderà
dal sistema dei permessi)
- Devo creare almeno due volumi, e al momento non so quanto dovranno
essere grandi - li allargherò in base alle esigenze, e con ext4 su LVM
posso farlo in modo indolore
- Anche estendere lo storage aggiungendo nuovi hard disk o sostituendo
quelli esistenti si può fare in modo tutto sommato indolore, creando
prima partizioni LUKS e poi usando LVM per aggiungere i dischi allo
stesso gruppo di volumi.

In ultimo, vi chiedo una conferma: nel momento in cui dovessi dismettere
i dischi criptati, per rendere inaccessibili i dati sarebbe sufficiente
azzerare i primi MB dei dischi, giusto?

(Ovviamente mi riferisco ad un uso "civile", in cui uno
butta/rivende/monta altrove i dischi in questione, e non vuole/non può
perdere decine di ore ad azzerare TB di storage - non a contesti da
analisi forense e simili)

Grazie a tutti
-gerlos



gerlosgm.vcf (164 bytes) Download Attachment
Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

Felipe Salvador-2
On Sat, Aug 11, 2018 at 05:13:26PM +0200, gerlos wrote:
> In ultimo, vi chiedo una conferma: nel momento in cui dovessi
> dismettere i dischi criptati, per rendere inaccessibili i dati sarebbe
> sufficiente azzerare i primi MB dei dischi, giusto?

Non ne ho idea, immagino di si, spesso immaginare non basta.

Io non so se LUKS utilizzi dei meccanismi per permettere un eventuale
recupero dei dati o se cancellando i primi MB si perda tutto per
sempre, quindi:

https://www.kali.org/tutorials/nuke-kali-linux-luks/

Mi pare un metodo valido, se non altro un alternativa assennata al "io speriamo
che ho cancellato tutto".

> (Ovviamente mi riferisco ad un uso "civile", in cui uno
> butta/rivende/monta altrove i dischi in questione, e non vuole/non può
> perdere decine di ore ad azzerare TB di storage - non a contesti da
> analisi forense e simili)

Temo che con l'avvento del GDPR non esistono piu' i dischi ad uso "civile"...

> Grazie a tutti
> -gerlos
>
>

> begin:vcard
> fn:Gerlando Lo Savio  
> n:Lo Savio;Gerlando
> email;internet:[hidden email]
> tel;work:+393396260782
> x-mozilla-html:TRUE
> version:2.1
> end:vcard
>


--
Felipe Salvador

Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

Lorenzo "Palinuro" Faletra


On 08/12/2018 02:40 AM, Felipe Salvador wrote:

> On Sat, Aug 11, 2018 at 05:13:26PM +0200, gerlos wrote:
>> In ultimo, vi chiedo una conferma: nel momento in cui dovessi
>> dismettere i dischi criptati, per rendere inaccessibili i dati sarebbe
>> sufficiente azzerare i primi MB dei dischi, giusto?
>
> Non ne ho idea, immagino di si, spesso immaginare non basta.
>
> Io non so se LUKS utilizzi dei meccanismi per permettere un eventuale
> recupero dei dati o se cancellando i primi MB si perda tutto per
> sempre, quindi:
>
> https://www.kali.org/tutorials/nuke-kali-linux-luks/
>
> Mi pare un metodo valido, se non altro un alternativa assennata al "io speriamo
> che ho cancellato tutto".

Se sai quanto è grande l'header e sovrascrivi solo quello hai già reso
il disco irrecuperabile salvo backup dell'header.
ovviamente se scrivi un po di piu male non fa, quindi su un disco con
una sola partizione luks, scrivere roba pseudorandomica  sul primo giga
o sui primi 10 giga e già molto piu che sufficiente in quanto davvero il
disco perde di significato senza l'header.

perchè parlo di singola partizione? perchè cominciando a sovrascrivere
dall'inizio del disco, il blocco verrebbe sicuramente sovrascritto,
altrimenti c'è da andare a capire dove si trova e mettere l'offset
appropriato in fase di cancellazione se la partizione criptata ha
l'inizio buttato in giro nel disco tra altre partizioni

per i nuke slots di cryptsetup serve ovviamente una versione
appositamente patchata, e attualmente le uniche 2 distro di cui sono a
conoscenza che integrano la patch sono kali [1] e parrot [2]
la patch [3] è uguale per entrambe.

una nota importante da fare sulla patch è che anche qualora andasse bene
per un uso generico, è quasi inutile in caso lo storage venga sottoposto
ad una corretta procedura forense in quanto dopo l'acquisizione bit per
bit del drive, tutte le prove verrebbero fatte su copie dell'originale,
e qualsiasi dump del blocco chiavi verrebbe ripristinato, motivo per cui
la patch non è stata mai accettata in upstream e viene considerata piu
un giocattolo che una feature.

un'attenta lettura alla sezione 5.21 della FAQ di cryptsetup [4] è
d'obbligo!



[1] http://kali.mirror.garr.it/mirrors/kali/pool/main/c/cryptsetup/
[2] http://parrot.mirror.garr.it/mirrors/parrot/pool/main/c/cryptsetup/
[3]
https://dev.parrotsec.org/parrot/cryptsetup/blob/master/debian/patches/cryptsetup_nuke_keys.patch
[4] https://gitlab.com/cryptsetup/cryptsetup/wikis/FrequentlyAskedQuestions

--
Lorenzo "Palinuro" Faletra

Parrot Security

GPG FINGERPRINT: B350 5059 3C2F 7656 40E6  DDDB 97CA A129 F4C6 B9A4

GPG Info: http://pgp.mit.edu/pks/lookup?op=vindex&search=0x97CAA129F4C6B9A4
GPG Key: http://pgp.mit.edu/pks/lookup?op=get&search=0x97CAA129F4C6B9A4

Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

Felipe Salvador-2
On Sun, Aug 12, 2018 at 03:07:04AM +0200, Lorenzo "Palinuro" Faletra wrote:

> Se sai quanto è grande l'header e sovrascrivi solo quello hai già reso
> il disco irrecuperabile salvo backup dell'header.
> ovviamente se scrivi un po di piu male non fa, quindi su un disco con
> una sola partizione luks, scrivere roba pseudorandomica  sul primo giga
> o sui primi 10 giga e già molto piu che sufficiente in quanto davvero il
> disco perde di significato senza l'header.
>
> perchè parlo di singola partizione? perchè cominciando a sovrascrivere
> dall'inizio del disco, il blocco verrebbe sicuramente sovrascritto,
> altrimenti c'è da andare a capire dove si trova e mettere l'offset
> appropriato in fase di cancellazione se la partizione criptata ha
> l'inizio buttato in giro nel disco tra altre partizioni
>
> per i nuke slots di cryptsetup serve ovviamente una versione
> appositamente patchata, e attualmente le uniche 2 distro di cui sono a
> conoscenza che integrano la patch sono kali [1] e parrot [2]
> la patch [3] è uguale per entrambe.
>
> una nota importante da fare sulla patch è che anche qualora andasse bene
> per un uso generico, è quasi inutile in caso lo storage venga sottoposto
> ad una corretta procedura forense in quanto dopo l'acquisizione bit per
> bit del drive, tutte le prove verrebbero fatte su copie dell'originale,
> e qualsiasi dump del blocco chiavi verrebbe ripristinato, motivo per cui
> la patch non è stata mai accettata in upstream e viene considerata piu
> un giocattolo che una feature.
>
> un'attenta lettura alla sezione 5.21 della FAQ di cryptsetup [4] è
> d'obbligo!

Preziosissime informazioni, Grazie Lorenzo :)
 
 
--
Felipe Salvador

Reply | Threaded
Open this post in threaded view
|

Re: Consigli su volumi criptati su LVM e RAID

gerlos
In reply to this post by Lorenzo "Palinuro" Faletra
Il 12/08/2018 03:07, Lorenzo "Palinuro" Faletra ha scritto:

>
> On 08/12/2018 02:40 AM, Felipe Salvador wrote:
>> On Sat, Aug 11, 2018 at 05:13:26PM +0200, gerlos wrote:
>>> In ultimo, vi chiedo una conferma: nel momento in cui dovessi
>>> dismettere i dischi criptati, per rendere inaccessibili i dati sarebbe
>>> sufficiente azzerare i primi MB dei dischi, giusto?
>> Non ne ho idea, immagino di si, spesso immaginare non basta.
>>
>> Io non so se LUKS utilizzi dei meccanismi per permettere un eventuale
>> recupero dei dati o se cancellando i primi MB si perda tutto per
>> sempre, quindi:
>>
>> https://www.kali.org/tutorials/nuke-kali-linux-luks/
>>
>> Mi pare un metodo valido, se non altro un alternativa assennata al "io speriamo
>> che ho cancellato tutto".
> Se sai quanto è grande l'header e sovrascrivi solo quello hai già reso
> il disco irrecuperabile salvo backup dell'header.
> ovviamente se scrivi un po di piu male non fa, quindi su un disco con
> una sola partizione luks, scrivere roba pseudorandomica  sul primo giga
> o sui primi 10 giga e già molto piu che sufficiente in quanto davvero il
> disco perde di significato senza l'header.
>
> perchè parlo di singola partizione? perchè cominciando a sovrascrivere
> dall'inizio del disco, il blocco verrebbe sicuramente sovrascritto,
> altrimenti c'è da andare a capire dove si trova e mettere l'offset
> appropriato in fase di cancellazione se la partizione criptata ha
> l'inizio buttato in giro nel disco tra altre partizioni
Grazie per le utili informazioni!

Da quel che leggo, se uno vuole poter dismettere un disco senza troppe
preoccupazioni per i contenuti, la cosa migliore da fare è mettere una
partizione cifrata LUKS il più possibile "vicino al metallo":

- Se si usano dischi singoli, meglio fare Metallo -> LUKS -> LVM -> File
System
- Se si usano dischi in RAID software, meglio fare Metallo -> RAID ->
LUKS -> LVM -> File System

Al momento di dismettere il disco si possono rendere inaccessibili i
dati sovrascrivendo l'header della partizione LUKS (generalmente 2 MB).

Poiché quando si usa LUKS per un disco di sistema spesso si usa il primo
GB per /boot, per rendere inaccessibili i dati sul disco dovrebbe essere
sufficiente sovrascrivere i primi 2-4 GB del disco con dati pseudo random.
Per esempio:

# dd bs=1k count=2M status=progress if=/dev/urandom of=/dev/sdX && sync

Per come funziona LVM, se si annida la partizione LUKS su un volume LVM
non c'è modo semplice di sapere in quale area *fisica* del disco si
trovi l'header LUKS, e quindi non c'è la certezza di sapere quale area
del disco debba essere sovrascritta, e per prudenza uno dovrebbe
sovrascrivere tutto (e con dischi di vari TB ci possono volere molte ore).

Ovviamente tutto questo supponendo di avere hard disk tradizionali a
piatto rotante.
Con SSD e SSHD credo che la situazione si faccia più complicata...

saluti e grazie ancora,
gerlos


gerlosgm.vcf (164 bytes) Download Attachment