Ну так многие используют осознанное полнодисковое шифрование (например LUKS) + ZFS. Проблема в существовании невидимых программ в защищенных рингах (приоритетнее ядра). Что им мешает зашифровать диск еще ДО LUKS своими алго, а потом в час Х потребовать с вас баблища?

ясн спс. а что есть проблемы с шифрованием zfs?

Добрый вечер, 1) Подскажите, может ли какой-нибудь зловред перезаписывать содержимое снэпшотов незаметно? Не в смысле клонирования, монтирования и записи как обычно незловреды, а именно изподтишка? 2) Встречались ли вам хотя бы упоминания буткитов шифровальщиков, которые незаметно шифруют устройства пула vdevs?

Так у вас постфактум это произошло или вы тут просто нафантазировали и разведите панику?

Пару лет назад у меня был случай со свежеустановленным pfSense, которую вырубало несколько раз через несколько секунд/минут после включения, до тех пор, пока я не отключил SSH на внешнем интерфейсе. IMHO это показатель утечки ключей с рабочей станции либо через bootkit либо через побочные каналы, ПЭМИ и т.п. Хотя с другой стороны может быть и демонстрация наличия закладок в SSH+железке шлюза X86. Сейчас у меня другая железка на рабочей станции и неизвлекаемые ключи, а для SSH доступа на хосты и вовсе выделенный ARM одноплатник, где акромя SSH клиента и PCSC обвзязки для аппаратной криптухи больше ничего нет. По идее надо бы держать хотя бы одну backup реплику ZFS тоже на ARM одноплатнике с неперешиваемым BootROM и SATA экстендером портов.

Ни разу не сталкивался с копрометацией своих паролеи и ключей ssh. Но побаиваюсь этого Кстати, Это может быть связано и с атакой "человек посередине" при первом доступе. .

Ни разу не сталкивался с копрометацией своих паролеи и ключей ssh. Но побаиваюсь этого Кстати, Это может быть связано и с атакой "человек посередине" при первом доступе. .

легкие пароли улетают на раз два

Ни разу не сталкивался с копрометацией своих паролеи и ключей ssh. Но побаиваюсь этого Кстати, Это может быть связано и с атакой "человек посередине" при первом доступе. .

легкие пароли улетают на раз два

Там ключ был сразу установлен еще в локалке, паролями для SSH в Internet вообще не пользуюсь, кроме как в локалке и для тестовых экспериментов.

теперь я ссш открываю только доверенным ип адресам

ну уж увольте) безопасность это не сфкрический конь в вакууме. Всё что мы можем сделать это уменьшить вероятность успешной атаки

а секурное железо, это что например?

я думаю можно заканчивать на этом. пойду страдать 😭😭😂

Добрый вечер, 1) Подскажите, может ли какой-нибудь зловред перезаписывать содержимое снэпшотов незаметно? Не в смысле клонирования, монтирования и записи как обычно незловреды, а именно изподтишка? 2) Встречались ли вам хотя бы упоминания буткитов шифровальщиков, которые незаметно шифруют устройства пула vdevs?

снапшоты нельзя модифицировать, только создавать новые

а можно вклинюсь? в чем профит zfs over luks в данном случае по ср. с нативным шифрованием zfs?

снапшоты нельзя модифицировать, только создавать новые

нет ничего невозможного, но очень сомнительно что кто-то будет выполнять столько работы.

* нельзя без огроменной модификации zfs, на которую core разрабы 20 лет как сами не готовы

если какой-то шифровальщик осилит без убийства пула - нужно будет позаимствовать)))

Проблема с шифровальщиками не в том, что они могут модифицировать структуры данных ZFS, а то, что теоретически могут незаметно постепенно закриптовать блочные устройства еще до ZFS и даже до LUKS, ну или наоборот поверх ZFS, отчего вообщем то не легче.

могут, но не изменяя уже существующий снапшот, я про это

Зачем им менять снэпшот?

какой вопрос был задан, на такой и ответил)

> Подскажите, может ли какой-нибудь зловред перезаписывать содержимое снэпшотов незаметно?

Зачем снэпшоты, блочное устройство под ZFS, а потом в час икс перестанет его автоматически расшифровывать и все пипец, приплыли.

от такого только бекапы на другом хосте со срезом по времени теми же снапами помогут

Вот я и предлагаю держать хотя бы одну реплику ZFS на одноплатниках ARM, где с буткитами вроде бы получше, чем на дырявых по самое днище X86.

А что у нас на одноплатниках arm есть secure boot?

zfs и secure boot не дружат

Вот берем редкий одноплатник, вкатываем на него редкую NET BSD и получаем ZFS без сюрпризов, нет?

Ну и когда он станет популярным, найдутся буткиты и все остальное

Может быть на каких-то и есть, но даже без secure boot, если на одноплатник ставить только минимум оси и ZFS, юзать только в качестве ZFS storage и никак иначе, сколько там точек для внедрения буткитов? Прошивка microSD? readonly прошивка TrustZone на заводе производителе чипа (навряд ли)? что еще?

А что мешает то же самое сделать с x86?

Куча PCI девайсов и собственно сам бивис, куда можно шить буткиты.

Что мешает использовать libreboot/secureboot/etc?

Что мешает их перешить? https://www.securitylab.ru/analytics/432914.php

Что мешает не использовать pci устройства

Аппаратные перемычки на плате

И где же взять такие перемычки? Купить матплату 20 летней давности? Что мешает производителю чипа немножечко обмануть юзеров, и сделать чип перешиваемым для сами знаете кого, даже с отключенной перемычкой?

С таким же успехом я это переворачиваю в сторону arm Если честно вы страдаете херней, и сейчас уйдёте вплоть до того что в cpu могут быть бэкдоры Ps современные uefi сейчас вообще «аппаратный» рубильник в себе имеют. Запретили шить в настройках и все

Ухаха, а их там будто нет? Даже находили в тех же VIA. Только такие закладки перпендикулярны шифровальщикам-зловредам, если шифровальщик уже не внедрен в CPU целиком.

Не пользуйтесь тогда не одним вычислительным устройством :) Создайте свой cpu и архитектуру, напишите сами ОС, заодно портируйте туда open zfs и выводите на рынок, сообщество спасибо скажет

И кому после этого нужно в дурку?

Не знаю, не я ж тут флужу в чате про файловую систему, псевдодырками в загрузчиках

Не знаю, не я ж тут флужу в чате про файловую систему, псевдодырками в загрузчиках

@gmelikov как думаете, может есть таблетки для такого? 😂

Буткитов не существует, ога? Про зловредов - шифровальщиков тоже никто не слыхал? А собственно что мешает их совместить и сделать гибрид - невидимку?

Мешают кривые ручки производителей железа и непредсказуемость трактоватетей RCF ... Можно сделать под одну плату, можно под две, нельзя под все ...