En quoi les systèmes de fichiers chiffrés peuvent aider ?

[ѠOOT]

Pour les flemmards de la lecture, je résume ce que vous savez déjà à savoir qu'en cas de ventes, de vols, de pertes,... de vos machines, le chiffrage est un moyen efficace de dissuader les curieux d'aller, à votre insu, à la pêche aux infos. Les documentations officielles recommandent également de verrouiller le BIOS afin d'interdire l'amorçage depuis un support amovible. La raison ? Une insertion du CD/DVD d'installation ou d'une clé bootable / LiveCD d'un autre système d'exploitation permet de manipuler tous vos fichiers.

Mais verrouiller l'accès au BIOS est un peu illusoire car:
- Certains BIOS peuvent être ré-initialisés en retirant la pile.


- Certains BIOS sont backdoorés et/ou passwords génériques.
- Certains BIOS peuvent être ré-initialisés sans difficultés.
- Certains BIOS ... + mots de passes trop faciles à casser.

Certains BIOS sont pré-configurés de manières plutôt discutables, options activées par défaut, y compris l'acceptation de paquets magiques en WoL. Ceci dit, comparé à cette cochonnerie d'UEFI - no comment -

Sans entrer dans d'autres méthodes d'amorçages ( PXE si activé, utilisation de dispositifs PS2/USB/FireWire,... ) → si une personne non autorisée extrait, duplique ou embarque la machine ou vos mémoires de masse ( disques durs, etc... ) : le verrouillage du BIOS, sensé être une barrière, ne servira plus à grand chose.

device-mapper , gestionnaire de volume logique , LVM2, LUKS ... chiffrement de disque, ça vous parle ?

Je ne vais pas détailler davantage, il y a suffisamment de tutoriels et de documentations.
→ Les bases
→ Fonctionement interne
→ Les snapshots

Certaines distributions proposent ce choix à l'installation.
( ps: à l'install, pas l'idéal mais... mieux que rien )


Demande de phrase secrète.


Phrase secrète valide, démarrage...


Demande d'identification utilisateur.


En cas de perte ou de vol, avec vos disques chiffrés (+ autres mesures, ex: GRUB configuré), le commun des mortels ne pourra pas accéder instantanément à vos données ce qui vous laissera le temps d'anticiper et de réagir en conséquence.

Entreprises, pour vous prémunir des "techno-voleurs" (intéressés par vos données (secrets)) : faites appel à des professionnels car ces individus sont malins et souvent bien informés (ex: techniques d'ingénierie sociale ). Ils auront plutôt tendance à s'attaquer aux maillons manquants de vos mécanismes de protections. Donc les cibles seront la capture de mots de passe, clés de chiffrages,... en recourant par exemple aux techniques de black-bag, aux écoutes sauvages / clandestines : installer des dispositifs miniaturisés à des fins d'espionnages, du genre enregistreur de frappes matériel, piège sur périphériques ( ex: à l'intérieur d'un clavier ) ou encore objet anodin, parfois dissimulé, aux capacités de surveillances ( optiques, sonores,... )

Enfin, si par malchance ( ça n'arrive pas par hasard ces choses là :þ ), vous êtes en présence d'intrus du genre "mutants" sur-entrainés, équipés comme des princes et très déterminés alors j'aurais tendance à dire que vous n'aurez tout simplement aucune chance.

Les disques chiffrés dissuadent efficacement la grande majorité des curieux.
Le but ultime est de gagner du temps, de ralentir les accès aux données.
Vous l'aurez compris, "la" sécurité physique n'est pas chose aisée, limitée aux moyens.
D'autant que les disques commercialisés regorgent de surprises ( cf: informatique légale ).
Des contre-mesures de toutes sortes existent, contraignantes et onéreuses mais existent!

[Malekal_morte]

yep par contre, c'est plus galère pour les désinfections par CD Live avec les ransomwares Fake Police et Scarewares qui bloquent le système :'(

[ѠOOT]

Bonjour,

J'ai du mal à comprendre la remarque sur les désinfections puisque l'article présente les fonctionnalités proposées par Linux, par défaut, permettant de chiffrer le contenu de ses mémoires de masse. Pour rappel, il est tout de même possible de déchiffrer depuis un sous-système, en cas d'inaccessibilité du système. A moins bien sûr que tout soit sérieusement endommagé ( ex: panne matériel du disque ). Mais comme je l'ai déjà rabâché : "Avant d'investir dans des solutions 'miracles' aux noms époustouflants qui détectent l'indétectable, même ce qui n'a pas encore été inventé... que vous soyez sous Linux, Mac, Windows ou autre, commencez donc par prendre le temps de mettre en place un système efficace de sauvegardes automatisées." Dès lors que vos données les plus importantes sont préservées en sécurité, le "reste" devient le cadet de vos soucis. Même si votre disque se prends un astéroïde ( galéjade :þ ) sur la tronche, vous pourrez tranquillement ré-injecter vos données dans un disque neuf. Un disque n'est autre qu'un conteneur physique sans guère importance ; sa valeur réelle réside dans ce qu'il contient : vos données. Il existe des outils performants afin de surveiller en permanence l'état de santé de son matériel, scruter les anomalies, établir des probabilités, anticiper les pannes, ... renseignez-vous.

[Malekal_morte]

C'était une remarque générale sur le chiffrage des disques, car c'est arrivé d'avoir des portables d'entreprise (?) ou les disques étaient illisibles depuis un CD Live, du coup, avec les ransomwares, c'est la galère.
Après faut que le CD Live gère le système de chiffrage et avoir un mot de passe, si ça marche avec cela.

Sinon pour les sauvegardes, oui je suis d'accord, surtout à l'heure des ransomwares chiffreurs de fichiers :(