Vlákno názorů k článku Vzdálené odemykání šifrovaného disku na serveru s Debianem od Daevid - Chápem to správne, že ak vypnem uvedený server,...

Chápem to správne, že ak vypnem uvedený server, tak som schopný z disku prečítať kľúč pre SSH Dropbear? Následne tento kľúč použiť na dešifrovanie komunikácie po SSH, kde klient posiela na SSH Dropbear heslo na dešifrovanie systémového disku?

Teda teoreticky by som musel to odchytené heslo pre odomknutie HDD poslať pomocou SSH kľúča klienta, ale bráni mi niečo pridať do servera nový SSH klúč (nového klienta)?

8. 12. 2021, 12:41 editováno autorem komentáře

Ne, veřejný klíč vám nijak nepomůže dostat se k obsahu komunikace. To by postrádala celá asymetrická kryptografie smysl, já mám veřejné klíče vystavené na volně dostupném web serveru. K šifrování obsahu komunikace se používá jednorázový symetrický klíč, který ale neputuje vůbec po síti, takže ho nelze zachytit (klíčová slova: Diffie–Hellman key exchange a forward secrecy).

Pokud máte přístup k obsahu toho disku po vypnutí, máte jednodušší možnosti: třeba injektovat do ramdisku vlastní kód, který vám to heslo prostě pošle (klíčová slova: evil maid attack). Tomu zabrání jen podepsání potřebných částí a jejich ověřování v UEFI secure boot. Pak to po modifikaci nenabootuje.

8. 12. 2021, 12:50 editováno autorem komentáře

Už je to dávno čo som si schému Diffie–Hellman pozeral, budem si to musieť naštudovať znova... Mal som za to, že čo sa privátnym kľúčom zašifruje, dá sa verejným dešifrovať a naopak.

Podpísanie samotného kódu a overovanie pomocou UEFI by problém teoreticky riešilo. Nie som si ale istý, či tento mechanizmus je nejako ošetrený napríklad proti výmene základnej dosky za takú, ktorá by sa na to overenie proste vykašlala a kód spustila aj tak...

> Ne, veřejný klíč vám nijak nepomůže dostat se k obsahu komunikace.

To je čistě technicky pravda, ale může udělat MITM - díky znalosti veřejného klíče se SSH nebude bránit, že se klíč protistrany změnil.

S řešením pomocí backdooru souhlasím, osobně bych to taky tak dělal, zejména protože jsem na SSH nepotkal žádný dobrý MITM program.