Страааааная задача - защита от клонирования раздела HDD

[wsdx]

Что нужно? Нужно сделать так, чтобы раздел с виндой работал (грузился и все такое - без паролей и прочих ключей), но склонировать тем же акронисом его было нельзя. И ничем было нельзя.

Предложите софт, если кто сталкивался. Деньги за софт - не проблема.

[Linuxoid]

в голову приходит загрузчик, сверяющий серийный номер жесткого диска с эталонным, грузящий винду если всё ок и посылающий лесом при несовпадении...

[Павел F.]

Что мешает той же дд записать 300 с чем-то байт идеологически верного загрузчика не сверяющего ничего? Какая-то не очень защита.

[McLane]

а попПАдробнее ? что за HDD, в каком устройстве стоит (комп, ноут ...) мать какая ? может интеловое шифрование на матери включено ....

PS вроде всегда Ghost от дяди Нортона побайтово копировал разделы без проблем

[wsdx]

Да обычный системник и обычный винт САТАшный. Мать не Интел. Фишка в том, что шифрование хорошо, когда работоспособность сохранять не нужно. А мне нужно, чтобы это работало без паролей всяких, но скопировать раздел было нельзя.

[mr.Karapuz]

аппаратно?

[wsdx]

На войне все средства хороши.

[mr.Karapuz]

Выключить (запаролить) интерфейсы и заклеить корпусные винты "пломбами"

[Major Keis]

Зашифруй и нехай копируют.

[LOM]

Сообщение от wsdx

Что нужно? Нужно сделать так, чтобы раздел с виндой работал (грузился и все такое - без паролей и прочих ключей), но склонировать тем же акронисом его было нельзя. И ничем было нельзя.

Предложите софт, если кто сталкивался. Деньги за софт - не проблема.

не бывает такого даже теоретически. все что есть можно скопировать подключив твой винт к другому компу. Так что только шифрование спасет "отца русской демократии". Для винды TrueCrypt рулит. в Linux ваще как грязи...

P.S. По заказу одной конторки реализовывал такой раздел, которого нет пока флешку с определенным номером и 4к bit ключем на ней в сервак не воткнут,
а вот на этом разделе уже стоит винда сервер которая в виртуалке живет. Сервак спрятан за суровой дверью и вырубается от SMS или спец команд по сети. Так что на случай маски шоу всегда успеваешь загасить.

[МойРульСправа]

Vipnet safeDisk- чуть больше штуки стоит софт.

[headhunter]

эээ, как он на железо без пароля ложится?

[МойРульСправа]

На железо только с паролем, но можно выставить потом сохранение пароля.

[Andrey]

Первое, что приходит в голову - это SecretDisk (вроде с 4-й версии там всё поддерживается в таком виде). Делаешь так:
1. Загрузочный диск "в зеркало" (чтоб наверняка ).
2. Оба зеркала закрываешь шифрованием SecretDisk на уровне "диск целиком".
3. В параметрах SecretDisk ставишь загрузку "при наличии ключа без ввода пароля".
4. Отковыриваешь откуда-нидь заднюю планку с дополнительными USB-разъемами, втыкаешь в маму проводки, планку кладешь внутри корпуса, в нее втыкаешь флэшку с файлом-ключом.
5. Корпус надежно защищаешь от несанкционированного вскрытия - либо корпус с предустановленным "ухом" под небольшой навесной замочек, либо сверление корпуса и установка любого замка с ключом или кодом.

Всё! Визуально у юзера изменится только выпрыгивание инициализации SecretDisk где-то на 0,5-1,5 секунды (зависит от производительности железа) перед загрузкой ОС.

В любом виде скопированный раздел (хот Ghost, хоть DD, хоть загрузившись с livecd, хоть с бубном, хоть без онного) - это шифрованный SecretDisk-ом набор байтов, который при длине ключевого файла даже в 2Кб - затрахаешься брутфорсить даже Крэем

Есть подозрения, что вроде есть подобный режим у TrueCrypt, но уверенности нет.

Да, кстати... Насколько я помню - чтение ключа с флэшки там делается периодически, но не часто... В принципе, ничто не мешает иметь где-то в ОС команду, стирающую ключ и запускающуюся по какому-либо событию/команде... Таким образом - можно удаленно "убивать сервер, сохраняя данные" (ну, ест-но, надо иметь где-то в хорошей нычке копию ключа )

[wsdx]

Хм. Загвоздка в том, что ключ оставлять не хотелось бы, но идею стоит обдумать. Спасибо!

[Andrey]

У SecretDisk точно есть режим "одноразового опроса" (то есть читает ключ тока при загрузке), но сам SecretDisk его "не любит", считая снижением безопасности. Но работает.

[arzakon]

А от copy-paste он тоже защитит?

UPD: А если загрузиться с livecd и тем же dd склонировать флешку - клон флешки позволит загрузиться со скопиованного раздела?

[wsdx]

А копи-паст пофигу.
Я вот все думаю - а клонирование разделов из-под загруженной винды как пройдет?

[arzakon]

Из-под винды можно попробовать wubi, DSL linux, virtualbox/vmware с access to raw drive.

Интересно, прокатит ли вариант с загрузкой с livecd, dd зашифрованного раздела и клонированием флешки.

[DeD]

Сообщение от arzakon

клонированием флешки.

eToken если заюзать, то не получится.

[Andrey]

Даже без токена есть варианты сделать сложно переносимый ключ (лобовым dd не копируемый точно). Но токен надежнее

[Lex]

а че пофигу, то?
загрузчик потом чтоль не привинтят к ПОЛНОЙ копии винды?

[Andrey]

Мне в копи-пастном варианте очень хочется узнать - как вы из загруженной винды сумеете скопировать файлы реестра, а именно в них хранится львиная доля настроек конкретной копии винды.

Для тех, кто хочет поэкспериментировать - welcome to %windir%\System32\config. Расскажите, плиз, алгоритм, как из загруженной винды вы скопируете файл хайва System, например (файл system без расширения в указанном каталоге). Очень хочу послушать А то я не умею...

[Lex]

не пробовал честно )
анлокер не прокатит?
через резервное копирование?
через точки восстановления?
))

[Vic]

Уточни, есть ли доступ к учётке админа.

[Andrey]

Угу...
Я предлагаю расширить условия задачи: давайте решим задачу блокировки возможности создать клон диска при условии, что рядом с компом написан пароль на доступ в CMOS, админский пароль, на всякий случай еще и пароль доменного админа, все пароли на доступы ко всяким там ключам аппаратной защиты и т.д. и (чего уж жадничать) лежит комплект инструмента для разборки-сборки компа и рядом парочка еще компов (тоже со всеми паролями и услужливо подключенными мобил-рэками и выведенными на морду USB-разъемами). Еще чего-нидь надо?

Если у "потенциально заинтересованного лица в создании клона" есть все логины-пароля уровня админа - любая задачка защиты в принципе не имеет решения в области софта-железа на уровне компа. Надо тогда уже более дальний уровень защиты поднимать - ограничение доступа в помещение, ограничение вноса носителей и т.д.

[Vic]

Да я на самом деле немного в другую сторону думал.
Поясню на примере вин хп (просто не знаю, как с этим на семёрке).

Вот есть у меня админовские права.
Смогу ли я без перезагрузки дефрагментировать файл подкачки?
Хер там!
Казалось бы, в чём проблема? Все права есть!
А вот хер там!
Я думал, твоя задачка из этой области.

[Павел F.]

А загрузившись нельзя будет загрузчику винды сказать чтоб он другую ось, с флешки например, зацепил и перезагрузиться? Секрет диск это поймет?

[Andrey]

SecretDisk ставится "в винду" и жестко ввязвается в ее загрузчик. Не знаю как в последних билдах, но в первых билдах 4-ки были жесткие баги с мультизагрузочными системами. Ключ и/или пароль запрашивается как раз в момент "запуска загрузчика винды", насколько я понимаю - подсунуть "другой", имхо, ни фига не выйдет... Точнее выйдет, но тока зашифрованный диск ты не увидишь.

[Павел F.]

Я не говорю другой, я говорю чтоб загрузчик винды загрузил не винду. Так можно ). Т.е. загрузчик стартует тот же самый, в нем мы как раз ничего не меняем.