Как правильно защитить внешний винт?

[Forest Gump]

От копирования.
И как эту защиту снять; И как можно обойти/взломать?

[Майк]

TrueCrypt
никак
никак

[Павел F.]

TrueCrypt хорошая штука. Но вот про никак и никак... я бы не заявлял столь уверенно. Как минимум ключ можно подобрать тупым перебором, это лишь вопрос времени, которого, в зависимости от ключа, может уйти оооооочень много.

[Shevi]

Тупой перебор - это очень продолжительно по времени, а значит не конечно - так что этот вариант можно откинуть сразу, ибо тот, кто задумался таким вопросом (вопрос ТС) - уж явно поставит ключ такой.... что перебирать не просто замучаешься - а "а.....енно за....шься". Так что: ТруКрипт у зубы (Спасибо Атосу за давнее знакомство мое с ТруКриптом) и вперед с песней.

[Павел F.]

Знаю, про время я сам же и писал выше. Но метод есть, хоть и хреновый. А про сложность ключа и вопрос ТС... я бы тоже не утверждал. Видел картину когда пароль рута от сервака был написан на бумажке и приклеен к самому шкафу. Еще видел когда у конторы было правило, директор за нарушение всех карал и отменять правило не желал, суть его заключалось в приклеенной на каждый системник бумажки на которой были написаны ip, инвентарный номер, фамилия ответственного, логин и пароль.

[Forest Gump]

тоже видел. В одной крупной конторе, где бывшие "погононосцы" рулили

[Shevi]

Гы ))) *это про последнее*

А по существу... Рекомендации дадены

[Forest Gump]

Вопрос последний. Таки ключ ставлю я, т.е. я же защиту эту снять могу?

[Павел F.]

Ну обладать ключом это как кольцо саурона))) Все в ваших руках. А так как уровень защиты напрямую зависит от сложности ключа делать его нужно соответствующим.

[Shevi]

Ну и тот, кому ты скажешь пароль....

[Майк]

С удовольствием посмотрю, как ты подберешь ключ, которым является, например, фотография моей кошки.

[Павел F.]

Как будто я буду руками из кирпичей пароль выкладывать... Запустил перебор и спать.
Ну и фотография кошки - сложный пароль
А ведь можно и пустой файл с именем "Новый файл" задать.

[Forest Gump]

То есть резюмируя:
Мне нужен ТруКрипт. Вариантов нормальных (простых, негромоздких, эффективных, и доступных) больше нет.
Хде взять?

Майк, Павел, Шеви- спасибо!

[Павел F.]

www.truecrypt.org

[koyot]

Не-е. Неправильно. Даже не прозвучал единственный правильный вопрос: а стоят ли реально данные того, что бы их старательно шифровать? Если расчет на потерю-кражу диска, то 99.99999% за то, что нашедшие-спершие увидев любую нечитаетмую хрень (а для этого достаточно просто поставить соответствующие аттрибуты на папку, например) просто грохнут ее нафик и не будут морочиться. В таком случае шифрование нах не нужно. Ибо интересны не данные, а железка. Или же есть вероятность того, что внешка может быть украдена именно из-за содержимого (ну, типа там, фоток с любовницей и т.п. ). Вот тогда шифрование нужно.

[Shevi]

В заглавном посте было ключевое слово "от копирования", так что есть ненулевая вероятность, что наиболее ценны именно данные, а не железка.

[koyot]

Во всей теме про защиту от копирования - ни слова. Все сводится исключительно к шифрованию.

А правильная формулировка, насколько я понимаю, должна быть: как защитить данные от несанкционированного доступа.

[Forest Gump]

Запутали, господа.

Сообщение от Forest Gump

Как правильно защитить внешний винт?
От копирования.
И как эту защиту снять; И как можно обойти/взломать?

Поясняю. Там стоят программы. Надо чтоб они были доступны для чтения, т.е. ими можно было пользоваться, но скопировать/создать клон диска и программ покомпонентно-нет!

[Shevi]

УУУУ... это несколько меняет дело...

[Forest Gump]

таак...

[Павел F.]

Т.е. пользователь должен уметь запускать приложения и, соответственно, пользоваться ими, но доступ к фс фактически не имел?

[langry]

Если можно прочесть — значит содержимое файлов уже доступно. Дальше осталось тупо сохранить искомое в другом месте. Копирование завершено. Это кагбе ликбез.

Наиболее простой способ — повесить ответственность за этот винт и право им пользоваться (раздавать данные с него) на одного человека, которого и дрюкать за утечку данных. Вцелом, подобная система давно существует в любой секретной части, за одним исключением: там не связываются с внешними носителями.

[Павел F.]

Сообщение от langry

Наиболее простой способ — повесить ответственность за этот винт и право им пользоваться (раздавать данные с него) на одного человека, которого и дрюкать за утечку данных. Вцелом, подобная система давно существует в любой секретной части, за одним исключением: там не связываются с внешними носителями.

Стандартный подход вояк. Все зависит от содержимого, часто ответственный может продать его дороже, чем выйдет ответственность.

[koyot]

Зависит от ответсвенности. Если ответсвенность - ноги в таз с цементом и в речку, то продавать могут и не рискнуть.

[koyot]

langry, в сущности, уже ответил. При наличии возможности чтения всегда можно сделать копию. Задача относится к классу нерешаемых. По крайней мере за разумные деньги.

Возможно существуют бяки типа тех, которые на сидюшки-дивидюшки ставятся. Дабы не дублировали. Но вряд ли это доступно бесплатно и еще менее вероятно, что бы оно было сильно действенно.

[Павел F.]

Тем не менее задача ТС так и не описана и такие выводы делать рано.

[koyot]

Да нет, в общем-то и так понятно - если есть требование читать данные, то это уже подразумевает возможность их где-то сохранить. Увы. От более подробного задания только варианты реализации могут измениться.

[Павел F.]

Но варианты есть.

[langry]

Тут одна тонкость: неясно где и как этот винт будет использоваться.

Представь: содержимое файла уже в памяти (кэше) — на этой стадии нужно разграничить доступ уже к этим данным, а не к их оригиналу на носимом винте. Значит либо некая TSR'ка в памяти, которая (как???) будет отслеживать их (данных в памяти) дальнейшую судьбу (это ещё если её вообще даст запустить локальный антиврь например); либо хитрое разграничение прав (запрет) записи на локальные (включая носимые) диски (что уже нереально если винт будут носить между машинами да и не совсем понятно зачем нужна работа с данными, которые вообще нельзя нигде сохранить!?). И?..

Проще назначить и вздрючить. См. выше.

[Tos]

Если всё это работает под Виндой то можно создать на диске два раздела,
- один с ярлыками и конфигами от программ к которому у пользователя есть доступ и
- второй раздел к которому нет доступа и на котором собственно программы и данные лежат.

Ярлыки лежащие на первом разделе содержат ссылки на запуск программ "от имени" пользователя" которому разрешен доступ к обоим разделам. "Ярлыки" сделать нестандартными, а написать на си# и скомпилять в экзешник.

Защиту построить на встроенном NTFS-шифровании.

[Павел F.]

Да даже если не под виндой, проблем то.
Только вот что за проги... И что за цель. Если цель сохранить саму прогу то да, вариант. Если данные проги тоже сохранять то как быть с "сохранить как..." в проге. Пока ТС ясности в задачу не внесет ответов не будет.

[Tos]

закрыть возможность "сохранить как", оставить только кнопку "сохранить"
+ правую кнопку мыши в виндовс окнах подизаблить, не, не правую кнопку мыши а вообще контестное меню, на всякий случай.

[didandr]

Еще, как вариант - замутить рейд, при котором данные будут делиться пополам на внешний и на внутренний харды.

[koyot]

Ребят, по-моему вы чепуху городите. Если у прользователя есть доступ к проге, но нет к данным, это означает, что прога должна быть запущена из-под другого пользователя (который имеет доступ к данным), либо логинится к данным под другим пользователем. Т.е. единственный в этом случае вариант - своя прога, которая будет давать доступ к данным в строго лимитированном виде и только для просмотра. И даже тогда останется вероятность, что пользователь перетаскает данные выводя их покусочно.

Короче мы так придем к тому, что надо написать новую операционку, на которой будет жить эта собственная софтина и она будет ни с чем не совместима. Для секретности.

[Tos]

Ограничения на возможность скопировать данные из проги - вопрос к проге. А вот как на системном уровне разрешить запуск программы и работу с данными, не имея доступа к файловой системе - идея с ярлыками вполне решает.

[Павел F.]

Сообщение от koyot

Ребят, по-моему вы чепуху городите.

Не чепуху. Писал я как-то оболочку, которая садилась верхом но гнома и давала запускать только три проги, блокировала все остальное. Что-то около описанного TOS.

[koyot]

Любая прога сводится к тому, что она запускается с правами того юзера, который имеет доступ к файлам. Либо запускает что-то из-под этого юзера, что бы получить доступ к данным. Либо она обращается к интерфейсу, по которому доступны данные по запросу (с правами конкретного юзера или с гостевыми). Все так или иначе сводится к тому, что нужна какая-то своя специфичная софтина, которая будет что-то из этих веще проделывать, но не давать физическому пользователю получать доступ к файлам. Я где-то неправ?

А суть вся та же: защитить данные уже существующей софтины, которая для их защите не заточена, мягко говоря, проблемно.

[Павел F.]

Задачей может стоять защита самой софтины. Чтоб была она одна, копии не делались. Это уже совсем друга тема. Почему и говорю что нужны пояснения ТС.

[koyot]

И мы возвращаемся вот сюда.

[~GZ]

Изначально исчерпывающий ответ в этой теме прозвучал еще 12-09-2010, 16:20.

[koyot]

Трукрипт спорен.

[~GZ]

Конкретная реализация криптования неважна.

[Andrey]

Понаписали-то... Эх...
Если полная формулировка задачи стоит как "есть некое хранилище софта + хранилище данных, которыми юзер должен мочь пользоваться (причем, видимо, не только в режиме read-only), но не иметь возможности утырить как софт, так и данные", то решение достаточно очевидно (странно, что до сих пор не написал никто).
1. Физический уровень: винт (или таки лучше рэйд?) поместить в отдельную машину, машину запереть в отдельной комнате с ограниченным доступом.
2. Логический уровень 1: абы не было возможности "в лоб" скопировать данные - доступ к софту осуществляется в терминальном режиме (реализация терпинального режима - в зависимости от базовой ОС для софта, но в общем-то щас для всех ОС есть нормальные терминалы). При настройке терминала полностью заблокировать возможности прямого доступа к файловой системе терминал-сервера.
3. Логический уровень 2: уж если хочется "полной безопасности" - рабочие станции, с которых возможен доступ к софту отрубить от Инета и других рабочих станций (любым методом разделения сетей, для полной безопасности выделить сегменты на уровне VLAN или физически разделить сети), а также полностью заблокировать возможности работы с любыми внешними накопителями. Если есть необходимость внешнего обмена - выделить станцию импорта-экспорта и для нее назначить привязку логина-пароля. Логин-пароль отдать "ответственному лицу" и все операции ввода-вывода данных осуществлять "двойным контролем" - то бишь ответственное лицо логиниться, некий работник делает обмен данными под наблюдением ответственного лица, далее станция разлогинивается.

В общем, всё. Решение, имхо, достаточно надежно даже в "базовой конфигурации". Если очень надо "совсем безопасность" - можно еще разделить сети на логическом уровне, коннекты через VPN нагородить и т.д.

Если же надо реализовать всё это дело "на отдельно взятом компе" - тогда только полная блокировка возможностей подключения внешних накопителей и привязка данных к установленной ОС (чтобы избежать возможности чтения данных методом переустановки ОС или подключения винта к другому компу).

Как-то так.

[Павел F.]

Красивая и стройная идея, насмерть убитая словосочетанием "внешний винт" в заголовке темы...

[Shevi]

А внешний винт положить внутрь системника ))))))) и подключить его там... внутри....

[langry]

…на скрутках!

[Andrey]

Точка подключения "внешнего винта" никак не определена.
Если это "ноут работника, который он может утаскивать домой" - сделать так, чтоб "вот этот конкретный винт цеплялся, а любая флэшка, воткнутая в тот же USB-порт - ни фига не работала" - это вполне решаемая задачка как под Win, так и под Linux (под MacOS не в курсе, но сильно сомневаюсь, что софтина на маке).

Опять же, если сложно бороться с самим фактом копирования... Можно зайти и "с обратной стороны" - винт (будь он хоть внешний, хоть какой) - он ОДИН ФИЗИЧЕСКИ. И сделать "копию физического девайса" почти нереально. Ничто не мешает написать (или запользовать из готовых) небольшую софтину, регистрирующую все подключения данного винта, а также прятающую какую-либо метку, генерируемую при каждом подключении в софт/данные. Далее достаточно обеспечить "передачу винта между работниками через диспетчера", в обязанности диспетчера вменить снимать лог данной софтины при каждом возврате винта.

В случае кражи софта/данных хотя бы будет достаточно просто установить "кто есть собака злая".

Кстати, дополнительное решение - в комп - любую виртуальную машины, в виртуальной машине напрочь отрезать "выход во внешний мир" и запретить операции обмена через буфер, настройки виртуалки закрыть на пароль. Для большей безопасности - сделать привязку софта к виртуальной ОС (любым методом).