English
Deutsch
  1. Allgemeines
    1. Zieleigenschaften
    2. Zielgruppe
    3. Auslieferungsformen
  2. Dienste
    1. webinterface
    2. Samba
    3. cups [optional]
  3. Kommunikationssicherheit
    1. Varinate A - Dienste verlangen Zertifikate einer CA
    2. Variante B - ipsec
    3. Variante C - ssl+iptables
  4. Sicherheit
    1. physisch
    2. DAU-Abschirmung
    3. system
    4. pw aendern
  5. Doku
  6. Nerd-Pride

Allgemeines

Zieleigenschaften

  • Daten sind in ausgeschaltetem Zustand geschützt

  • Netz gilt als relativ begrenzt und sicher

    • kaum Schutz vor Hackern im lokalen Netz

  • Schutz vor Einbrechern/Hausdurchsuchung

  • einfache Hardware genuegt (ab 586)

  • eine grosse Festplatte

  • (un)mounten ueber einfaches web-interface (mit ssl)

  • anwenderfreundlich

Zielgruppe

  • untechnische Gruppen mit gesunder Paranoia

  • keine Vorkenntnisse über Server und Kryptografie notwendig

  • für Einzelpersonen wegen Energiebedarf wohl eher ungeeignet

  • alle dürfen es nutzen - Support nur für die Guten

Auslieferungsformen

  • Live-CD + einfache Benutzeranleitung (för ölle)

  • komplette Entwicklungsdokumentation (för säminörds)

  • Verweis auf die man-page von dmsetup (för nörds)

Dienste

webinterface

  • Aufgaben:

    • (un)mounten

    • MAC-Liste setzen

    • Ausschalt-Knopf

    • Neu-Initialisierung einer Datenfestplatte

    • Durchführung eines Backups

      • tar durch ccrypt schicken mit einem per webinterface eingetippten Passwort

      • eventuell Datei splitten falls größer als [hier beliebige Schwelle einsetzen, z.B.: 650MB]

      • Ergebnisse sind über samba erreichbar

Samba

  • gast-Freigabe ohne Passwort

cups [optional]

  • Druckerdienst (zumindest braucht lobbi das)

    • das is aber nich originol

Kommunikationssicherheit

Varinate A - Dienste verlangen Zertifikate einer CA

  • alle Clients bekommen Zertifikate

  • die CA liegt auf der crypto-partition

  • per webinterface koennen neue Zertifikate erzeugt werden

    • fuehlt sich komisch an, muss aber wohl sein - Alternativen? [l]

  • http und samba gibt es nur mit einem korrekten Zertifikat der CA

Variante B - ipsec

  • racoon als Schluesselserver

  • Vorteile:

    • Verschluesselung fuer alle Dienste ohne basteln

    • wird von Windows unterstuetzt

  • Nachteile:

    • für die Labor-wlan-Verbindung war es nicht brauchbar - mystische Ausfaelle

Variante C - ssl+iptables

  • stunnel macht den Webserver ssl-faehig

  • samba gibt es auch mit ssl - muss aber vielleicht auch nicht

  • die MACs der clients müssen freigechaltet werden - iptables

Sicherheit

physisch

  • Kernel ohne Konsole konfigurieren

  • Grafikkarte ausbauen

    • langfrist

  • Tastatur-Port kurzschließen :)

DAU-Abschirmung

  • timeout von 60 Minuten - danach samba beenden, crypto unmounten und abschalten

    • Problem: smb-broadcasting-muell wird staendig hin- und herfliegen ... [l]

    • Lösung: herausfinden, welche Ports echten Datenverkehr darstellen

system

  • kein ssh

  • root ohne gueltigen Passworteintrag

  • eine systempartition (ro)

  • eine fette daten partition

pw aendern

  • was machen wenn jemand das kennwort geschnappt hat?

    1. ein Backup der Daten erstellen lassen

    2. die crypto-Platte neu initialisieren

    3. das Backup wieder einspielen - im Idealfall natuerlich mit unserem crypto-Backup-Skript :)

Doku

  • jeder Schritt der Erstellung wird per Shell-Skript reproduzierbar gemacht

  • Ziel: System ohne Unsicherheit, notfalls jedesmal neu bauen lassen :)

  • Nutzerdoku in ein Wiki

  • beides in ein svn-repos

Nerd-Pride

  • Erkennung der Netzwerk-Hardware

    • damit wir keine vorkonfigurierten Komplettrechner ausliefern müssen

    • bei Knoppiix abgucken

  • Led, die den crypto-Status anzeigt

  • externer Abschalter (sanft!) für nicht-atx

last edited 2005-07-07 17:18:29 by