Die CryptoBox

1. Allgemeines
   1. Zieleigenschaften
   2. Zielgruppe
   3. Auslieferungsformen
2. Dienste
   1. webinterface
   2. Samba
   3. cups [optional]
3. Kommunikationssicherheit
   1. Varinate A - Dienste verlangen Zertifikate einer CA
   2. Variante B - ipsec
   3. Variante C - ssl+iptables
4. Sicherheit
   1. physisch
   2. DAU-Abschirmung
   3. system
   4. pw aendern
5. Doku
6. Nerd-Pride

---

Allgemeines

Zieleigenschaften

• Daten sind in ausgeschaltetem Zustand geschützt

• Netz gilt als relativ begrenzt und sicher

  • kaum Schutz vor Hackern im lokalen Netz

• Schutz vor Einbrechern/Hausdurchsuchung

• einfache Hardware genuegt (ab 586)

• eine grosse Festplatte

• (un)mounten ueber einfaches web-interface (mit ssl)

• anwenderfreundlich

Zielgruppe

• untechnische Gruppen mit gesunder Paranoia

• keine Vorkenntnisse über Server und Kryptografie notwendig

• für Einzelpersonen wegen Energiebedarf wohl eher ungeeignet

• alle dürfen es nutzen - Support nur für die Guten

Auslieferungsformen

• Live-CD + einfache Benutzeranleitung (för ölle)

• komplette Entwicklungsdokumentation (för säminörds)

• Verweis auf die man-page von dmsetup (för nörds)

---

Dienste

webinterface

• Aufgaben:

  • (un)mounten

  • MAC-Liste setzen

  • Ausschalt-Knopf

  • Neu-Initialisierung einer Datenfestplatte

  • Durchführung eines Backups

    • tar durch ccrypt schicken mit einem per webinterface eingetippten Passwort

    • eventuell Datei splitten falls größer als [hier beliebige Schwelle einsetzen, z.B.: 650MB]

    • Ergebnisse sind über samba erreichbar

Samba

• gast-Freigabe ohne Passwort

cups [optional]

• Druckerdienst (zumindest braucht lobbi das)

  • das is aber nich originol

Kommunikationssicherheit

Varinate A - Dienste verlangen Zertifikate einer CA

• alle Clients bekommen Zertifikate

• die CA liegt auf der crypto-partition

• per webinterface koennen neue Zertifikate erzeugt werden

  • fuehlt sich komisch an, muss aber wohl sein - Alternativen? [l]

• http und samba gibt es nur mit einem korrekten Zertifikat der CA

Variante B - ipsec

• racoon als Schluesselserver

• Vorteile:

  • Verschluesselung fuer alle Dienste ohne basteln

  • wird von Windows unterstuetzt

• Nachteile:

  • für die Labor-wlan-Verbindung war es nicht brauchbar - mystische Ausfaelle

Variante C - ssl+iptables

• stunnel macht den Webserver ssl-faehig

• samba gibt es auch mit ssl - muss aber vielleicht auch nicht

• die MACs der clients müssen freigechaltet werden - iptables

Sicherheit

physisch

• Kernel ohne Konsole konfigurieren

• Grafikkarte ausbauen

  • langfrist

• Tastatur-Port kurzschließen

DAU-Abschirmung

• timeout von 60 Minuten - danach samba beenden, crypto unmounten und abschalten

  • Problem: smb-broadcasting-muell wird staendig hin- und herfliegen ... [l]

  • Lösung: herausfinden, welche Ports echten Datenverkehr darstellen

system

• kein ssh

• root ohne gueltigen Passworteintrag

• eine systempartition (ro)

• eine fette daten partition

pw aendern

• was machen wenn jemand das kennwort geschnappt hat?

  1. ein Backup der Daten erstellen lassen

  2. die crypto-Platte neu initialisieren

  3. das Backup wieder einspielen - im Idealfall natuerlich mit unserem crypto-Backup-Skript

Doku

• jeder Schritt der Erstellung wird per Shell-Skript reproduzierbar gemacht

• Ziel: System ohne Unsicherheit, notfalls jedesmal neu bauen lassen

• Nutzerdoku in ein Wiki

• beides in ein svn-repos

Nerd-Pride

• Erkennung der Netzwerk-Hardware

  • damit wir keine vorkonfigurierten Komplettrechner ausliefern müssen

  • bei Knoppiix abgucken

• Led, die den crypto-Status anzeigt

• externer Abschalter (sanft!) für nicht-atx