sécurisé son home (chiffré après installation)

crap0 · 09-08-2020 08:00:12

Bonjour

J'ai fais une installation manuel de ma debian (car étant sur un ssd et ainsi évité la partition swap)
Je n'ai pas utilisé les volumes LVM, ni chiffré quoi que se soit...
Je ne suis pas en dual boot avec une autre debian, un osx ou un win...

Cependant j'aimerais sécurisé les infos contenu dans mon ordi... Le home (of course) + le reste (même si j'en vois moins l'intéret)
J'aimerais mettre un second utilisateur dont, entre les deux, il ne devrait y avoir moyen d'échanger ou plutôt voir les fichiers de l'un l'autre...

Dois je utiliser LUX ? Chiffré la totalité du disque (il n'y aurait qu'un pw pour les deux donc problèmes)?

merci !!

raleur · 09-08-2020 09:11:02

crap0 a écrit :

il n'y aurait qu'un pw pour les deux donc problèmes

Les deux quoi ?

crap0 · 09-08-2020 10:05:07

les deux utilisateurs...

je cherche juste à mettre à l'abri des regards mes données de quelqu'un qui aurait un live ou accés à l'autre session que la mienne

raleur · 09-08-2020 10:32:16

Il existe plusieurs façons de chiffrer tout ou partie d'un système de fichiers. Exemples :

1) Avec un sous-couche de chiffrement disque comme dm-crypt/LUKS.

2) Avec une surcouche de chiffrement des fichiers comme eCryptfs.

3) Avec un système de fichiers gérant nativement le chiffrement.

A ma grande surprise, il semblerait que ext4 supporte le chiffrement natif avec fscrypt.
fscrypt est disponible à partir de buster.

eCryptfs n'est pas disponible dans buster.

Le chiffrement disque avec LUKS nécessite l'utilisation d'une passphrase pour ouvrir un volume chiffré. Un volume chiffré peut avoir plusieurs passphrases. On ne peut pas chiffrer une partition existante sans perdre ses données. Il faut donc le prévoir à l'installation.

On peut aussi créer des volumes chiffrés avec clé aléatoire générée à chaque démarrage pour des données temporaires (swap sans hibernation, /tmp) mais la façon donc l'installateur Debian les déclare dans /etc/crypptab n'est pas fiable et crée un risque non négligeable d'écraser une autre partition quand il y a plusieurs disques (observé).

Les trois peuvent être intégrés avec PAM pour monter un volume chiffré ou déverrouiller des fichiers et répertoires chiffrés lors de l'ouverture de session d'un utilisateur.

crap0 a écrit :

je cherche juste à mettre à l'abri des regards mes données de quelqu'un qui aurait un live ou accés à l'autre session que la mienne

Ce n'est pas la même chose. Pour empêcher un utilisateur (sauf root) d'accéder à aux données d'un autre utilisateur, il suffit de régler les permissions Unix standard.
Par contre pour empêcher l'accès aux données depuis un système live, il faut les chiffrer.

crap0 · 16-08-2020 11:31:44

Donc ...
je refais une installation et j'utilise LUKS pour chiffrer le disque.

puis j'attribue des permissions UNIX pour bloquer l'accès du compte "invité" (qui est ici un compte normal avec un /home normal ...) à mon compte "crap0"

ainsi avec LUKS je protège "les comptes" d'une session LIVE
et les permissions UNIX me protègent par la suite "des autres comptes" ...

(vais regarder ces permissions UNIX, souvant entendu parlé mais jamais trop trifouiller)

a+ + pluche
merci aussi

crap0 · 16-08-2020 11:34:33

LUKS me pose un problème (j'avais déjà essayer)
je mentionne un mot de passe en azerty dans l'installateur de ma Debian
... lance pour la première fois mon système installé
et le mot de passe m'est refusé : je dois utiliser l'équivalence pour mon pw LUKS en qwerty
- du coup c'est boxon ... y a t-il une solution ?

(tchuss & thanx)

Dernière modification par crap0 (16-08-2020 11:35:54)

raleur · 16-08-2020 12:12:58

crap0 a écrit :

ainsi avec LUKS je protège "les comptes" d'une session LIVE
et les permissions UNIX me protègent par la suite "des autres comptes"

Attention : un utilisateur doit connaître la (ou une, s'il y en a plusieurs) passphrase de chiffrement pour démarrer le système. Du coup s'il peut démarrer avec un autre système dans lequel il a tous les droits, il peut accéder aux données de tous les utilisateurs.

crap0 a écrit :

je mentionne un mot de passe en azerty dans l'installateur de ma Debian
... lance pour la première fois mon système installé
et le mot de passe m'est refusé : je dois utiliser l'équivalence pour mon pw LUKS en qwerty

Tu parles de la passphrase de chiffrement ? Curieux. Normalement le clavier est déjà configuré correctement au moment où il faut taper une passphrase.
Tu avais bien défini la disposition du clavier lors de l'installation ?
Tu peux démarrer avec l'option "break" pour lancer le shell de l'initramfs et vérifier la disposition du clavier.

Dernière modification par raleur (16-08-2020 12:13:42)

--gilles-- · 16-08-2020 12:47:46

crap0 a écrit :

Bonjour

[…]
J'aimerais mettre un second utilisateur dont, entre les deux, il ne devrait y avoir moyen d'échanger ou plutôt voir les fichiers de l'un l'autre...

[…]

Pour bloquer le fait qu'un utilisateur peut regarder dans /tmp ce qu'un autre utilisateur a mis aussi dans /tmp si chacun a sa session ouverte, tu peux utiliser le paquet libpam-tmpdir qui crée automatiquement des sous-dossiers spécifiques à chaque utilisateur dans /tmp. Ceci avec les avec les bonnes permissions restrictives qui bloquent l'accès à l'utilisateur qui n'y a pas droit.

crap0 · 22-08-2020 15:31:29

Bonjour/bonsoir

raleur a écrit :

Tu parles de la passphrase de chiffrement ? Curieux. Normalement le clavier est déjà configuré correctement au moment où il faut taper une passphrase.
Tu avais bien défini la disposition du clavier lors de l'installation ?
Tu peux démarrer avec l'option "break" pour lancer le shell de l'initramfs et vérifier la disposition du clavier.

(oui passphrase de chiffrement)
Me semble avoir bien défini le clavier... Mon pass root et session, là, j'ai pas de problème...

? Démarrer avec l'option "break" (...) ?
je ne vois pas très bien ce que cela veut dire ...
mais partant pour lancer l'option "break"
on verra bien...
seulement je n'ai qu'un linux (portable) et donc re-re-re-faire l'installe ... je vais pas faire ça tout de suite ...

Puis je ajouter que c'est un asus a200h:
l'installateur en mode texte bug
donc, je passe d'office en mode graphique pour l'install.
mais il, me faut un souris, le trackpad ne fonctionne pas: c'est vers la fin de l'install que la souris est indispensable pour finir. sais plus quel étape...
? mauvaise reconnaissance du matériel sur cette ordi ? possible ?

ce que je comprend pas, c'est que sur Ubuntu, il n'y a pas ce problème ou je me trompe?
un utilisateur n'a pas droit de regard sur une autre session, je crois savoir... (ça fait longrtemps)

a++ & merci

Dernière modification par crap0 (22-08-2020 16:12:33)

raleur · 22-08-2020 20:00:57

crap0 a écrit :

Démarrer avec l'option "break" (...) ?

Au menu de GRUB, appuyer sur la touche "e" pour entrer dans l'éditeur.
Ajouter "break" à la fin de la ligne qui commence par "linux". Comme le clavier est en QWERTY dans GRUB, il faut appuyer sur "q" pour obtenir un "a".
Appuyer sur F10 ou Ctrl+x pour démarrer.
Le démarrage devrait s'interrompre et lancer le shell de l'initramfs. Là tu pourras vérifier si le clavier réagit en AZERTY ou QWERTY.
Ctrl+d ou exit pour poursuivre le démarrage normal.

crap0 · 23-08-2020 00:16:40

Merci...
je te dis quoi ...

crap0 · 23-08-2020 00:52:27

raleur a écrit :

Appuyer sur F10 ou Ctrl+x pour démarrer.
Le démarrage devrait s'interrompre et lancer le shell de l'initramfs. Là tu pourras vérifier si le clavier réagit en AZERTY ou QWERTY.
Ctrl+d ou exit pour poursuivre le démarrage normal.

cela ne s'interrompe pas.
ctrl+x : inscrit un "x" à l'écran
F10 : fonctionne et très vite passe à l'installateur: choisir sa langue

...
a+

raleur · 23-08-2020 07:49:34

A faire avec le système installé, pas avec l'installateur !

crap0 · 23-08-2020 07:57:43

Bon, ça a été le gros chantier...

Impossible de poser ton "break"...
Du coup j'ai fait un pass pour le volume chiffré LVM qui en azerty ou qwerty sont identique: jusque là, ça va...
J'aurais bien voulu faire une installation minimal, n'ayant que 32Go d'espace disque en tout et pour tout: mais voilà arrivé à la première console: le clavier était en qwerty et mon mot de passe, qu'il soit user pour ouvrir la session ou root pour ne juste installer que le nécéssaire du serveur x ont des cracatères que le qwerty n'a pas.

Du coup, j'ai fait une installation standard avec LXDE (avec tout le bidule en trop du serveur x) et j'ai eu ma session graphique en azerty...
Mais, là, c'est l'enfer: l'ordi met bien 5min à se mettre en marche et s'arrêter...

(?)
c'est quoi qui dérape ?

Dernière modification par crap0 (23-08-2020 08:22:11)

raleur · 23-08-2020 08:37:17

Avec quoi fais-tu l'installation ? L'installateur traditionnel officiel de Debian, l'installateur graphique du système live officiel de Debian, autre chose ?
Je n'ai jamais vu le cas où la disposition du clavier sélectionnée dans l'installateur traditionnel n'était pas appliquée en console dans le système installé.

crap0 a écrit :

Du coup, j'ai fait une installation standard avec LXDE (avec tout le bidule en trop du serveur x) et j'ai eu ma session graphique en azerty

Et la console, toujours en QWERTY ?
Tu aurais pu simplement définir des mots de passe qui ne contiennent que des caractères simples, comme pour la passphrase de chiffrement.

crap0 · 23-08-2020 09:09:35

raleur a écrit :

Avec quoi fais-tu l'installation ? L'installateur traditionnel officiel de Debian, l'installateur graphique du système live officiel de Debian, autre chose ?
Je n'ai jamais vu le cas où la disposition du clavier sélectionnée dans l'installateur traditionnel n'était pas appliquée en console dans le système installé.
(...)
Et la console, toujours en QWERTY ?
Tu aurais pu simplement définir des mots de passe qui ne contiennent que des caractères simples, comme pour la passphrase de chiffrement.

L'install est faite avec une clé bootable de Debian non-free inclus. j'utilise l'installateur graphique car en texte ça plante...
peut-être devrais je "refaire la clé" avec une image iso plus récente ? l'actuel: Je l'ai faite il y a un certains temps...

Tout en qwerty... mais avec le session geraphique de lancé : la pass phrase du volume LVM est devenu azerty (hors au premier lancement, c'était en qwerty).

Je me suis dit après coup tout pareil: pourquoi pas avoir fait que des mots de passe identique en qwerty et azerty... mais c'était trop tard...

Dernière modification par crap0 (23-08-2020 09:10:29)

raleur · 23-08-2020 09:21:07

Il n'est jamais trop tard. Un mot de passe ou une passphrase, ça se change.

Pour le reste, je n'ai jamais vu ça avec les images officielles et je n'ai pas d'explication.

crap0 · 23-08-2020 09:44:45

ok

le mot de pass root aussi ça se change ?

ben donc merci
on verra quoi

raleur · 23-08-2020 09:54:16

Bien sûr on peut changer le mot de passe root avec passwd.

crap0 · 23-08-2020 10:57:47

raleur a écrit :

Bien sûr on peut changer le mot de passe root avec passwd.

ok. merci
j'ai été voir et donc c'est avec un passage au terminal de :

su

motdepasseroot passwd nouveaumotdepasse

-

Bon j'ai refais une clé avec une Debian plus récente...
J'ai toujours le même problème...

voilà, je crois que c'est comme ça.

J'ai mis des pw accessible aussi bien en qwerty et azerty sans prise de tête.
que je changerais par la suite.
mais et donc j'ai enfin mon install minimal avec mon LVM chiffré ... oufti

juste la swap aussi à virer..: je suis sur un ssd...
je vais me renseigner.

et il met encore des plombe à s'allumer...

merci
a+ tutti

Dernière modification par crap0 (23-08-2020 11:38:39)

crap0 · 23-08-2020 13:11:27

En faite le "reboot" fait tout planter... (depuis une session LXDE)

Debian-facile

#1 09-08-2020 08:00:12

sécurisé son home (chiffré après installation)

#2 09-08-2020 09:11:02

Re : sécurisé son home (chiffré après installation)

#3 09-08-2020 10:05:07

Re : sécurisé son home (chiffré après installation)

#4 09-08-2020 10:32:16

Re : sécurisé son home (chiffré après installation)

#5 16-08-2020 11:31:44

Re : sécurisé son home (chiffré après installation)

#6 16-08-2020 11:34:33

Re : sécurisé son home (chiffré après installation)

#7 16-08-2020 12:12:58

Re : sécurisé son home (chiffré après installation)

#8 16-08-2020 12:47:46

Re : sécurisé son home (chiffré après installation)

#9 22-08-2020 15:31:29

Re : sécurisé son home (chiffré après installation)

#10 22-08-2020 20:00:57

Re : sécurisé son home (chiffré après installation)

#11 23-08-2020 00:16:40

Re : sécurisé son home (chiffré après installation)

#12 23-08-2020 00:52:27

Re : sécurisé son home (chiffré après installation)

#13 23-08-2020 07:49:34

Re : sécurisé son home (chiffré après installation)

#14 23-08-2020 07:57:43

Re : sécurisé son home (chiffré après installation)

#15 23-08-2020 08:37:17

Re : sécurisé son home (chiffré après installation)

#16 23-08-2020 09:09:35

Re : sécurisé son home (chiffré après installation)

#17 23-08-2020 09:21:07

Re : sécurisé son home (chiffré après installation)

#18 23-08-2020 09:44:45

Re : sécurisé son home (chiffré après installation)

#19 23-08-2020 09:54:16

Re : sécurisé son home (chiffré après installation)

#20 23-08-2020 10:57:47

Re : sécurisé son home (chiffré après installation)

#21 23-08-2020 13:11:27

Re : sécurisé son home (chiffré après installation)

Pied de page des forums