[mdk-re] GnuPG and paranoia

[Alexey Voinov]

Andrey Brindeew wrote
> Hi!
> 
> Насчет сабжа.
> Я решил, что хранить связку с секретными ключами на винчестере - слишком
> опасно, посему сделал так, как написано внизу.
> Мне просто интересно - может кто еще как реализовал это?
> Предлагаю на суд общественности свой "рецепт".
> Конструктивная критика принимается с удовольствием!
> 
> 1. Создал каталог /security
> 2. Файл secring.gpg перетащил на две дискетки: одну спрятал подальше (на
> ней еще дополнительно копия связки открытых ключей, и revocation
> certificates).
> 3. Файл ~/.gnupg/secring.gpg заменил символической ссылкой в
> /security/secring.gpg
> 4. Монтирую рутом дискетку вот так:
> 
> --- Выдержка из /etc/fstab ---
> /dev/fd0 /security vfat
> noatime,noauto,nodev,noexec,nouser,uid=501,conv=binary,umask=077 0 0
> --- Закончилась ---
> 
> Я, конечно, понимаю, что при доступе к компу и выдергивании дискетки все
> идет "садом, огородом", но тем не менее, считаю, что для машины, почти
> постоянно торчащей "мордой в Сеть", этого достаточно. Есть другие мнения?
Есть такая тонкость: дискеты очень ненадежны. У меня неоднократно были
сиутации, когда идеальные во всех предыдущих случаях дискеты начинали
сбоить, как только требовался очень нужный файл, сохраненный на ней.
Причем сбой часто происходит на двух дискетах (с копиями одного и того же)
почти синхронно. Сбой может произойти в разных секторах, но то, что не 
прочитается один файл --- это почти гарантировано. Я понимаю, что очень 
все это похоже на мистику, если бы сам не сталкивался --- не поверил бы. 
:)

Другая ососбенность этого способа состоит в том, что невозможно
совместить работу с данными на дискете (на какой-то ещё) с работой с
ключами. (Если, конечно, не установлено 2 дисковода, но что-то я очень
давно таких машин не видел :) Даже если не требуется это делать
одновременно дёргать туда-сюда дискеты не самое приятное 
времяпровождение.

Я думаю вариант для настоящего параноика --- поставить ядро с rsbac, 
и разрешить доступ к secring только для gpg запущеного под uidом 
владельца файла. Тогда останутся только "законные" способы вытащить 
ключи. Небольшой патчик к gpg поможет закрыть и эту "дыру". :)

Есть, конечно вариант и попроще: следить за тем, какие сервисы 
предоставляются машиной, закрывать ненужные, жестоко ограничивать нужные.
Вот я все ленюсь закрыть у себя дома apache от внешний воздействий --- так
при каждом сеансе связи какой-нибудь ко^H^H нехороший человек
считает свои долгом послать ко мне запрос вида 
GET /.html/........./config.sys
:)

-- 
Best Regards!
Alexey Voinov

voins на voins.program.ru
voins на online.ru
vns на altlinux.ru

----------- следующая часть -----------
Было удалено вложение не в текстовом формате...
Имя     : =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Тип     : application/pgp-signature
Размер  : 232 байтов
Описание: =?iso-8859-1?q?=CF=D4=D3=D5=D4=D3=D4=D7=D5=C5=D4?=
Url     : <http://lists.altlinux.org/pipermail/community/attachments/20010619/d84be543/attachment-0011.bin>