Вопрос или проблема
Я столкнулся с проблемой необходимости создания учетной записи для экстренного доступа на удаленных ноутбуках. Это несколько странная ситуация. Ноутбуки собираются и восстанавливаются удаленно с использованием небольшой настройки PXE, которая идет с оборудованием.
Сервер PXE имеет встроенный пароль по умолчанию в шифровании диска LUKS, который меняется пользователем в процессе постустановки сборки.
Очевидным решением было бы создать вторичный ключ, о котором я уже знаю. Проблема заключается в том, что этот ключ необходимо будет отправить вместе с сервером PXE, и это в основном станет задней дверью, которую пользователи могут использовать, так как все, что им нужно сделать, это просмотреть настройки PXE/kickstart, чтобы найти пароль для второго ключа.
Существует ли способ асинхронно сгенерировать ключ во время сборки, который смогу обнаружить или расшифровать только я на основании какого-то параметра (возможно, MAC-адреса или чего-то еще, я уверен, что есть лучший параметр?)
Пожалуйста, любые мысли по этому поводу, это ставит меня в тупик!
У меня мало знаний о шифровании PXE-загрузки, но разве не могли бы вы заставить устройство сгенерировать ключ, когда пользователь его изменяет, а затем зашифровать его с использованием открытого ключа (при этом у вас есть только закрытый ключ), а затем хранить эти данные в незашифрованном виде на компьютере или передавать их на сервер, который вы контролируете?
Ответ или решение
Удаленное шифрование диска ноутбука: решение проблемы «с разбивкой стекла»
Вопрос, с которым вы столкнулись — необходимость создания «аккаунта разбивки стекла» (break glass account) для удаленных ноутбуков, является довольно распространённой проблемой для IT-специалистов, работающих с удаленными системами, и требует продуманного подхода к безопасности данных и доступа к ним.
Понимание концепции «аккаунта разбивки стекла»
Аккаунт разбивки стекла — это механизм, который позволяет защищенному пользователю получить доступ к критически важной системе в экстренной ситуации. Он должен быть защищен от несанкционированного доступа, но доступ к нему может понадобиться в случае, если обычные методы аутентификации становятся недоступными.
Проблема с PXE и шифрованием LUKS
Вы упомянули, что используете PXE-сервер для удаленной установки ноутбуков с заранее заданным паролем, который потом меняется пользователями. Главная проблема, с которой вы столкнулись, заключается в том, что создание вторичного ключа для шифрования может представлять угрозу, так как его наличие в рамках PXE-сервера может быть использовано злоумышленниками.
Возможные решения проблемы
-
Генерация асинхронного ключа: Один из подходов — это генерация ключа во время установки, который будет завязан на уникальный параметр устройства, например, MAC-адрес. Можно использовать криптографические алгоритмы для создания ключа, который будет основан на MAC-адресе или других уникальных генерируемых данных. Главная задача заключается в том, чтобы эти данные были известны только вам.
-
Шифрование с использованием пары ключей: Вы можете рассмотреть возможность использования системы с открытым и закрытым ключом. Например, в процессе установки ноутбук может сгенерировать новый ключ и зашифровать его с использованием вашего открытого ключа. Зашифрованный ключ можно хранить локально на устройстве или передавать его на сервер, контролируемый вами. Таким образом, даже если кто-то получит доступ к локальным данным, они не смогут разобрать зашифрованный ключ без доступа к вашему закрытому ключу.
-
Резервирование зашифрованной информации: При установке ноутбука, вы можете добавить дополнительный этап, в котором зашифрованная информация о ключе, генерируемом на устройстве, будет храниться в облаке или на контролируемом сервере. Доступ к этой информации можно ограничить по IP-адресу вашего управляющего сервера.
-
Логи и мониторинг: Внедрение системы логирования и мониторинга также может быть полезным. Это позволит отследить необычную активность и потенциальные попытки взлома, предоставляя вам больше информации о том, как используется система.
Заключение
Система удаленного шифрования диска с использованием «аккаунта разбивки стекла» требует тщательного планирования и внедрения стратегий безопасности. Применение шифрования с использованием комплексной схемы генерации ключей и уникальных идентификаторов (как MAC-адрес) может значительно повысить уровень безопасности и предотвратить возможные злоупотребления. Ваша идея о создании системы, где только вы будете иметь доступ к расшифровке ключа, это именно то направление, в котором стоит двигаться.