Как увеличить безопасность не сертифицированной версии Live - Simpy, Работа в системе с КриптоПро и КриптоАрм Опции Поделиться

[krserv]

Подскажите пожалуйста у меня есть опыт работы как пользователя в ОС семейства Fedora; Red Hat - CentOS на уровне домашнего компьютера. Но обычно я просто работаю в Windows 10, не задумываясь, пока для домашнего пользователя проблем не возникает.
А тут возникла задача: нужно отправить конфиденциальную информацию в государственную организацию в России. Информация содержит мою персональную информацию, утечка которой может создать мне неприятности в дальнейшем бизнесе с иностранными контрагентами. Поскольку я имею контакты с иностранными партнерами, в нынешней ситуации, я не исключаю интереса ко мне особых иностранных организаций, которые могут получить к моим локальным ресурсам неавторизованный доступ.
Поэтому я скачал - Криптопро; Криптоарм и написал получателю в гос. организацию смогут ли они установить со мной канал связи для передачи зашифрованного Криптоарм файла. Работать в текстовом редакторе LibreOffice Writer и зашифровывать файл с конфиденциальной информацией (личную) я буду на своем домашнем компьютере, загруженном с USB Live 10.1 Alt Simply. После шифрования - набранный исходный файл будет удален при помощи встроенной функции КриптоАрм.
Во время работы с конфиденциальной информацией я отключу физически подключение к Интернет.
Вопросы: Simpy Linux не разворачивается на жестком диске, съемные носители, кроме загрузочного диска отсутствуют
1. Сессия работы USB-Live каждый раз разворачивается по новой, с прошлой работы ничего не сохраняется?
Как можно настроить, чтобы ничего не сохранялось, кроме как рабочий файл, набираемый в LibreOffice и затем он зашифрованный на USB Flash?
2. Если что-то остается с прошлой сессии, то как можно все удалить, чтобы система была полностью чистой?
3. Безопасность работы с LibreOffice Writer - или может есть какая бесплатная утилита, специально предназначенная для обработки конфиденциальной информации.
4. Как можно почистить и какие файлы текстового редактора и системы, которые могут сохраниться после работы и остаться в системе на следующую загрузку Live.

Поскольку у меня такая необходимость разовая, то приобретать защищенную версию ОС не вижу смысла.

[YYY]

live CD имеет 2 режима - с сохраниением и без сохранением. с сохранением сохраняет

если не ошибаюсь, то сейчас лайв СД симпли по дефолту не подключает swap с жесткого (это можно проверить по free), это хорошо

но вообще есть же еще
https://www.drweb.ru/pravda/issue/?number=301
а оно решето вне зависимости от ОС...
поэтому самое безопасное это еще из чулана достать системник времен "два ядра, два гига" без этого самого
))

[krserv]

но вообще есть же еще
https://www.drweb.ru/pravda/issue/?number=301
а оно решето вне зависимости от ОС...
поэтому самое безопасное это еще из чулана достать системник времен "два ядра, два гига" без этого самого
))

Спасибо, что напомнили, про UEFI, да для этих целей поставлю компьютер с обычной BIOS
тут еще возникает проблема, при каждом использовании, если без сохранения придется устанавливать с RPM файлов - КриптоПро и КриптоАрм. Писать загрузочный скрипт и каждый раз устанавливать их.

[gostsdmitry]

Подскажите пожалуйста у меня есть опыт работы как пользователя в ОС семейства Fedora; Red Hat - CentOS на уровне домашнего компьютера. Но обычно я просто работаю в Windows 10, не задумываясь, пока для домашнего пользователя проблем не возникает.
А тут возникла задача: нужно отправить конфиденциальную информацию в государственную организацию в России. Информация содержит мою персональную информацию, утечка которой может создать мне неприятности в дальнейшем бизнесе с иностранными контрагентами. Поскольку я имею контакты с иностранными партнерами, в нынешней ситуации, я не исключаю интереса ко мне особых иностранных организаций, которые могут получить к моим локальным ресурсам неавторизованный доступ.
Поэтому я скачал - Криптопро; Криптоарм и написал получателю в гос. организацию смогут ли они установить со мной канал связи для передачи зашифрованного Криптоарм файла. Работать в текстовом редакторе LibreOffice Writer и зашифровывать файл с конфиденциальной информацией (личную) я буду на своем домашнем компьютере, загруженном с USB Live 10.1 Alt Simply. После шифрования - набранный исходный файл будет удален при помощи встроенной функции КриптоАрм.
Во время работы с конфиденциальной информацией я отключу физически подключение к Интернет.


Поскольку у меня такая необходимость разовая, то приобретать защищенную версию ОС не вижу смысла.

Simply Linux в плане безопасности ничем не отличается от любых других дистрибутивов Linux с дискретным управлением доступом, а значит - не предназначен для работы с гос.тайной и другими видами секретной и конфиденциальной информации!
Как метко подметил один из здешних форумчан в одной из подобных дискуссий:

Главный Павлик Морозов - это ваш браузер! Именно он сдаст вас со всеми потрохами!

live CD имеет 2 режима - с сохраниением и без сохранением. с сохранением сохраняет

если не ошибаюсь, то сейчас лайв СД симпли по дефолту не подключает swap с жесткого (это можно проверить по free), это хорошо

Да. Так и есть.

но вообще есть же еще
https://www.drweb.ru/pravda/issue/?number=301
а оно решето вне зависимости от ОС...
поэтому самое безопасное это еще из чулана достать системник времен "два ядра, два гига" без этого самого
))

Уязвимости в железе, ПО и ОС всегда были, есть и будут! И, что самое смешное (и грустное - одновременно), что с каждым новом обновлением BIOSа - ли, UEFI - ли, или того-же "Виндовса" эти уязвимости только прибавляются...

[Егор оглы]

...то сейчас лайв СД симпли по дефолту не подключает swap с жесткого (э
Да. Так и есть.

;
Не знал, что раньше лайв CD симпли по дефолту подключал swap с жесткого диска. А другие альтовские лайвы это умеют?

[YYY]

тут еще возникает проблема, при каждом использовании, если без сохранения придется устанавливать с RPM файлов - КриптоПро и КриптоАрм. Писать загрузочный скрипт и каждый раз устанавливать их.

Есть флешки с переключателем для защиты от записи - в принципе можно попробовать установить, а потом зафиксировать состояние флешки...
Правда сейчас на полках какой-то жуткий Китай только с такой функцией
Как вариант хороший карт-ридер и микроСД с адаптером на SD - там как на дискетках есть переключатеть - не писать на микроСД...

Сообщение отредактировал YYY - 23.4.2023, 11:45

[YYY]

Как метко подметил один из здешних форумчан в одной из подобных дискуссий:

Главный Павлик Морозов - это ваш браузер! Именно он сдаст вас со всеми потрохами!

Компутер, подключенный к сети Интернет, не предназначен для работы с гос.тайной и другими видами секретной и конфиденциальной информации



физически 2 системника долно быть - один для интернетов (или для общения с внешним миром), другой для защищенной локалки - связь между системниками по доверенному флешко-нет
(флешка специальная, покупается новой, вкрывается и проверяется перед тем как юзать, а потом кабинет не покидает и в чужие руки никогда не отдается)


Если у Вас нет паранойи, это еще не значит, что за Вами не следят (с)

Сообщение отредактировал YYY - 23.4.2023, 11:55

[YYY]

;
Не знал, что раньше лайв CD симпли по дефолту подключал swap с жесткого диска. А другие альтовские лайвы это умеют?

вот для примера SL-6 - по дефолту в лайф режиме подключает своп, если находит такой раздел на жестком диске

Сообщение отредактировал YYY - 23.4.2023, 13:35

Прикрепленные файлы

 sl_6.png ( 156.34 килобайт ) Кол-во скачиваний: 6

 

[krserv]

физически 2 системника долно быть - один для интернетов (или для общения с внешним миром), другой для защищенной локалки - связь между системниками по доверенному флешко-нет
(флешка специальная, покупается новой, вкрывается и проверяется перед тем как юзать, а потом кабинет не покидает и в чужие руки никогда не отдается)

Так и есть, причем тестовый компьютер с BIOS, a не UEFI. И не будет подключаться к Интернету. На нем будет работать только КриптоПро с КриптоАрм.
Я не могу здесь писать подробности, сейчас уточню кто создал этот форум, мне нужна для обсуждения закрытая переписка с производителем сертифицированной версии программы.
Я пытаюсь на них выйти на форуме Alt-Linux ООО Базальт СПО. А здесь форум даже не по HTTPS протоколу.

[gostsdmitry]

жуткий Китай

Поправлю. Это "жуткий" Тайвань (который, правда, тоже Китай)

сейчас уточню кто создал этот форум

Ну, всё. Спалились...

[gostsdmitry]

Компутер, подключенный к сети Интернет, не предназначен для работы с гос.тайной и другими видами секретной и конфиденциальной информации

Мне это объяснять не нужно.

[krserv]

Ну, всё. Спалились...

Ну да, поэтому я и перешел на форум СПО Базальт, этот форум я нашел первым, потом нашел тот, поняв что здесь не совсем то, что мне нужно
Моя тема на форуме СПО Базальт

[gostsdmitry]

krserv, вам нужна сертифицированная версия Alt Workstation? Тогда писать нужно не на форум, а по эл. почте.

[dango_]

Так и есть, причем тестовый компьютер с BIOS, a не UEFI. И не будет подключаться к Интернету. На нем будет работать только КриптоПро с КриптоАрм.
Я не могу здесь писать подробности, сейчас уточню кто создал этот форум, мне нужна для обсуждения закрытая переписка с производителем сертифицированной версии программы.
Я пытаюсь на них выйти на форуме Alt-Linux ООО Базальт СПО. А здесь форум даже не по HTTPS протоколу.

Правильные параноики компьютер вообще не включают. Они знают, что и железо, и софт, и Интернет - это западные технологии, от которых секретов нет.

тестовый компьютер с BIOS, a не UEFI.

А что про Intel Management Engine Interface уже не модно вспоминать?

[gostsdmitry]

Правильные параноики компьютер вообще не включают. Они знают, что и железо, и софт, и Интернет - это западные технологии,

Помнишь про то, кто такой Линус Торвальдс?



Вообще, конечно, никакой анонимности в Интернете нет. Даже через Tor, https, прокси и VPN вместе взятые. Это надо усвоить и принять как данность.


P.S. Правильные параноики включают не компьютер, а смартфон!

Сообщение отредактировал gostsdmitry - 23.4.2023, 20:27

[YYY]

Помнишь про то, кто такой Линус Торвальдс?

облученный пси лучами из красного флага, который его родителям подсунуло KGB

[YYY]

А что про Intel Management Engine Interface уже не модно вспоминать?

[krserv]

krserv, вам нужна сертифицированная версия Alt Workstation? Тогда писать нужно не на форум, а по эл. почте.

Проблема в том, что я не хочу общаться об этом по электронной почте. Поэтому я пытался связаться через форум с производителем и просил написать мне личное сообщение. Здесь вообще открытый форум, без https протокола, поэтому лучше этот вопрос обсуждать приватно на том форуме, по ссылке выше.
В идеале я хочу перейти на защищенную переписку с производителем через их сайт в личных сообщениях, с присоединенным зашифрованным файлом. Немного о себе - офицер запаса, поэтому сценарии сотрудничества могут быть разными, либо только со мной, либо если выйду из запаса, то возможно с моей в/ч...

Сообщение отредактировал krserv - 24.4.2023, 1:42

[krserv]

А что про Intel Management Engine Interface уже не модно вспоминать?

у меня BIOS без него. Да без проблем, компьютер не будет в Интернете. Он будет работать только как шифратор с КриптоПро и КриптоАрм.

[YYY]

Проблема в том, что я не хочу общаться об этом по электронной почте. Поэтому я пытался связаться через форум с производителем и просил написать мне личное сообщение.

Ну форум
https://forum.altlinux.org
это форум сообщества ALT Linux, т.е. это не официальный форум "производителя", хотя некоторые представители Базальт СПО его читают....


Обычно общение идет именно по эл. почте, например рассылки
https://www.altlinux.org/%D0%A1%D0%BF%D0%B8...%BB%D0%BA%D0%B8
или контакты
https://www.altlinux.org/Contacts


Если не охота почту светить - то заведите "левую", вон на р-а-м-б-л-е-р-е до сих пор можно почту завести без привязки к номеру телефона

Здесь вообще открытый форум, без https протокола, поэтому лучше этот вопрос обсуждать приватно на том форуме, по ссылке выше.

Да ладно! Тут просто люди нечего не скрывают ))

Сообщение отредактировал YYY - 24.4.2023, 1:57

[Смит]

, сейчас уточню кто создал этот форум,

Как успехи?

Придётся палиться.. Я его создал. 16 лет уже прошло.
Изначально этот форум создавался как публичная открытая часть чуть более закрытого сообщества энтузиастов, которое пыталось поддержать наше хлипкое в то время государство. Потом то сообщество остановилось, а этот форум остался.
Линукс раздел был создан по предложению уважаемого IVK. Основная его идея в то время была - сделать форум для начинающих линуксоидов для поддержки и популяризации линукса. Но без присущего в те времена на других аналогах жёсткого отношения к новичкам.
Форум со дня рождения и по сегодня никогда физически не покидал территорию России (так было задумано), а в его админке никто никогда кроме меня не бывал. Сейчас он физически живёт в Курчатнике в Москве. Сервер работает на CentOS. https во времена создания был не особо популярен, как то так и осталось, до сих пор руки не дошли перевести на него. Но могу.

С учётом сказанного... Сообщения, которые вы сюда пишете с большой долей вероятности по дороге не покидают территорию страны. Если только маршрут от вас не пролетает через соседнюю Швецию (но сейчас это мало вероятно). Но это совсем не значит, что по той же дороге не могут найтись шпиёны.

Закрытую комнату для переписки или совместной с кем то работы создать могу, это не трудно. И такие здесь есть с целью ведения совместной работы над чем-то. Но от самого себя я скрыть здесь ничего не могу За исключением того, что тут хранится в зашифрованном виде. Плюс есть личка, но чтобы ею воспользоваться, вам придётся завлечь сюда сотрудника БАЗАЛЬТ (раньше тут появлялись 1-2 человек, сейчас не знаю, по-моему нет), а это, кажется, нетривиальная задача

В общем и целом, естественно, наш форум совсем не предназначен для гостайн или для чего-то серьёзно охраняемого. Хотя, при необходимости, от просто прохожих мы тут закрываться можем.


ЗЫ:Если я правильно понимаю, у вас задача однократно отослать свои закрытые данные в госорган. Причём это Ваши личные данные, а не гостайна, и вы скрываете их именно от иностранного глаза. В таком случае, как мне кажется, проще воспользоваться каналом без интернета. Кмк даже той же почтой будет надёжнее. А то ведь есть и специальная почта. Самая надёжная метОда - это когда на канале никто не подозревает, что мимо проплывает ценная инфа, поэтому не смотрят и не роют. Ну либо запечатайте в конверт и передайте с оказией через ЗНАКОМОГО человека, который не заинтересован туда заглянуть. С учётом однократности, думаю, можно придумать что-то остроумное.

В начале 90ых я однажды посылал инфу на тему "где лежит кощеева игла" и денежные купюры баксов в Киргизию )) Расклеил пятидюймовые дискеты, аккуратно положил бумажки по краям конверта и заклеил обратно. Потом испытал в дисководе, всё даже вращалось. Записал на дискеты всякую заумную лабуду и запаял пачку (дискеты без внешних бумажных конвертов) из десятка таких дискет в совершенно прозрачный полиэтиленовый пакет. И ещё сунул туда записку, что дескать на дискетах магнитная запись научных данных, поэтому просьба не приближать к магнитам )) Интернетов тогда не было... Передал через бригадира поезда Москва-Бишкек. Доехало в целости, потому, что бригадир даже не мог заподозрить, что везёт что-то ценное ))
В армии я придумал решение ЗАС (засекреченная аппаратура связи), подсказанное простой логикой. В Роте были грузины, и мы нередко делились по телефону между караулом и ротой (и между постами) своими солдатскими секретами. А командир, падлюка, любил подслушивать наши разговоры по параллельному телефону. Звонится из роты в караул или наоборот и произносится кодовая фраза "грузина позови". В итоге на обоих концах провода по грузину и передача данных происходила на грузинском языке. При этом русские слова, импортированные в язык, заменялись на аналоги. Например "капитан" и "лейтенант" звучали как четырёх и двухзвёздный. В итоге командир беспомощно лупал глазками и злился только про себя. Ибо не мог открыто предъявить претензии, чтобы не признаться в подслушивании ))))

[dango_]

P.S. Правильные параноики включают не компьютер, а смартфон!

Сжечь еретика! Х-)

[dango_]

Проблема в том, что я не хочу общаться об этом по электронной почте. Поэтому я пытался связаться через форум с производителем и просил написать мне личное сообщение. Здесь вообще открытый форум, без https протокола, поэтому лучше этот вопрос обсуждать приватно на том форуме, по ссылке выше.
В идеале я хочу перейти на защищенную переписку с производителем через их сайт в личных сообщениях, с присоединенным зашифрованным файлом. Немного о себе - офицер запаса, поэтому сценарии сотрудничества могут быть разными, либо только со мной, либо если выйду из запаса, то возможно с моей в/ч...

Если подходить серьезно и обстоятельно, то стоит учитывать, что https не панацея.
Упоминание о конфиденциальной информации на публичных ресурсах само по себе привлекает внимание.
ИМХО, лучший совет это:

ЗЫ:Если я правильно понимаю, у вас задача однократно отослать свои закрытые данные в госорган. Причём это Ваши личные данные, а не гостайна, и вы скрываете их именно от иностранного глаза. В таком случае, как мне кажется, проще воспользоваться каналом без интернета. Кмк даже той же почтой будет надёжнее. А то ведь есть и специальная почта.

[gostsdmitry]

В начале 90ых я однажды посылал инфу на тему "где лежит кощеева игла" и денежные купюры баксов в Киргизию )) Расклеил пятидюймовые дискеты, аккуратно положил бумажки по краям конверта и заклеил обратно. Потом испытал в дисководе, всё даже вращалось. Записал на дискеты всякую заумную лабуду и запаял пачку (дискеты без внешних бумажных конвертов) из десятка таких дискет в совершенно прозрачный полиэтиленовый пакет. И ещё сунул туда записку, что дескать на дискетах магнитная запись научных данных, поэтому просьба не приближать к магнитам )) Интернетов тогда не было... Передал через бригадира поезда Москва-Бишкек. Доехало в целости, потому, что бригадир даже не мог заподозрить, что везёт что-то ценное ))

Вы "ценное" и не посылали. "Баксы" с 1971 года не стоят той бумаги на которой они напечатаны! ;-)

В армии я придумал решение ЗАС (засекреченная аппаратура связи), подсказанное простой логикой. В Роте были грузины, и мы нередко делились по телефону между караулом и ротой (и между постами) своими солдатскими секретами. А командир, падлюка, любил подслушивать наши разговоры по параллельному телефону. Звонится из роты в караул или наоборот и произносится кодовая фраза "грузина позови". В итоге на обоих концах провода по грузину и передача данных происходила на грузинском языке. При этом русские слова, импортированные в язык, заменялись на аналоги. Например "капитан" и "лейтенант" звучали как четырёх и двухзвёздный. В итоге командир беспомощно лупал глазками и злился только про себя. Ибо не мог открыто предъявить претензии, чтобы не признаться в подслушивании ))))

Кстати, я бы переслал эти персональные данные на одном из "малых языков". Искать закрытый канал в интернете и дополнительно шифроваться в этом случае точно не нужно! На крайний случай существует "морзянка".

[krserv]

Спасибо за сообщение и поддержку.
А по поводу специальной почты узнавал: в Спецсвязи; фельдсвязи - они с частными лицами не работают.
Буду искать контакты с СПО Базальт, чтобы выпросить тестовую сертифицированную версию для изучения возможностей и ждать ответа гос. организации на мое предложение создать мне условия для передачи личной информации. Возможно они предложат другой вариант связи...Они чиновники, и не очень беспокоятся о конфиденциальности моей личной информации, сказали присылайте через Интернет приемную, я отказался, т.к даже утечка сведений о моем желании с кем-то общаться приватно, может сказаться на доверии ко мне в бизнес окружении....И общаясь об этом сейчас, я рискую, но уже поздно, Интернет запоминает все...
Проблема в том, что мне нужно это согласовать с ними, т.к нужно в другой организации получать лицензию и т.д, тут не объяснить, одним словом я заинтересован, если бы был не заинтересован, то и не заморачивался бы с чинушами гражданской организации...

Сообщение отредактировал krserv - 24.4.2023, 16:17

[gostsdmitry]

Интернет запоминает все...

Это точно! Если что, хранилище всех данных находится в штате Юта (США)