Насколько безопасный Машина времени/FileVault/Dropbox/Google?
В последнее время я был несколько озабочен безопасностью своего компьютера. Не то, чтобы у меня было на самом деле что-либо для сокрытия, но я просто не хочу никого ворующего мои данные.
Так, я создал FileVault в OSX, который эффективно шифрует все мои данные с минимальной суетой. Пароль устанавливается на что-то долго, что только я знаю, и системный пароль является чем-то одинаково сильным и безопасным. Системный пароль является восстановленным использованием диска установки, хотя, таким образом, по существу довольно бесполезно быть зацикленным на этом слишком много. Вы знаете, если сброс системного пароля предоставляет доступ к паролю FileVault? Это в основном представило бы бесполезный FileVault.
Кроме того, мне нужно решение для резервного копирования, таким образом, я настроил и Машину времени и Dropbox. Теперь мой вопрос: пароль в учетную запись Dropbox сохраняется в Браузере моего Windows, с 7 машинами и Приложение Dropbox на моем iPhone. В то время как и защищены паролем и не имеют фактических копий моих файлов, я полагаю, что это самые слабые ссылки в моей безопасности данных.
Вы думаете, что существует простой способ изменить к лучшему, это настроило? Или Вы думаете я, это уже является довольно маниакальным?
5 ответов
Я не уверен, что Вы подразумеваете под "системным паролем". Если Вы говорите о пароле в администраторскую учетную запись или даже базируетесь, то это не проблема; безопасность FileVault абсолютно независима от полной защиты ОС (хорошо, за одним исключением: если кто-то ниспровергает поле, устанавливает что-то как клавиатурный перехватчик, то возвращает его Вам и получает Ваш пароль FV, поскольку Вы входите в систему...).
OTOH, если "системный пароль" Вы говорите о, - то, что безопасность prefs называет "Основным паролем", затем любой, кто предполагает, что это имеет легкий бэкдор в Ваш FV. Но это не восстановлено с диском установки или любым другим методом, который не включает знание его для начала. Таким образом, это не действительно беспокойство.
Теперь, на скопировать безопасность: Машина времени не проблема (с протестом Arjan упомянул, что он не может создать резервную копию Вашей учетной записи, в то время как Вы зарегистрированы), потому что он создает резервную копию зашифрованных данных, таким образом, он имеет по существу ту же безопасность, которую имеет сам FV. У Вас действительно есть некоторое незначительное раздражение при восстановлении, потому что гладкий интерфейс восстановления ТМ не видит в поддержанный FV, таким образом, необходимо вручную смонтировать поддержанное изображение и затем базироваться через него вручную. (Хорошо, еще одна незначительная квалификация: так как Машина времени сохранит несколько версий зашифрованных данных, может быть возможно сказать что-то о том, что продолжается в FV путем взгляда на как зашифрованные изменения версии; я не видел, что любой анализирует FV для его сопротивления этому типу нападения.)
TFM's, в основном правый относительно резервных копий, которыми Вы не управляете при резервном копировании незашифрованной версии файлов. Если Вы создаете резервную копию, FV зашифровал версию, то Вы вернулись в той же ситуации как с ТМ: это (главным образом) автоматически безопасно, но у Вас есть раздражение только из-за способности создать резервную копию, в то время как вышедшийся из системы, и восстановление, что-либо будет означать загружать весь снимок изображения FV, вручную монтирования, и т.д.
Я рекомендовал бы смотреть программа, разработанная для зашифрованного резервного копирования онлайн; сделанный правильно, это шифрует все, прежде чем это оставит Вашу машину (таким образом, Вы не зависите от безопасности репозитория), и все еще легко восстановить от. К сожалению, я не провел необходимое исследование, чтобы смочь рекомендовать определенное решение, которое "делает его правильно" (и я уверен, что существуют партии, которые делают это неправильно).
-
1Dropbox: * Вся передача данных файла и метаданных можно ли происходить по зашифрованному каналу (SSL). * Все файлы, хранившие на серверах Dropbox, не шифровали (AES-256) и существуют недоступны без Вашего пароля учетной записи *, сотрудников Dropbox никогда не разрешить в файлы пользователя доступа, и при поиске и устранении неисправностей учетной записи, у них только был доступ к метаданным файла (имена файлов, размеры файла, и т.д., не содержание файла), Это звучало разумным. Вопрос, вероятно, если это был мой ПК, который делать шифрование или если это делает онлайн. – bastibe 05.10.2009, 11:06
Решение других производителей как Dropbox нужно всегда считать небезопасным, поскольку Вы оставляете свои данные в руках компании, которую Вы не можете "видеть или коснуться". Такие компании могли бы работать в соответствии с законами другой страны, которая разрешает/запрещает по-другому, чем страна, Вы живете в, и поэтому делающий любые судебные иски, почти невозможные в случае злоупотребления.
Кроме того, компании продаются и купили. Может быть куплен уважаемый поставщик, предлагающий решение онлайн, и данные могут попасть в руки людей, основная цель которых с этой торговлей использует эту возможность.
Я не пытаюсь сказать, что необходимо быть параноиками, но использовать здравый смысл при выборе поставщика резервного копирования/хранилища файлов онлайн. Google название компании, считайте обзоры о сервисе и т.д.
Я знаю немного о безопасности Dropbox. Данные шифруются на S3, но Dropbox содержит ключи шифрования, не Вас. (таким образом, они могли шпионить раз так наклоненный). Если Вы хотите удержать клавиши, Вам нужен JungleDisk или подобный. Конечно, существует оборотная сторона к наличию ключей на Вашей стороне... при потере их, Вы завинчены.
Я предложил бы, если Вы хотите использовать Dropbox для облачного хранилища уязвимой информации, что Вы создаете объем/папку TrueCrypt в своем Dropbox. Существуют инструкции относительно Dropbox о том, как сделать это. На самом деле проблемы безопасности заполоняют Dropbox прямо сейчас в медиа онлайн и существует много блогов/статей об использовании TrueCrypt с Dropbox, который должен занять место высоко на Google, если Вы ищете. (Lifehacker недавно заносится в блог об этом.)
Единственный сервис, с 2007, который я знаю того, где можно пребывать в уверенности утечка данных, не показал бы, что любые из данных являются Обзором spideroak.com по http://freelanceswitch.com/general/backup-your-computer-spideroak-review/, объясняет:
"Уверенный каждый резервный сервис обеспечивает зашифрованное резервное копирование, но SpiderOak берет вещи один шаг вперед с их политикой конфиденциальности нулевого знания. Это означает, что Ваши файлы даже шифруются от штата в SpiderOak". И от всех остальных в мире кроме Вас использующий decrpytion ключ Вы генерируете.
Исходный код для spideroak программного обеспечения доступен, таким образом, это должно быть возможно для проверки с математической силой уверенности encrpytion, и что ключ, известный только Вам, требуется, чтобы дешифровать: https://spideroak.com/code Просто не освобождают тот ключ, поскольку никто не может помочь Вам вернуть данные. В целом Вы сталкиваетесь с доверительной проблемой в какой-то момент с любым неоткрытым исходным кодом propietary решение. Который является очень сильной стороной с решениями с открытым исходным кодом. Я не доверял бы никаким уязвимым данным (налоговые декларации, медицинская документация) ни к какой системе, для которой исходный код не был доступен.
Вы могли, конечно, использовать encryped файлы или контейнеры файла как TrueCrypt с Dropbox, Google и другие. Но это - clutzy дополнительный шаг по сравнению с spideroak методологией а именно, encrpytion на лету на Ваших собственных аппаратных средствах. И было бы хитро если не невозможный сделать на iPhone (где существует spideroak приложение!).