security :: Remember, remember, the velvet November


node:	security
template:	4
parent:	pocitace - troubleshooting ci co
owner:	pistinko
viewed by:
created:	10.08.2005 - 13:41:01

cwbe coordinatez:
101
63540
63709
1843508

ABSOLUT
KYBERIA

permissions
you:	r,
system:	public
net:	yes

poradte mi prosim :
je treba pripravit notebook do jednej problemovej oblasti sveta ...

maju tam problemy dostupnostou nakupu suciastok a aj s pripojenim k internetu.

Ak tym ludom budu tie notebooky najdene, hrozia im problemy ...
a ak by im boli najdene aj data v nich (ktore by boli "neprijatelne"), tak hrozia problemy asi este vacsie.

Prosim, co by ste poradili ... ako taky notebook vybavit ?

Je poziadavka, aby tam bol Windows XP Home SP2 ...

1. ako to PC co najlepsie zabezpecit tak, aby s nim vedel robit laik ... ale zaroven, aby tam bola dostatocna ochrana pred vniknutim inych ludi ?
- nejake nastroje na samodestrukciu dat nahodou neexistuju (za splnenia nejakych podmienok ... alebo pri potrebe rychleho zmazania) ?
- aky software odporucite ?

2. ake prislusenstvo k notebooku odporucate ... aby si to ti ludia v pripade problemov mohli opravit (ak by to slo) ?
- co sa na notebookoch najviac kazi ?

velka vdaka za kazdu pomoc ...
velmi to ponahla

0000010100063540000637090184350801846426

Este ma napadlo :
existuje nieco take, ze necham cast disku bez particie.
Alebo v takom formate, aby nebola viditelna vo windows ...
a tam budem data nejakym specialnym programom ukladat ?
Som pocul, ze nejaki administratori robievaju zalohy (zeby image disku) do priestoru nepristupneho z Windows ...
cize do standarne uzivatelsky nezmazatelneho priestoru

000001010006354000063709018435080184642601849651

Velka vdaka vsetkym za rady ...
nainstaloval som tam PGP, ktore umoznuje vytvorit virtualny disk s kriptovanim 256 bitov ... co je myslim dost velky oriesok na nejake lahke rozlusknutie.
Uz ide len o to, aby "kluc" na odomykanie mali dost komplikovany a boli pripraveni zlikvidovat papier, kde ho maju zapisany :) ...
alebo aby vymysleli nejaky iny sposob komplikacie pre jeho zistenie.

00000101000635400006370901843508018464260184965101858737

existuje snimac otlackov prstov, ktory sa pripaja usb-ckovo, podmienky su splnene iba ked prst ma teplotu v rozmezi 32-38 stupnov a scanuje a porovnava sa otlacok akehokolvek prstu ktory je v databaze nascanovany, asi nabezpecnejsie s cim som sa stretol, funguje spolahlivo, tesoval som pod XP, mozem doporucit

0000010100063540000637090184350801846426018496510185873701858745

no jo, ale az teraz som si precital nody podomnou:)

00000101000635400006370901843508018464260184965101850059

kluc by mal byt na kryptovanom USB kluci "na heslo"
vzdy pri sebe atd

0000010100063540000637090184350801846426018496510185005901853774

po oddeleni hlavy sa kluc z krku da ziskat za par sekund :)
dufam ze to je nejaka kambdza a spol.

000001010006354000063709018435080184642601849651018500590185377401853882

okej, ale ten kluc je kryptovany a heslo vhlave :)

druha vec ze ludia co sekaju hlavy z teba heslo dostanu za 10 sekund :)

000001010006354000063709018435080184642601848089

ide to velmi jednoducho, particiam sa da nastavit priznak 'hidden', a potom ich system nevidi (teda aspon vo windows to tak funguje), takze postup je ze particiu 'unhidnes', restartnes, zapises data, das 'hide' a zas restart. Lama to nenajde ale odbornik ak sa bude snazit a napadne ho to tak to najde velmi lahko.

000001010006354000063709018435080184642601847972

no ano. to je imho dost hlupe.
ked im to najdu, tak tomu ver ze najdu aj to miesto bez particii.
take lamy zasa nebudu.
a ked tam najdu "specialny program" na ukladanie, tak hadaj, co ich napadne ze maju hladat?

000001010006354000063709018435080184642601847102

true imaga to robi.
a robia to aj na znackovych pc.v robote mame Dell (inac mi dost leze na nervy)
ale ma spravene dalsie 2particie na ktore sa win neda dostat.ak som to spravne pochopil do jednej mozes bootnut a dat preinstalovat win z imigu co je na tej tretej particii.

a aj v partion magic sa da urobit cast disku bez naformatovania

000001010006354000063709018435080184642601846476

jasan. najjednoduchsie urobit jednu particiu linuxovu a dostavat sa k nej cez nejaku live distribuciu (napr. velice user friendly knoppix) vo winoch ju zarucene neuvidis a security features mas na vyber velike mnozstvo, od najzakladnejsej na zaklade userov az po tazke kryptovania... ale na to su tu iny machri :)

0000010100063540000637090184350801844258

kazivost notebookov
-klb ktory drzi display, casom je volnejsi
-baterka, zvacsa do dvoch rokov ma len zlomok kapacity, casom ziadnu, vysoka teplota ci zle chladenie (prasne prostredie, ktore casom vyradi coolery) tento proces urychluje.
-cd, dvd a ine mechaniky sa zaprasia pomenrne rychlo, podla toho co pises skor taketo poruchy hrozia
-poruchy hdd pri zlom zaobchadzani - narazy za chody, silne narazy aj za vypnuteho stavu, vysoka teplota
-je vhodne kontrolovat priebezne prehriatie notebooku, ak je dlhsie polozeny na stole, moze byt teplota zle odvadzana. treba dat pozor, aby sa na notebooku nezakryvali vetracie otvory.
-poskodenia lcd dipleja - lokalne zatazenie miesta na dispelji po dlhsiu dobu, hoci aj z vonkajsej strany mozu sposobit flaky na displeji. dalej hrozi rozbite, skrabance, etc.
-pri neistej napajacej sieti pouzivat adapter len na nabijanie baterky, nenechavat bezat notebook napajany zo siete (toto je len moj dohad, mono je to blbost)
-predpokladam, ze protredie ktore popisujes nie su ziadne klimatizovane
kancelarie, asi by bolo dobre priamo s predajcom ci vyrobcom prekonzultovat vhodnost toho ktoreho typu do danych podmienok.

cize pozor na narazy obzvlast za chodu, prach, vlhkost a vysoku teplotu.
idelne by bolo ak by cela skupina mala rovnaky typ notebooku a nejaky kurz po ktorom by vedeli opravit niektore poruchy s telefonickou asistenciou.

000001010006354000063709018435080184425801845442

co sa tyka napajacej siete tak je to uplna pohoda, lebo v adapteri mas implementovanu prepetovu ochranu, vlastne vsetky mozne ochrany co sa tyka napajania. a kedze posledneho pol roka pouzivam notebook ibm t41 tak by som doporucil nieco z ich ponuky. co sa tyka ochrany dat tak mas boot password (klasika) a uz spominany password na disky. ten funguje docela dobre co som pocul, spolahlivy, tazko rozlusknutelny (aj ked vsetko sa da ked sa xce ze jo). no a este v tej novej serii su tie spominane otlacko prsto readery, aj ked asi useless v tomto pripade. vo vseobecnosti su notebooky ibm kvalitne a malo kazive, ale vsetko sa raz musi pokazit... ale maju pevnu kostru a nejake tie narazy mu nevadia. maju aj implementovanu antishock ochranu, ktora pri manevrovani s noutbukom vypina disky (alebo iba odklana hlavicky alebo neviem co, proste ochrana proti poskodeniu diskov). prosim neberte to ako reklamu ibm, proste som s tym bookom iba spokojny ;)))

00000101000635400006370901843508018442580184544201873755

ale zabudol si dopisat ze pracujes v IBM...:) hehe, ja len rypem, tiez by som bral IBM alebo Toshibu

00000101000635400006370901843508018442580184544201846251

urcite - ibm by bola aj moja volba. pistinko ale prave spominal ze maju k dispozicii notebooky hp, na tie treba dat asi trochu vacsi pozor.

00000101000635400006370901843508018442580184544201845660

jj, antishock parkuje hlavicky na parkovisko ;)
a dokonca maju aj "odkvap" pod tlacitkami klavecnice, takze kava vytecie spat do poharika, ak viete kam ho rychlo podlozit :)

ozaj a kryptovanie dat na tych zaheslovanych diskoch ste spominali? ak nie, tak je tam

0000010100063540000637090184350801844258018454420184566001846333

myslis to tak, ze na tych IBM notebookoch je kryptovanie riesene hardwarovo = notebookom ?
alebo ?

000001010006354000063709018435080184425801845442018456600184633301846405

Security
System
Security Chip on selected models
Locking device in the IBM security slot provides physical security.
The IBM Embedded Security Subsystem (TCPA compliant) provides for authentication and encryption of data communications. The integrated 802.11b wireless lets you connect to a LAN without wires or cables. To connect to the Internet, the optional IBM High Rate Wireless Access Point 500 and an Internet phone number are required.

Password
A Power-on password (POP) protects the system from unauthorized use. If a POP is set, the password prompt appears:
Each time the system is turned on
When the system is returned to normal operation from suspend mode
A Supervisor Password provides a higher level of security than the POP. The Supervisor Password protects the system functions from being used by unauthorized users,and protects the hardware configuration from unauthorized modification. The Supervisor Password prompt appears:
When the BIOS setup screen is accessed
An HDD Password (HDP) protects HDD data from unauthorized users. Once HDP is set, data on the HDD cannot be accessed without the correct HDP. Because the HDP is stored in the HDD, the data remains protected even if the HDD is removed to another system. The HDP password prompt appears:
When the BIOS setup screen is accessed

skus si to tuna okolo tohoto linku preluskat, pripadne vyguglit viacej, ale v podstate ide o to ze je tam security chip, cize vsetko sa riesi hardwarovo na tej najnizsej urovni...
http://www.pc.ibm.com/us/security/userauth.html

00000101000635400006370901843508018442580184544201845660018463330184640501846419

hmm ... zaujimave
dik

0000010100063540000637090184350801844201

doporucujem notebooky IBM rady E alebo T. Ked zamknes disk tak je len mala sanca ze ho rozbehas na inom stroji a pri kazdom boote si to heslo vypyta. To heslo nie je vymazatelne a ak sa ti to dojebe, ibm musi menit celu dosku (bol nejaky workaroung ako ho zistit ale taky ze odpajkute jeden chip z dosky, data z neho mi poslite mailom a na ucet 300 dolacov). Myslim ze tato vec bola riesena koli velkym objednavkam zo strany US army. Ale over si ci to je aj u novsich modelov.

Windows XP Home SP2... nema EFS takze nic (da sa to riesit cez EFS s certifikatom na usb kluci alebo na flash karte - potrebny pcmcia adapter).

Ak niekto chce skor ci neskor ti prelomi kazdu software oxhranu.

000001010006354000063709018435080184420101844299

k tym ibm.. nove t42ky maju implementovanu citacku prstov ako doplnkovy vstup k tomu zamknutemu disku..

00000101000635400006370901843508018442010184429901845205

prst je "prenositelny" ;O
a ako pisal yerythoo: v pripade o akom hovoris asi ochrany na baze hesla nepomozu, heslo sa da vyzradit

0000010100063540000637090184350801844201018442990184520501845237

odtlacok prsta je dobry doplnok ... ale podla mna nie hlavny sposob ochrany.
V pripade ze je clovek s notebookom "dolapeny", tak je ten odtlacok prsta zbytocny a ucinne je len heslo.

000001010006354000063709018435080184420101844299018452050184523701847270

odtlacok je vhodne pouzivat len ako akysi pin kod k nejakemu hardwarovemu tajnemu klucu, v pripade prezradenia tajneho kluca je mozne ho zmenit a biometricky pin kod pouzivat dalej (biometricky pin kod je asi tazsie odchytit softverovou cestou ak sa nepouzije priamo ako tajny kluc a navyse v specialnom HW zariadeni - tokene), tak nejak by sa mala aplikovat biometria co som povrchne cital a chapal, ale samozrejme prst si nemozme odrezat a nozit ho stale v nedobytnom hardwarovom trezore, ide len o kombinaciu ktora je relativne bezpecna na bezne aplikacie a pomerne uzivatelsky prijatelna

0000010100063540000637090184350801843643

existuju pcmcia pametove karty s odlomitelnou poistkou, ktora kartu a jej data znici v pripade potreby, neviem ale aka je dostupnost takychto zariadeni pre civilnu oblast. mozno je problemom, ze na takejto karte je evidentne, ze ma takuto funkciu a rovnako je vidiet, ci bola pouzita.

v pripade o akom hovoris asi ochrany na baze hesla nepomozu, heslo sa da vyzradit.

skusim na obede nieco vymysliet.

0000010100063540000637090184350801843581

inak ... len pre zaujimavost :

elektricke zasuvky vo svete :

Domestic AC power plugs and sockets
http://en.wikipedia.org/wiki/Domestic_AC_power_plugs_&_sockets

World standards
Electricity around the world
http://users.pandora.be/worldstandards/electricity.htm#plugs