~Rami ₪ MANUALS

רמי

SUBJECT: "Наш борт экстренно приземляется в недружественной ближневосточной стране", или 10 способов обеспечения безопасности устройств и критичных данных

AUTHOR: Rami Rosenfeld

DATE: 26/07/2025

TIME: 07.00

LANG: ru, en

LICENSE: GNU FDL 1.3

TAGS: gnu, gnome, software, opensource, linux, system, man, manual, bash, privacy, security, rhel, luks

"Наш борт экстренно приземляется в недружественной ближневосточной стране", или 10 способов обеспечения безопасности устройств и критичных данных

INTRO

Недавняя непредвиденная посадка израильского авиалайнера в аэропорту дружественной :) нам Турции привела к созданию сразу двух материалов: одного сугубо практического - ""Режим паники": Алиас для уничтожения критичных пользовательских файлов", и другого, посвященного более глобальным, т.е. сугубо теоретическим аспектам гипотетического досмотра либо аппаратного анализа устройств в экстренных ситуациях.

Примечание: Публикуемый материал можно рассматривать сразу в двух плоскостях: 1) непредвиденная посадка в аэропорту недружественного государства; 2) запланированное пересечение границ (въезд - пребывание - выезд) в подобном государстве.

Примечание: Я даю лишь общие схемы - без их объяснения, т.к. в противном случае материал этой публикации оказался бы сравним с объемом хорошей книги по информационной безопасности. Однако много руководств, конкретизирующих и раскрывающих нижеописанное, приведено мною ранее в разделе Manuals.

Метафизическое примечание: Покидая этот мир, Будда изрек: "Я дал вам Путь, но пройти его вы должны самостоятельно". Так вот: наш Рами, хоть пока и не будда, :) просто генерирует разнообразные идеи. Но(!) трезво оценить свою собственную ситуацию, векторы угроз и прочие обстоятельства, а также выбрать или скомбинировать разные способы защиты и уничтожения критичных персональных данных вы обязаны са-мо-сто-я-тель-но!

ВАЖНО:

DISCLAIMER - пожалуйста, прочитайте полностью!

1. Автором априорно подразумевается, что защищая свои критичные данные, вы: 1) не нарушали; 2) не собираетесь нарушить законодательство любой из стран проживания или временного пребывания... Одним словом, берите пример с Рами Розенфельда - исключительно законопослушного гражданина! :)

2. Под "критичными данными" подразумевается, что вы защищаете свои неотъемлемые права на неприкосновенность частной жизни, личную и семейную тайну, а также тайну переговоров, почтовых и иных сообщений, а отнюдь не храните на своих устройствах (и уж тем более не перемещаете их за пределы страны!) любую информацию с ограничивающими грифами (от "ДСП" до "СС") - например: устройство ядерного реактора в Димоне, :) расположенного в пустыне Негев.

NOTE

1. "Чистое" устройство: Свежеустановленная (свежепереустановленная) ОС с отсутствием критичных и минимумом личных файлов, не имеющая зашифрованных разделов.

МЕТОД: Установка или переустановка ОС и минимального ПО.

ПЛЮСЫ: Не надо беспокоиться о досмотре или анализе.

МИНУСЫ:

1) Необходимость восстановления личных и критичных данных (требует защищенной связи с облачным хранилищем, содержащим шифрованные резервные копии данных).

2) В некоторых случаях (я уже читал о прецедентах, но не буду указывать пальцем), у людей, на устройствах которых (это выяснялось в ходе глубокого анализа с аппаратным доступом) были массово удалены данные, возникали серьезные проблемы.

3) При беспарольном доступе и/или прямом доступе к штатному носителю в результате аппаратного подключения на нем могут "внезапно" появиться и "обнаружиться" нежелательные файлы, а также быть внесены любые вредоносные изменения в ОС. Пользоваться таким устройством больше нельзя!

4) Необходимость надежного уничтожения накопленных личных и критичных данных при обратном пересечении границы.

5) С такого устройства ни в коем случае нельзя соединяться с критичными ресурсами и производить некоторые иные операции.

2. Заранее подготовленное "чистое" устройство со сменным (специально для поездок) носителем, имитирующее предшествующую длительную штатную работу ОС.

МЕТОД: Установка на сменный носитель ОС и ПО, а также копирование в него разнообразных некритичных пользовательских файлов (фото, видео, тексты и т.п.). Должна производится загодя; важно также, что даты создания не должны быть едиными для всех типов файлов. Для внушительности - можно установить простенький пароль на домашний раздел, а в закладки браузера - внести два-три десятка необязательных ссылок.

ПЛЮСЫ: Не надо беспокоиться о досмотре или анализе.

МИНУСЫ:

2) Необходимость надежного уничтожения накопленных личных и критичных данных при обратном пересечении границы.

3) При беспарольном доступе или прямом доступе к носителю в результате аппаратного подключения на нем могут "внезапно" появиться и "обнаружиться" нежелательные файлы, а также быть произведены любые вредоносные изменения в ОС. Пользоваться таким устройством больше нельзя!

4) С такого устройства ни в коем случае нельзя соединяться с критичными ресурсами и производить некоторые иные операции.

3. Бездисковое устройство с загрузкой неизменяемой Live-OS с USB-flash носителя.

МЕТОД: Перед поездкой штатный HDD/SSD физически отключается и изымается из корпуса: он остается в стране вашего постоянного проживания/пребывания. С помощью специальных средств (рекомендую Fedora MediaWriter; оно блокирует носитель от дальнейших изменений) готовится свежая неизменяемая Live-OS, стартующая с USB-flash носителя.

ПЛЮСЫ:

1) Некоторые USB-flash выпускаются в миниатюрном корпусе, схожем размерами с обычной Bluetooth-антенной, используемой для беспроводного подключения клавиатуры, мыши и т.п. перферийных устройств, поэтому оно не привлечет внимания при досмотре и сымитирует (с некоторыми нюансами) загрузку со штатного накопителя.

2) По сути, можно вообще не беспокоиться о критичных данных, равно как и о злонамеренном "добавлении" на USB-flash сторонних файлов.

3) Не надо беспокоиться о досмотре или анализе.

4) Live-носитель также легко "теряется" или уничтожается при помощи сторонних тяжелых предметов! :)

МИНУСЫ:

2) Необходимые данные и настройки будут храниться на вашем устройстве только в пределах одной "живой" сессии.

3) Отсутствие возможности установить дополнительное ПО.

4) Полное отсутствие даже безобидных пользовательских файлов привлекает излишнее внимание. Впрочем, это ваше личное право - использовать "живую ОС": "А что мне делать, если винчестер сломался прямо перед поездкой?"

4. Бездисковое устройство с загрузкой изменяемой Live-OS с USB-flash носителя

МЕТОД: Это устройство с оверлейным слоем (для длительного хранения настроек ОС и дополнительно устанавливаемого ПО) и зашифрованным домашним каталогом.

ПЛЮСЫ:

1) Весьма интересный вариант! Он предполагает наличие Live-носителя с:

а) неизменяемым разделом с "живой" ОС (оптимально - атомарно-обновляемая Fedora Silverblie);

б) дополнительным оверлейным слоем, на который будут записываться обновления ОС, а также все необходимое ПО;

в) изменяемыми настройками всего вышеперечисленного;

г) домашним зашифрованным каталогом, представляющим собой единый (переносимый!) файл.

2) Live-носитель также легко "теряется" или уничтожается при помощи сторонних тяжелых предметов! :)

3) К устройству применим "режим паники".

4) Можно дополнительно выбрать автоматическую загрузку в консольном режиме (см. п.5 ниже).

МИНУСЫ:

1) Не следует слепо доверять надежности хранения критичных данных подобным способом;

2) Не следует нагружать домашний шифрованный каталог особо критичными данными.

5. Полноценная операционная система, автоматически загружаемая в консольном режиме.

МЕТОД: Это полноценная ОС, запускаемая с винчестера с полнодисковым шифрованием, а также зашифрованным доступом к BIOS, к GRUB2, включенным Secure Boot, - в которой ранее активирован "systemctl set-default multi-user.target" ("уровень 3").

С этим способом хорошо комбинируется создание т.н. fake-users ("ложных пользователей") - со своими домашними каталогами и массивами безобидных файлов, среди которых может затеряться единственный "настоящий" домашний подкаталог. А кто знает... - возможно, вы прихватили в поездку целый "домашний сервер" :) - и тогда наличие множественных пользователей будет выглядеть вполне достоверно.

ПЛЮСЫ:

1) Контролирующие органы, столкнувшись с замечательно черным экраном GNU/Linux (да еще и с зелененькими маленькими буковками), весьма скоро устают от тщательного осмотра устройства; особенно если вы скрупулезно, т.е. при помощи команд "cd", "ls" и т.п. показываете им содержимое каталога ~/Video: "Здесь у меня фильм "Ленин в октябре"... "А вот это - сказка о колобке"... :)

2) Устройство устойчиво к тщательному аппаратному анализу, тем более, если при помощи специальных средств заранее запретить подключение сторонних USB-устройств ко всем портам (исключая ваши "доверенные" флэшки).

3) Незаметно от чужих глаз запускать на таком девайсе разнообразные алиасы "паники" - сплошное удовольствие! :) Особенно если исполнить в консоли "cryptsetup luksErase", но последнее - это уже на экстренный случай.

МИНУСЫ:

1) Любое "непонятное" всегда вызывает повышенный нездоровый интерес. Хотя вы конечно же обладаете полным правом загружать свою ОС любым методом, какой вам нравится... И вообще: "А что поделать, если мой древний ноутбук не поддерживает полноценную DE и прочие GUI?"

2) Невыдача паролей шифрования в некоторых странах является преступлением или правонарушением.

6. Полноценная операционная система без пользовательских критичных данных

МЕТОД: Подробнее см. пп. 5 и 7. Зашифрованные критичные данные хранятся в доверенном "облаке" и скачиваются (либо выгружаются обратно по мере надобности) исключительно в дополнительную область, шифрованную с помощью GoCryptFS.

ПЛЮСЫ:

1) Полностью работоспособная защищенная ОС.

2) Отсутствие критичных данных.

3) Безопасна для досмотра / анализа.

МИНУСЫ:

1) Дурная привычка "хранить все данные только в облаке" (или только в одном облаке), а особенно - в незашифрованном виде, и параллельно надеяться на их сохранность и недоступность, - может привести к самым плачевным последствиям!

7. Полноценная операционная система, загружаемая с DE/GUI

МЕТОД: Это полноценная ОС, запускаемая с винчестера с полнодисковым шифрованием, а также зашифрованным доступом к BIOS, к GRUB2, включенным Secure Boot и дополнительной областью, шифрованной с помощью GoCryptFS, и заблокированным доступом к USB-портам.

ПЛЮСЫ:

1) Полноценная рабочая система со всем необходимым содержимым, включая пользовательские критичные и прочие файлы.

2) Наиболее серьезный вид защиты; в качестве дополнительного слоя шифрования рекомендую использовать каталоги, созданные GoCryptFS, - поверх шифрования раздела /home.

3) Наиболее трудна для криминалистическо-аппаратного анализа.

МИНУСЫ:

1) Если в случае поверхностного осмотра владелец может исполнить алиас, уничтожающий наиболее критичные пользовательские файлы, то, в случае угрозы детального анализа, единственный способ - полное уничтожение слотов LUKS2. Это выведет из строя ОС и предотвратит доступ к пользовательским файлам. Однако и вы сами не сможете восстановить их впоследствии.

2) Невыдача паролей шифрования в некоторых странах является преступлением или правонарушением.

8. Полноценная операционная система без пользовательских критичных данных ПЛЮС шифрованный (LUKS2) USB-flash носитель, хранимый отдельно

МЕТОД: Это полноценная ОС; при необходимости работы к ней подключается флеш-носитель, содержащий критичные зашифрованные данные.

ПЛЮСЫ:

1) Устройство безопасно для досмотра / анализа.

МИНУСЫ:

1) В случае отдельного требования - предоставить доступ к данным на USB-flash - вы не сможете экстренно и быстро уничтожить данные на этом носителе.

2) Невыдача паролей шифрования в некоторых странах является преступлением или правонарушением.

9. Полное отсутствие физических устройств (ноутбука и сменных носителей)

МЕТОД: С помощью специальных средств перед поездкой готовится изменяемая Live-OS на USB-flash носителе (см. п.4). Это устройство с оверлейным слоем (для длительного хранения настроек ОС и дополнительно устанавливаемого ПО) и зашифрованным домашним каталогом. После: а) окончания подготовки и б) копирования в зашифрованный домашний каталог всего необходимого для поездки, в) с носителя снимается (dd) образ диска. Готовый образ зашифровывается GNUPG и размещается в надежном "облаке" (с парольным доступом к данному файлу).

Чтобы получить работоспособную "живую" систему в пункте прибытия, нужна новая USB-flash и необходим любой сторонний компьютер с интернет-подключением. На последний вначале скачивается, потом расшифровывается и восстанавливается на USB-flash ранее подготовленная вами операционная система. После этого "живая флэшка" используется по назначению, а при обратном перемещении - новые файлы с нее зашифровываются и перегружаются обратно в облако, а сам носитель - физически уничтожается. Важно: При работе с Live-OS я рекомендую временно изъять из базового компьютера штатный винчестер!

ПЛЮСЫ:

1) Отсутствие проблем с досмотром.

МИНУСЫ:

Требует наличия стороннего (гипотетически ненадежного!) устройства со стабильным интернет-соединением.

10. "Метод Питера Малкина": Честность, открытость, доброжелательность!

Вы слышали когда-нибудь о Питере Малкине? Нет?! :) Очень жаль, ведь это тот самый легендарный моссадовец, который скрутил в тихом латиноамериканском пригороде нацистского преступника Эйхмана, чтобы вывезти его в Израиль для суда и позорной казни!

И далее я просто (с некоторыми сокращениями) автоцитирую одну из своих книг:

Прямо на вечерней улочке Эйхмана захватила легенда МОССАДа — знаменитый «агент семь сорок» Питер Малкин, взрывник-диверсант и специалист по сейфам. О его квалификации рассказывали увлекательнейшие истории; так, когда Питера только принимали на службу в «Шин-Бет», ему поручили разминировать дом одного арабского террориста и попутно разобраться с хозяйским сейфом. И кандидат в оперативники без труда нашел две мины-ловушки; последняя, кстати, была спрятана под пачкой деловых бумаг во вскрытом им тайнике.

До сих пор в МОССАДе изучают на занятиях его виртуозную работу во вражеском Египте: Малкин расправился с одним из самых защищенных сейфов, подобрав нужный шифр. Далее он отснял секретные документы о деятельности немецких ученых-ракетчиков в Египте, аккуратно вернул их на место, запер дверцу… и не оставил никаких следов. В шестьдесят третьем году немцы помогали тамошнему режиму тайно проектировать оружие против Израиля, да не простое, а с начинкой из радиоактивных отходов. Сначала все шло хорошо, но потом яйцеголовые стали получать анонимные угрозы по почте. А когда предупреждениям не вняли, пришли несколько отправлений со взрывчаткой: кто-то погиб, а кто-то просто исчез… И оставшимся нацистским недобиткам пришлось срочно драпать!

(...) Малкин лично обезвредил нациста, схватил его и затолкал в один из автомобилей — всего за двадцать секунд! Питер обратился на испанском: «Минуточку, сеньор», — сдавил Эйхману шею специальным приемом и повалил на землю. Малкин вспоминал, что надел на операцию перчатки, так как «мне было противно прикасаться к Эйхману». Бронзовые слепки этих знаменитых перчаток хранились в Еврейском музее Нью-Йорка. И еще: это был единственный случай за всю службу, когда Питеру довелось применить физическую силу.

Кроме того, Питер был спецом по диверсиям, перевоплощениям и боевым искусствам. Его арестовывали около пятидесяти раз в разных странах мира, но ни разу не смогли привлечь к ответственности. А он лишь смеялся: «Я никогда не оставлял улик и все тщательно продумывал. Посмотрите на меня. Я улыбаюсь. Я не похож на шпиона, правда? Меня задерживали, а я говорил: смотрите, я же художник, нормальный, мирный человек, приехал сюда на этюды. Я люблю людей и не воспринимаю их как врагов»… «У меня ни одного провала за 27 лет — это мировой рекорд!» Кстати, Малкин несколько раз побывал со спецзаданиями в СССР, но никогда не упоминал о подробностях. Уверен, и там Питер был столь же успешен.

ОБЩИЙ ВЫВОД

Так вот, самый лучший :) способ обеспечения безопасности критичных данных - это ИХ ОТСУТСТВИЕ. А также честность, открытость и доброжелательность к людям, ведь в конечном итоге, вы не храните, не скрываете и не замышляете ничего плохого или незаконного. Поэтому "пустые открытые ладони", улыбка и искренняя общая предрасположенность к окружающим - вот то, что должно сопровождать вас в любой поездке.

И запомните напоследок: никаких девайсов! "Чистые руки - это всегда еще и чистая совесть!" :) (Разве что Рами всегда берет с собой в путешествия старый кнопочный телефон с мощным аккумулятором...)

₪ Back to home ₪

🄯 Rami Rosenfeld, 2025. GNU FDL 1.3.