/ Dev / urandom'a bir alternatif var mı?

/ Dev / [u] rasgele olduğundan daha hızlı bir yolu var mı? Bazen böyle şeyler yapmam gerekir

cat / dev / urandom> / dev / sdb

Rastgele cihazlar "çok" güvenli ve ne yazık ki bunun için çok yavaş. wipeGüvenli silme işlemi için benzer araçlar olduğunu biliyorum , ancak sanırım Linux'ta bunun için bir takım araçlar da var.

Bir sabit sürücünün (veya dosyanın) "güvenli" bir şekilde silinmesini istiyorsanız, parçalama yardımcı programına bakmanız gerekir.

Önceki posterlerin işaret ettiği gibi, / dev / * rasgele cihazlarının küçük rasgele veri parçaları olarak kullanılması amaçlanmıştır.

Ne yazık ki Linux, urandomun kötü uygulanmasına sahiptir. İşlemciniz AES-NI (donanım hızlandırması) özelliğini destekliyorsa, aes256-ctr'yi rastgele bir anahtarla kullanabilir ve saniyede birkaç yüz megabayt sözde rastgelelik elde edebilirsiniz. Modern bir yaklaşıma geçiş yapmak için sabırsızlanıyorum.

openssl enc -aes-256-ctr -pass pass:"$(dd if=/dev/urandom bs=128 count=1 2>/dev/null | base64)" -nosalt < /dev/zero > randomfile.bin

Bu köpek yavrusu, kutumda 1.0 GB / sn (14 MB / sn / dev / urandom ile karşılaştırıldığında) kullanıyor. Urandomu yalnızca rastgele bir parola oluşturmak için kullanır ve daha sonra bu anahtarı kullanarak / dev / zero şifresini çok hızlı bir şekilde yapar. Bu kriptografik olarak güvenli bir PRNG olmalıdır, ancak garanti vermem.

Ubuntu 8.04 altında, T2500 CPU'lu Thinkpad T60p üzerinde yapılan hızlı bir testte, 1GB'lık rasgele veri openssl rand, 3-4X'ten daha hızlıydı /dev/urandom. Yani,

time cat /dev/urandom | head -c 1000000000 > /dev/null

... yaklaşık 4 dakika oldu ...

time openssl rand 1000000000 | head -c 1000000000 > /dev/null

... 1 dakikadan biraz fazla oldu.

Rastgele kalitede bir fark olup olmadığından emin değilsiniz ancak HD silmede muhtemelen sorun yok.

Rasgele veri kullanmanın önemli olmadığını söyleyen birçok cevap görüyorum. Yapmaya çalıştığınız tek şey sürücüyü silmekse, disk şifrelemesi için hazırlanırken silmeyi seçiyorsanız bu oldukça doğru.

Bir cihazı rastgele olmayan verilerle doldurursanız, üzerine şifrelenmiş bir bölüm yerleştirin, bir sorunla karşılaşabilirsiniz. Şifreli verileri depolayan sürücünün kısmı, sürücünün geri kalanından sıyrılacak çünkü şifreli veriler rastgele görünecek ve geri kalanı görünmeyecek. Bu, onu kırmada kullanılabilecek kripto diski hakkındaki bilgileri belirlemek için kullanılabilir. Aşağıdaki bağlantı, bazı yaygın saldırıların nasıl çalıştığını ve bunlara karşı nasıl savunacağını açıklayan teoriyi açıklamaktadır (Linux'ta, yine de).

Linux sabit disk şifreleme ayarları

Bir HD'yi güvenli bir şekilde silmeniz gerekirse, çok güçlü bir araç var : DBAN

Büyük bir blok cihaz silmek istiyorsanız o zaman ddrastgele verilerin çıkış yönlendirmesi yerine kullanmak ve daha fazla cihaz eşleştiricisi kullanmak buldum . Aşağıdaki eşler /dev/sdbiçin /dev/mapper/deviceToBeErasedtr ve aradaki transparantly şifresini. Aygıtı şifreli uçta doldurmak için, sıfırlar eşleştiricinin düz metin tarafına ( /dev/mapper/deviceToBeErased) kopyalanır .

cryptsetup --cipher aes-xts-plain64 --key-file /dev/random --keyfile-size 32 create deviceToBeErased /dev/sdb
dd if=/dev/zero of=/dev/mapper/deviceToBeErased bs=1M

/dev/sdbAES'de ciddi bir zayıflık yoksa, şifrelenmiş verinin rastgele verilerden ayırt edilemeyeceği garanti edilir . Kullanılan anahtar /dev/randomelinden alınır (endişelenmeyin - yalnızca 32 bayt kullanır).

frandomu kontrol et

http://billauer.co.il/frandom.html

testime göre en hızlı

Aracınız ne kadar hızlı olursa, sonuç o kadar az güvenli olur. İyi rastgelelik üretmek zaman alır.

Her neyse, eğer = / dev / zero of = / dev / sdb = dd gibi bir şey kullanabilirsiniz , fakat açıkça rastgele olmayacak, sadece çok daha hızlı silecektir.

Başka bir seçenek bu yöntemi kullanmak olabilir / sbin / badblocks -c 10240 -s -w -t rasgele -v / dev / sdb urandomdan daha hızlıdır, ancak badblocks PRNG daha az rastgeledir.

/dev/random çok fazla sistem entropisi kullanır ve bu nedenle yalnızca yavaş bir veri akışı üretir.

/dev/urandom daha az güvenli ve daha hızlıdır, ancak yine de daha küçük veri parçalarına yöneliktir - sürekli yüksek hızlı rasgele sayı akışı sağlamak anlamına gelmez.

Kendi tasarımınızın bir PRNG'sini yapmalı ve onu /dev/randomveya içinden bir şeyle tohumlamalısın /dev/urandom. Biraz daha rastgele ihtiyacınız olursa, periyodik olarak tohumlayın - her birkaç MB'de (veya prng'nizin uzunluğu ne olursa olsun). Urandomdan veya rastgele 4 bayt (32 bit değer) almak, her 1k veriyi (prng'lerinizi her 1k'de yeniden hazırlar) yapabileceğiniz ve çok, çok, çok hızlı bir şekilde giderken çok rastgele sonuçlar alabilmeniz için yeterince hızlıdır.

-Adam

Bir sabit sürücüyü hızlı bir şekilde silmek istiyorsanız, rastgele olmayan verileri ona yazın. Bu rasgele veri kullanmaktan daha az güvenli değildir. Her iki durumda da, bir bilgisayara bağlandığında orijinal veriler okunamaz. Sabit Sürücü Verilerinin Üzerine Yazma: Büyük Silme Tartışması , orijinal verilerin de mikroskop kullanılarak okunamadığını gösteriyor.

LUKS ile formatlayın ve şifreli birimin üzerine dd. Ardından LUKS başlığını silmek için / dev / urandom kullanın.

Donanım AES desteğiniz varsa bu çok hızlı bir çözümdür.

Kısaca:

cryptsetup luksFormat /dev/sdX
cryptsetup luksOpen /dev/sdX cryptodev
dd if=/dev/zero bs=1M of=/dev/mapper/cryptodev
cryptsetup luksClose cryptodev
# wipe the luks header.  Yes, it uses /dev/urandom but only for 2MB of data:
dd if=/dev/urandom bs=1M count=2 of=/dev/sdX

bitmiş!

Bloguma bakın: Bir diski rasgele bitlerle hızlı bir şekilde doldurun (/ dev / urandom olmadan)

Bir sabit sürücüyü silmek istiyorsanız, dd yeniden tahsis edilen sektörlerin içeriğini silmez ve sabit sürücü ölüyorsa çok yavaştır. Bunun yerine, uzun süredir standart hale getirilmiş olan sürücülerin silme işlevini kullanabilirsiniz.

Bu örnekte, 500 GB'lık bir mekanik sabit diski yalnızca 102 dakikada siliyorum. Yeniden tahsis edilen sektörlerle dolu olsa bile:

root@ubuntu:~# hdparm --security-set-pass Eins /dev/sdaj
security_password="Eins"

/dev/sdaj:
 Issuing SECURITY_SET_PASS command, password="Eins", user=user, mode=high
root@ubuntu:~# time hdparm --security-erase-enhanced Eins /dev/sdaj
security_password="Eins"

/dev/sdaj:
 Issuing SECURITY_ERASE command, password="Eins", user=user

real    102m22.395s
user    0m0.001s
sys     0m0.010s

root@ubuntu:~# smartctl --all /dev/sdaj | grep Reallocated
  5 Reallocated_Sector_Ct   0x0033   036   036   036    Pre-fail Always   FAILING_NOW 1327 

Daha fazla ayrıntıyı ata.wiki.kernel.org adresinde görebilirsiniz , ancak örnekleri, daha önce bahsedilen yeniden tahsis edilen sektörleri silmek için gerekli olan - security-erase-enhanced kullanmıyor.

Uygulamada muhtemelen tüm diski sürekli olarak rastgele bir akımdan ekmeye gerek yoktur.

Mütevazı boyutlu bir rasgele veri yığını oluşturabilir ve daha sonra bunu diskte tekrar tekrar yapabilirsiniz.

Sadece veri yığınının, aynı blok rastgele verinin aynı veri blokları üzerine yazılmamasını sağlamak için diskin normal blok boyutunun bir katı olmadığından emin olun. ~ 1MB aralığında bir asal sayı olan bir yığın boyutu iyi yapmalı.

Ek güvenlik için, her seferinde farklı bir yığın boyutu kullanarak birkaç kez daha yapın.

'Shred' yardımcı programı kolay ve hızlı. Sürücünün SMART öznitelikleri sıfır tahsis edilmiş sıfır sıfatı gösteriyorsa, 'parçalama' yeterince güvenlidir.

Ancak, sürücünün yeniden tahsis ettiği sektörler varsa, hasarlı sektörlere ilişkin verilerin üzerine yazılmayacaktır. Zarar görmüş konumlar yeniden tahsis edilmeden önce hassas veriler içeriyorsa, 'parçalama' yeterince iyi olmayabilir. 'Kötü' sektörler, sürücünün tahsis haritasını sıfırlayarak ve (tekrar tekrar) bunları okuyarak okunabilir.

Kötü sektör tahsis haritasını sıfırlama yeteneği, üreticiye ve sürücü modeline göre değişmektedir.

Tek yapmak istediğiniz diskin üzerine yazmaksa, ne kullandığınız önemli değil, çünkü herhangi bir şey bir adli tıp laboratuarından başka bir şeyi geçemez ve bu seviyedeki kaynakları durdurmak için sürücüyü cüruf kesmekten başka bir şeye güvenmezdim. .

Sadece tüm sıfırlar veya olanlar gibi rastgele olmayan bir kaynak kullanın veya tekrar eden bir desen kullanın (bunun işe yarayacağını düşünüyorum)

(head -c 4096 /dev/urandom; cat /dev/sdb/) > /dev/sdb