Face à un attaquant doué, qui a un accès physique à la machine, il n'y a pas grand chose à faire.
Toutefois, en l'occurrence, il faudrait qu'il rentre chez moi, ce qui pose le plus souvent des problèmes légaux, puis qu'il parvienne à ouvrir une session, sans redémarrer la machine (en branchant un écran et un clavier par exemple), ce qui fait reposer la sécurité sur de gros mots de passe.
Autrement, au moindre redémarrage, il tombe sur le mot de passe du chiffrement des disques durs. Tant que la machine n'offre pas d'autres porte d'entrée qu'SSH ça semble robuste. Le système va donc s'affaiblir s'il héberge d'autres services, et on peut imaginer alors faire de la "physicalisation" et alignant un OlinuXIno par service à rendre... Ça consomme tellement peu de place et d'électricité, que c'est envisageable.
De gros mots de passes étaient sinon de toute façon requis pour accéder au système depuis l'Internet sauvage via un ordinateur portable (que j'assume perdu par avance, et donc sans clé ssh). En faisant attention à se tenir à jour : https://stribika.github.io/2015/01/04/secure-secure-shell.html
Après, sécuriser le wifi de son boîtier modem-routeur-adsl de fournisseur d'accès Internet avec un vrai mot de passe est aussi utile que fermer la porte du logement (même si tout est correctement chiffré par ailleurs).
Enfin, il existe des systèmes de piégeage du matériel, et j'imagine des disques, pour les faire exploser s'ils passent le pas de la porte (via un arceau qui peut ressembler à ceux des magasins), m'enfin je préférerai ne pas dormir à proximité d'un tel système !
À noter sinon que je recommande d'avoir un ou deux disques d'avance, pour remplacer rapidement les disques du RAID en cas de défaillance d'une part, et en les ayant stockés déjà synchronisés, pour avoir une copie de sauvegarde pas trop vieille sous la main en cas mauvaise manip sur le contenu du RAID. Contenu qui a sinon la faiblesse de pouvoir disparaître des deux disque en une seule commande...
D'autre limitations à ce coffre-fort numérique est son débit en local. Il n'est pas limitatif pour un accès distant via Internet, mais j'ai des valeurs de 2,6mo/s en écriture en local, sûrement bridé par la capacité de calcul de la machine... La synchronisation des disques du tableau RAID s'effectuait elle à 15mo/s. M'enfin si c'est pour regarder des films ça se télécharge doucement, et se lit tout aussi doucement... Y'a que pour envoyer un lot de photos que ça se verrait or ça reste Internet qui limite quand on est en ADSL.
[^] # Re: Point sécurité.
Posté par Siltaär (site web personnel, Mastodon) . En réponse à la dépêche Se passer de Dropbox en montant son coffre-fort numérique à la maison. Évalué à 3.
Face à un attaquant doué, qui a un accès physique à la machine, il n'y a pas grand chose à faire.
Toutefois, en l'occurrence, il faudrait qu'il rentre chez moi, ce qui pose le plus souvent des problèmes légaux, puis qu'il parvienne à ouvrir une session, sans redémarrer la machine (en branchant un écran et un clavier par exemple), ce qui fait reposer la sécurité sur de gros mots de passe.
Autrement, au moindre redémarrage, il tombe sur le mot de passe du chiffrement des disques durs. Tant que la machine n'offre pas d'autres porte d'entrée qu'SSH ça semble robuste. Le système va donc s'affaiblir s'il héberge d'autres services, et on peut imaginer alors faire de la "physicalisation" et alignant un OlinuXIno par service à rendre... Ça consomme tellement peu de place et d'électricité, que c'est envisageable.
De gros mots de passes étaient sinon de toute façon requis pour accéder au système depuis l'Internet sauvage via un ordinateur portable (que j'assume perdu par avance, et donc sans clé ssh). En faisant attention à se tenir à jour : https://stribika.github.io/2015/01/04/secure-secure-shell.html
Après, sécuriser le wifi de son boîtier modem-routeur-adsl de fournisseur d'accès Internet avec un vrai mot de passe est aussi utile que fermer la porte du logement (même si tout est correctement chiffré par ailleurs).
Enfin, il existe des systèmes de piégeage du matériel, et j'imagine des disques, pour les faire exploser s'ils passent le pas de la porte (via un arceau qui peut ressembler à ceux des magasins), m'enfin je préférerai ne pas dormir à proximité d'un tel système !
À noter sinon que je recommande d'avoir un ou deux disques d'avance, pour remplacer rapidement les disques du RAID en cas de défaillance d'une part, et en les ayant stockés déjà synchronisés, pour avoir une copie de sauvegarde pas trop vieille sous la main en cas mauvaise manip sur le contenu du RAID. Contenu qui a sinon la faiblesse de pouvoir disparaître des deux disque en une seule commande...
D'autre limitations à ce coffre-fort numérique est son débit en local. Il n'est pas limitatif pour un accès distant via Internet, mais j'ai des valeurs de 2,6mo/s en écriture en local, sûrement bridé par la capacité de calcul de la machine... La synchronisation des disques du tableau RAID s'effectuait elle à 15mo/s. M'enfin si c'est pour regarder des films ça se télécharge doucement, et se lit tout aussi doucement... Y'a que pour envoyer un lot de photos que ça se verrait or ça reste Internet qui limite quand on est en ADSL.
La liberté ne s'use que si on ne s'en sert pas.