sparseimage und mehrere benutzer?

[asleif]

moin!

ich habe meine wichtigen daten alle in mehrere verschlüßelte
sparseimage gesteckt. nun habe ich das problem, daß ich gerne ein
sparseimage für alle am rechner angemeldeten user (hotseat... nix
lan/nas oder so) freigeben möchte.

also: user1 öffnet sparseimage1.sparseimage, welches unter seiner
session als sparseimage1 als laufwerk auf dem desktop angezeigt wird
und verfügbar ist. user1 verlässt den rechner, lässt seinen account
und das sparseimage aktiv. user2 meldet sich am rechner an und kann
nicht auf sparseimage1 zugreifen.

ich habe schon als root im terminal versucht, die zugriffsrechte
anzupassen und zwar sowohl auf die container-datei
(sparseimage1.sparseimage) als auch auch das volume mit
chmod 775 sparseimage1(.sparseimage)
ohne erfolg, des volume bleibt nur unter dem userkontext sichtbar,
unter dem das sparseimage gemounted wurde.

ich hatte dann daran gedacht, mit chown die usergruppe zuzuweisen,
aber welcher gruppe gehören denn die normalen benutzeraccounts unter
mac os x an?

hilfe!

gruß,
asleif

p.s.: dies ist ein crosspost (*snief* sorry! original-post bei heise: http://www.heise.de/foren/go.shtml?read=1&msg_id=11413968&forum_id=25085)



/edit:
hm, diese geschichte ich auch seeeehr interessant, aber löst mein problem nicht: http://www.apfeltalk.de/forum/sparseimage-redhat-bearbeiten-t33174.html

 

[Soul Monkey]

Wo liegt denn das DiskImage? Kann User 2 das DiskImage ueberhaupt sehen oder nur nicht mounten? Keine Ahnung ob zwei oder mehr Benutzer gleichzeitig ein und das selbe DiskImage mounten koennen.

 

[pepi]

Ich würde für wichtige Dateien keine Sparseimages nehmen. Diese Dinger sind verdammt heikel und bei Beschädigungen üblicherweise ein konsequentes Datengrab.
spricht etwas dagegen den /Users/Shared Ordner dafür zu nehmen? Warum muß das verschlüsselt sein?
Zwei Benutzer können ein und das selbe Image nicht gleichzeitig mounten, da die Datei ja schreibbar für den ersten geöffnet wurde. Damit wird der 2. User korrekterweise ausgesperrt. Was möglich wäre ist übers Netzwerk auf das gemountete Image zuzugreifen, was aber offenbar nicht gewünscht ist.

Mich würde doch interessieren was Du eigentlich ursprünglich vor hattest und warum Du glaubst Dein uns unbekanntest "Problem" so lösen zu können. Vielleicht gibt es ja einen ganz anderen Ansatz dem beizukommen.
Gruß Pepi

 

[asleif]

moin!

@soul monkey: die disk images liegen auf einer externen festplatte, und ja: jeder user hat zugriff darauf und kann sie mounten. nur: wenn einer sie mountet, kann der andere nicht darauf zugreifen.

@pepi: ich verschlüssele meine daten, weil ich es für wichtig halte, sie zu verschlüsseln. lieber wäre mir eine mac os-variante von truecrypt, aber die ist ja noch in planung. den ansatz von rastafari mit gnupg und tarballs finde ich sehr gelungen, und das werde ich auch so einrichten (4096-bit-schlüssel *g*), dann wird es eben doch ein (lese-) zugriff übers netzwerk (das noch einzurichten ist) per vpn-tunnel. bis dahin dachte ich an die lokalen images.

die user sollen auch nur lesend auf die images zugreifen können, nicht schreibend. es reicht, wenn root und das admin-konto das kann. meinst du, es brächte etwas, wenn ich die rechte per chmod auf r-xr-xr-x oder so ändere? ich bin leider gerade nicht an dem rechner, sodaß ich das nicht ausprobieren kann...

gruß,
asleif



/edit: ja, ich bin paranoid und das ist auch gut so...

 

[pepi]

Deswegen unterscheide ich zwischen "wichtigen" Daten im dem Sinne, daß deren Verlust ausgesprochen schmerzlich oder betriebsgefährlich wäre und "geheimen" bzw. "extrem schützenswerten" Daten, sodaß diese verschlüsselt abgelegt werden müssen.

Du könntest ein Disk Image lokal auf einem Server mounten und das so gemountete Volume per SFP/SMB/etc. resharen. Damit hättest Du die Zugriffsrechte entsprechend im Griff und auch die Verschlüsselung am Server.

Mittels GnuPG kann man doch auch DiskImages verschlüsseln, oder war das nur in PGP? Ich verwende GnuPG nur zum Verschlüsseln von eMails und weis das daher nicht auswendig.

Security betreffend ist es immer gut, wenn man alle Möglichkeiten ausschöpft. Für den Fall, daß eine Maßnahme umgangen werden konnte oder aus irgendeinem Grund nicht greift, sollte eine der anderen Maßnahmen greifen.

zB: POSIX und ACL Rechte. Wenn ich per POSIX alles sperre und dann per ACL entsprechend die freigaben mache, kann (theoretisch) auch nix passieren wenn irgendwie die ACLs abgeschaltet würden, da dann die POSIX Rechte greifen und den Zugriff verwehren.

Anderes Beispiel WLAN: Gutes Passwort, WPA2, MAC Kontrolle (oder auch Radius) gemeinsam bieten recht brauchbaren Schutz. Wirklich gut wird es aber erst wenn ich ein VPN über die WLAN Verbindung erzwinge. (Von wegen Paranoia )

Also nie auf eine Maßnahme verlassen, immer was in der Hinterhand haben. niemals glauben, daß man sicher ist, sondern regelmäßig auditing machen.
Gruß Pepi

 

[asleif]

moin, pepi!

sorry, ich hab keinen eigenen internet-zugang im moment, daher dauert es immer ein wenig.

jedenfalls... nein, gnupg bietet keine volume- oder whole-disk-verschlüsselung (leider, leider), unter windows würde ich da zu truecrypt raten. pgp ist closed source und es gab gerade bei dieser software schon einige diskussionen, was mögliche backdoors etc. angeht. im zweifelsfall würde ich es nicht nehmen.

du hast auf jeden fall recht: mehrere, kaskadierende sicherheitsmaßnahmen sind natürlich am besten. wlan-verschlüsselung mit vpn-tunneln, gnupg-verschlüsselte images oder .tar-files auf dem server ist optimal.



mit acl habe ich mich noch nicht so beschäftigt, ich bin neu in der shell... aber ich glaube, das böte die lösung, die ich ursprünglich im sinn hatte.

vielen dank!!

gruß,
asleif