跳到主要內容
加密Raspberry Pi上的根文件系統有許多原因，從保持WiFi憑據不可變到保留專有軟體和敏感數據不被克隆。對於許多Raspberry Pi配置，只有兩個分區存在：
  • / boot on / dev / mmcblk0p1
  • / on / dev / mmcblk0p2
因此，加密根分區是一種加密一切的方式是有意義的。
在Pi上存儲加密密鑰
越來越多的Raspberry Pi家族真棒，我們喜歡它！它是便宜的，對於嵌入式設備具有令人難以置信的計算能力，並具有非常強大的軟體開發生態系統。
然而，Raspberry Pi有一個致命的腳跟：SD卡是主要的軟體部署媒體，它可以非常容易地刪除並因此被操縱。自然的傾向是使用dm-crypt上的LUKS來加密文件系統，但是為了在許多部署單元中進行無人值守的使用，明顯的問題是：LUKS密鑰存儲在哪裡？當然這是文件系統。即使你嘗試通過各種程序性手段來模糊它，關鍵還是很容易受到攻擊。
Zymkey Raspberry Pi安全模塊
zymkey-2i-blue-arrow-white-bg-web.png1000x668 131 KB
添加Zymkey 32安全模塊有助於將LUKS密鑰鎖定在基於安全硬體的密鑰庫中。當Zymkey向特定主機Raspberry Pi進行身份驗證時，密鑰已激活（但未釋放）。主機的身份驗證是針對唯一和測量的ID，類似於具有一些附加材料的設備指紋。
zymbit安全模塊20170516.png838x842 37.2 KB
Zymkey LUKS鑰匙鎖
術語「鎖定」是指Zymkey提供一些明文數據塊被加密和簽名的通用服務。在這種情況下，當創建文件系統時，將LUKS密鑰發送到Zymkey進行鎖定（加密和簽名）。當系統引導並需要解密根文件系統時，鎖定的LUKS密鑰是「解鎖的」（簽名驗證和內容解密）並呈現給dm-crypt。如果密鑰已成功解鎖，引導過程繼續正常。以下是LUKS / dm-crypt文件系統的啟動順序，其中的密鑰由Zymkey保護：
  1. 內核初始化initramfs
  2. initramfs向Zymkey顯示鎖定的LUKS密鑰
  3. Zymkey驗證簽名並解密密鑰*
  4. 解密的密鑰被呈現給LUKS，然後根文件系統被解密
*要求Zymkey的運行狀態為「安全」或「dev_secure」
在外部磁碟或SD卡上加密RFS？
加密的根文件系統可以遷移到外部USB快閃記憶體，硬碟或SSD。現有的根文件系統可以轉換為加密卷，但轉換更複雜。將現有根文件系統遷移到外部設備如下所示：
  1. 創建LUKS密鑰
  2. 鎖定LUKS鍵
  3. 在外部USB設備上創建LUKS卷
  4. 在LUKS卷上創建一個ext4分區
  5. 將現有根文件系統移動到外部設備上的LUKS卷
  6. 引導到新的根文件系統並擦除以前的根卷
轉換SD卡上的現有根文件系統仍然需要一個至少比現有根文件系統大一點的外部設備（如USB快閃記憶體驅動器），以便存儲舊的文件系統。我們臨時引導到外部設備上的根文件系統，以提供更容易的方式來轉換和複製原始內容。這個過程看起來像這樣：
  1. 製作原始根文件系統的tarball並將其存儲在外部設備上
  2. 將原始根文件系統文件複製到外部設備，形成臨時文件系統
  3. 啟動到臨時文件系統。一旦啟動，臨時文件系統將：
    a。創建LUKS密鑰
    b。用zymkey
    c 鎖定LUKS鍵。在原始根分區上創建一個LUKS卷
    d。在原始根分區
    e 上的LUKS卷上創建一個ext4分區。將根文件系統的tarball解壓到轉換後的分區中
利弊
遷移到外部存儲設備
優點：
1.外部設備可以容納更多的數據。
2.遷移比SD卡轉換方法更簡單快捷。
一些外部設備的數據訪問速度比SD卡要快得多。
一些外部設備（例如HDD）可以容納比SD卡更多的寫入周期。
缺點：
1.對於HDD和SSD以及非緊湊型USB快閃記憶體設備，還有額外的電源要求。
2.除了緊湊的USB快閃記憶體設備，物理空間要求也會增加。這對於Raspberry Pi Zero家族來說可能尤為重要。
轉換為現有SD卡
優點：
1.物理空間要求較少。
2.需要更少的功率。
缺點：
1.轉換比遷移到外部驅動器更複雜和耗時。
2.數據空間限制。
3.寫周期約束。
訪問速度限制。
建立您的系統
先決條件
確保您的Zymkey軟體套件已經運行和運行，並確保您的Zymkey被綁定。說明這裡10。
外部存儲設備遷移
要將根文件系統遷移到外部USB設備，可以運行以下腳本：
curl -G https://s3.amazonaws.com/zk-sw-repo/mk_encr_ext_rfs.sh | sudo bash
這個腳本是參數化的，所以如果你有特殊要求，你可以調用以下方式：
curl -G https://s3.amazonaws.com/zk-sw-repo/mk_encr_ext_rfs.sh | sudo bash -s -- -x -p -m
在沒有參數的上述調用中，默認值為：
1.位於/ dev / mmcblk0p2上的原始根文件系統
2.位於/ dev / sda1上的
新根文件系統3.新的根文件系統占用整個新設備
請注意，新的根文件系統的大小應至少比原始根分區大一點
在Pi Model 3上運行此腳本，其大小為16GB（SanDisk Ultra Class 10）的根分區，其中包含基本的Jessie安裝以及Zymkey軟體套件（〜1GB）到32GB SanDisk Cruzer Fit 1大約需要30-40分鐘。Zymkey的LED快速閃爍，直到過程完成。
SD卡轉換
要將根文件系統轉換為LUKS / dm-crypt，請運行以下腳本：
curl -G https://https://s3.amazonaws.com/zk-sw-repo/mk_encr_sd_rfs.sh | sudo bash
此腳本是參數化的，因此如果您有特殊要求（例如，根文件系統生活在/ dev / mmcblk0p4上），則可以按以下方式調用該腳本：
curl -G https://s3.amazonaws.com/zk-sw-repo/mk_encr_sd_rfs.sh | sudo bash -s -- -x -m
在沒有參數的上述調用中，默認值為：
1.位於/ dev / mmcblk0p2上的原始根文件系統
2.位於/ dev / sda上的原始根tarball的臨時根文件系統/存儲
3.臨時根文件系統占用全新的設備
此外，臨時根文件系統應至少是原始根文件系統大小的2倍。
需要注意的是，如果外部存儲設備具有帶原始根文件系統分區（例如/ dev / mmcblk0p2）的ext4格式化分區，則該腳本將使用外部存儲設備上已經存在的分區來轉換SD卡。這減少了轉換大量Pi根文件系統的時間，並允許腳本在批量生產部署中使用。
購買預先配置的系統
我們將在4月17日提供預配置的系統，整合以下內容：
  • 樹莓Pi（3型或零W）
  • Zymkey，綁定和鎖定
  • 外部設備（USB快閃記憶體，HDD或SSD）或具有加密根文件系統的SD卡。


原文網址：https://kknews.cc/zh-tw/news/gqqjx6m.html

原文網址：https://kknews.cc/zh-tw/news/gqqjx6m.html

留言

張貼留言

這個網誌中的熱門文章

2017通訊大賽「聯發科技物聯網開發競賽」決賽團隊29強出爐！作品都在11月24日頒獎典禮進行展示

2017通訊大賽「聯發科技物聯網開發競賽」決賽團隊29強出爐！作品都在11月24日頒獎典禮進行展示 LIS   發表於 2017年11月16日 10:31   收藏此文 2017通訊大賽「聯發科技物聯網開發競賽」決賽於11月4日在台北文創大樓舉行，共有29個隊伍進入決賽，角逐最後的大獎，並於11月24日進行頒獎，現場會有全部進入決賽團隊的展示攤位，總計約為100個，各種創意作品琳琅滿目，非常值得一看，這次錯過就要等一年。 「聯發科技物聯網開發競賽」決賽持續一整天，每個團隊都有15分鐘面對評審團做簡報與展示，並接受評審們的詢問。在所有團隊完成簡報與展示後，主辦單位便統計所有評審的分數，並由評審們進行審慎的討論，決定冠亞季軍及其他各獎項得主，結果將於11月24日的「2017通訊大賽頒獎典禮暨成果展」現場公佈並頒獎。 在「2017通訊大賽頒獎典禮暨成果展」現場，所有入圍決賽的團隊會設置攤位，總計約為100個，展示他們辛苦研發並實作的作品，無論是想觀摩別人的成品、了解物聯網應用有那些新的創意、尋找投資標的、尋找人才、尋求合作機會或是單純有興趣，都很適合花點時間到現場看看。 頒獎典禮暨成果展資訊如下： 日期：2017年11月24日(星期五) 地點：中油大樓國光廳(台北市信義區松仁路3號) 我要報名參加「2017通訊大賽頒獎典禮暨成果展」>>> 在參加「2017通訊大賽頒獎典禮暨成果展」之前，可以先在本文觀看各團隊的作品介紹。 決賽29強團隊如下： 長者安全救星 可隨意描繪或書寫之電子筆記系統 微觀天下 體適能訓練管理裝置 肌少症之行走速率檢測系統 Sugar Robot 賽亞人的飛機維修輔助器 iTemp你的溫度個人化管家 語音行動冰箱 MR模擬飛行 智慧防盜自行車 跨平台X-Y視覺馬達控制 Ironmet 菸消雲散 無人小艇 (Mini-USV) 救OK-緊急救援小幫手 穿戴式長照輔助系統 應用於教育之模組機器人教具 這味兒很台味 Aquarium Hub 發展遲緩兒童之擴增實境學習系統 蚊房四寶 車輛相控陣列聲納環境偵測系統 戶外團隊運動管理裝置 懷舊治療數位桌曆 SeeM智能眼罩 觸...
張貼留言
閱讀完整內容
opencv4nodejs Asynchronous OpenCV 3.x Binding for node.js   122     2715     414   0   0 Author Contributors Repository https://github.com/justadudewhohacks/opencv4nodejs Wiki Page https://github.com/justadudewhohacks/opencv4nodejs/wiki Last Commit Mar. 8, 2019 Created Aug. 20, 2017 opencv4nodejs           By its nature, JavaScript lacks the performance to implement Computer Vision tasks efficiently. Therefore this package brings the performance of the native OpenCV library to your Node.js application. This project targets OpenCV 3 and provides an asynchronous as well as an synchronous API. The ultimate goal of this project is to provide a comprehensive collection of Node.js bindings to the API of OpenCV and the OpenCV-contrib modules. An overview of available bindings can be found in the  API Documentation . Furthermore, contribution is highly appreciated....
張貼留言
閱讀完整內容

完形心理學！？讓我們了解“介面設計師”為什麼這樣設計

完形心理學！？讓我們了解“介面設計師”為什麼這樣設計 — 說服客戶與老闆、跟工程師溝通、強化設計概念的有感心理學 — 情況 1 : 為何要留那麼多空白? 害我還要滾動滑鼠(掀桌) 情況 2 : 為什麼不能直接用一頁展現? 把客戶的需求塞滿不就完工啦! (無言) 情況 3: 這種設計好像不錯，但是為什麼要這樣做? (直覺大神告訴我這樣設計，但我說不出來為什麼..) 雖然世界上有許多 GUI 已經走得又長又遠又厲害，但別以為這種古代人對話不會出現，一直以來我們只是習慣這些 GUI 被如此呈現，但為何要這樣設計我們卻不一定知道。 由於 完形心理學 歸納出人類大腦認知之普遍性的規則，因此無論是不是 UI/UX 設計師都很適合閱讀本篇文章。但還是想特別強調，若任職於傳統科技公司，需要對上說服老闆，需要平行說服（資深）工程師，那請把它收進最愛；而習慣套用設計好的 UI 套件，但不知道為何這樣設計的 IT 工程師，也可以透過本文來強化自己的產品說服力。 那就開始吧~（擊掌） 完形心理學，又稱作格式塔（Gestalt）心理學，於二十世紀初由德國心理學家提出 — 用以說明人類大腦如何解釋肉眼所觀察到的事物，並轉化為我們所認知的物件。它可說是現代認知心理學的基礎，其貫徹的概念就是「整體大於個體的總合 “The whole is other than the sum of the parts.” —  Kurt Koffka」。 若深究完整的理論將會使本文變得非常的艱澀，因此筆者直接抽取個人認為與 UI 設計較為相關的 7 個原則（如下），並搭配實際案例做說明。有興趣了解全部理論的話可以另外 Google。 1. 相似性 (Similarity)  — 我們的大腦會把相似的事物看成一體 如果數個元素具有類似的尺寸、體積、顏色，使用者會自動為它們建立起關聯。這是因為我們的眼睛和大腦較容易將相似的事物組織在一起。如下圖所示，當一連串方塊和一連串的圓形並排時，我們會看成（a）一列方塊和兩列圓形（b）一排圓形和兩排三角形。 對應用到介面設計上，FB 每則文章下方的按鈕圖標（按讚 Like / 留言Comment / 分享 Share）雖然功能各不相同，但由於它們在視覺上顏色、大小、排列上的相似性，用戶會將它們視認為...
張貼留言
閱讀完整內容