打算全面学习并强化下个人的数据安全性

ryan4yin

我以前一直都没咋注意数据安全，SSH 密钥从没加过 passphrase，系统也从没开过全盘加密，而相对的我积累的个人数据却变得越来越重要。
比如说如果我的 GitHub 私钥泄漏，比较有价值的仓库被篡改，以前我 GitHub 上没啥数据无所谓，但现在这个风险我现在无法容忍了。

另外我的 Homelab 去年坏掉了两块国产固态硬盘（阿斯加特跟光威弈 Pro 各一根），都是系统一启动就挂，没法磁盘格式化，然后直接被京东换货了，这很可能导致我的数据泄露...

为了避免 Github 私钥泄漏、区块链钱包助记词泄漏、个人隐私泄漏等可能，现在打算仔细研究下 ssh、gpg、2FA、Linux/Windows 全盘加密、age/sops 这些相关的安全手段，全面强化下自己的数据安全性。

随着这个计划的推进，我打算写一系列文章来记录我的这套全新的个人数据安全方案，这里先占个坑，顺便大家有任何想法跟资料也可以在这里讨论~

0x0001

ryan4yin 另外我的 Homelab 去年坏掉了两块国产固态硬盘（阿斯加特跟光威弈 Pro 各一根），都是系统一启动就挂，没法磁盘格式化，然后直接被京东换货了，这很可能导致我的数据泄露...

硬盘挂了被换货导致的数据泄露我以前真的没有想到过，目前依赖苹果的全盘加密 😢

HasikSylphon

ryan4yin Linux/Windows 全盘加密

软件加密不如硬件加密，有钱直接上企业级硬盘，自带加密功能。

ryan4yin 在远程主机上进行 git 操作、ssh 到另一台主机等

这里有个不重要的小问题，用于登录 ssh 的密钥和 git ssh 的密钥安全等级是一致的吗？同理跳板机和目标主机的 ssh 安全等级是一致的吗？

此外， ssh agent forwarding 也有观点认为是不安全的(vulnerability)。

yuex

之前有另一个帖子讨论这个。如果你考虑云盘的话，感觉你的需求跟对象存储差不多，考虑下 OSS 的方案，比如 cloudflare r2 ，价格公道经济实惠（狗头

ryan4yin

补充下目前搜集到的一些资料：

ssh转发代理：ssh-agent用法详解: 避免重复输入 passphrase
SSH agent forwarding 的應用: 在远程主机上使用本地的 ssh-agent 进行认证，比如在远程主机上进行 git 操作、ssh 到另一台主机等，避免将私钥 copy 到远程主机上。
How to Set Up SSH 2fa (Two-Factor Authentication): 在 openssh server 上配置强制进行 2FA 双因素认证，每次登录都需要输入 Google Authenticator APP 提供的一次性动态密码。

还有就是一定要注意如何避免记在本子上的钱包助记词/backup_code 被社工，一定要藏好了。另外如果要家里来亲戚啥的，更要考虑清楚这个...血泪教训...
可以考虑把这些数据拆分成多个部分来记录，或者最好是用 age/sops 加密后多处备份，密钥还可以考虑用密钥分割法来拆分保存，这样即使泄漏部分数据，也还能确保安全性。

ryan4yin

0x0001 之前我特意查了下，据说类似手机维修、固态返厂、二手手机回收，这类场景下流出的不雅视频不在少数...
这方面苹果确实做得比较好，不过新的安卓手机好像现在也都全盘加密了，直接拆存储芯片读不了数据。

yuex

数据隐私是一个很重要的问题，我也比较感兴趣数据存储大家都是什么解决方案呢？我实验室的学长主推个人NAS，但是我觉得这个并不适合我，因为感觉电费的话一年和云盘存储没有太大的区别，但是目前没有找到合适云盘来做数据管理

yuex

HasikSylphon 感谢你我去了解一下

HasikSylphon

粗略看了下 sops ，网上搜到个用 git-filter 自动加解密 git 库中硬编码的密钥的实践，感觉可以试一试。

Using SOPS with Age and Git like a Pro

不过它好像没说怎么用在 CI/CD 上。。我感觉不一定要用 age ，反正上 KMS 也行。