iAdjunct's questions

Estou tentando implantar serviços de usuário podman em um ambiente de rede corporativa onde todos os usuários do Linux têm seus diretórios pessoais montados em NFS a partir de um servidor de arquivos comum. Não tenho certeza de como ter serviços de nível de usuário específicos do computador quando o diretório inicial do meu usuário em todas as máquinas é montado por nfs no mesmo compartilhamento.

Para que o podman funcione de forma limpa com diretórios domésticos de rede, descobri que precisarei definir graphroota configuração para apontar para algum lugar em cada máquina local, caso contrário, os contêineres em cada máquina tentarão usar o mesmo armazenamento e ficarão confusos. Ok, eu posso fazer isso (embora seja necessário algum trabalho com a TI para configurar isso).

Ao transformar pods/contêineres em serviços de nível de usuário (usando podman generate systemd), eu normalmente colocaria o .servicearquivo, ~/.config/systemd/usermas isso também está no compartilhamento de rede e, portanto, afetaria meu usuário em todos os locais.

Existe uma maneira padrão de contornar esse problema? Como posso ter serviços de nível de usuário por máquina (ou seja, posso querer que máquinas diferentes tenham serviços diferentes, especialmente se esses serviços forem contêineres referenciados por seu ID)?

Extensão de pergunta bônus: também pretendo definir loginctl enable-linger. Como os diretórios pessoais do NFS são montados com preguiça, isso realmente resultará na inicialização dos serviços na inicialização?

Eu tenho tentado analisar alguns problemas de WiFi em minha casa usando airodump-nge notei que há muito tráfego em um BSSID começando com 00:25:00, que a pesquisa OUI do Wireshark diz que é atribuído à Apple ... mas o BSSID não corresponde a nenhuma rede que eu têm e os SSIDs não correspondem a nenhum dos dispositivos.

Como sei que é um AppleTV? Quando aproximo o scanner de um deles, seu sinal vai da faixa de -60 dBm para a faixa de -30 dBm. Repito para as outras duas Apple TVs e seus sinais também aumentam.

Os SSIDs relatados não correspondem a nenhum dispositivo que tenho em minha rede e o BSSID ao qual eles estão "conectados" não é nenhum dispositivo que tenho (na verdade, atualmente não tenho nenhum AP da Apple).

Esses dispositivos parecem muito tagarelas. Enquanto assistia a um vídeo do YouTube em um AppleTV, airodump-ngrelatou alguns milhares de quadros do SSID real do AppleTV e 10k quadros entre os outros três SSIDs.

Por que os AppleTVs estão criando sua própria rede e por que eles são tão tagarelas?

A empresa em que trabalho possui computadores com chips TPM e Windows 10 Enterprise e usa o BitLocker para criptografia de disco completo. Eles têm o BitLocker configurado para exigir uma senha na inicialização (o que, acredito, significa que o TPM não está envolvido na descriptografia e o disco deve ser criptografado apenas pela própria senha; isso está errado?).

Um colega de trabalho deixou seu computador fora da rede por um tempo e removeram o acesso de seu computador. Para obter acesso de volta, a TI teve que fazer "coisas" nele.

Nesse processo, eles tiveram que

• Faça o BIOS aceitar a unidade de inicialização USB

• Faça algo, talvez incluindo atualizações de coisas (eles não foram capazes de explicar o que a coisa que executaram fez, apenas que "fez coisas")

• Inicialize o computador

• A senha do BitLocker percebida não estava funcionando

• Voltei ao BIOS e reiniciei o TPM (porque "às vezes isso faz com que ele aceite a chave de recuperação")

Mas a senha do BitLocker ainda não funcionou... e o pessoal de TI extraordinariamente competente (os mesmos que reinicializaram o TPM) também perdeu a chave de recuperação de seu banco de dados.

O que realmente está fazendo com que ele rejeite a senha correta?

O TPM é relevante para isso? (a proteção por senha exige que a senha esteja correta E que o TPM tenha o estado PCR correto ou é independente do TPM?)

Como ele pode desbloquear a unidade com a senha? (se a pergunta acima é que ainda requer o TPM, provavelmente essa é uma pergunta inútil porque é impossível)

Pelo que li, quando você inicializa um chip TPM, ele cria uma chave derivada aleatória (derivada de sua chave raiz implícita). Outros usuários definirão PCRs (ou seja, UEFI, bootloader etc.) e, eventualmente, o BitLocker selará esses valores para gerar sua chave.

Preciso enviar meu computador para manutenção. Eu gostaria de salvar a chave inicializada (que será criptografada pela chave deste chip, o que é bom), reinicializar o TPM (para que os serviços de garantia não possam acessar os dados) e, quando eu recuperá-lo, carregar a chave original de volta (para que o BitLocker e outros serviços funcionem novamente).

Como eu faço isso?

(Observação: se eles substituirem o MOBO e eu receber um computador de volta com um TPM diferente, obviamente não poderei restaurá-lo. Isso é irritante, mas tudo bem - posso reconstruir todas as minhas chaves e tenho as chaves de recuperação do BitLocker. Se existe uma maneira de evitar isso no caso provável de eles não substituirem o MOBO, eu gostaria de fazer isso.)