Не работает в Linux chattr.
Много статей в Интернете пестрят советами про chattr +s, который добавляет чуток безопасности, позволяя немного забыть про файловые шредеры. Видно авторы статей не проверяют работу бита +s, хотя в man chattr написано, что работа бита +s не гарантируется. Да и не работает бит +s до сих пор, хотя ядро линукс уже стало 3.5, а обещали в версии ядра 3.3 что будет работать.
Когда-нибудь в далёком будущем, возможно, secure bit заработает и тогда можно немного усилить безопасность и присвоить атрибут +s для каталога с важной информацией так:
sudo chattr +sR ~/Документы
После данной процедуры, удаление любого файла в данном каталоге будет сопровождаться автоматическим заполнением нулями старого содержимого файла. Настоящие шредеры файлов делают несколько итераций при удалении файлов, но согласитесь:
- не каждый использует
shred -uz имя_файладля безопасного удаления файла, который сделает несколько итераций, заполняя старое содержимое случайными данными, и на прощание скроет свою работу, заполнив всё нулями. - в скриптах обычно используется rm, который просто удаляет файлы. Но можно сделать себе алиас на shred и удалять более безопасно.
Настоящий шредер лучше всего, но его нужно не забывать вызывать для удаления файла, а chattr +s работает "автоматом".
Нужно проверить на тестовом файле, что всё работает как надо и вы не сидите в неведении. Создаём тестовый файл.
for i in {10001..10200}; do echo "$i test line" >> testfile.txt; done
Получаем информацию о файле, точнее о стартовом LBA адресе (begin_LBA). sync && sudo hdparm --fibmap testfile.txt
Читаем данные со стартового LBA адреса файла, замените [begin_LBA] на свой из вывода предыдущей команды:
sync && sudo hdparm --read-sector [begin_LBA] /dev/sda
Заметьте что нужно использовать обобщённое имя, в моём случае /dev/sda, а не точное имя раздела, например /dev/sda2. Теперь удалите файл.
rm testfile.txt
Сбросьте файловые буфера и синхронизируйте свою файловую систему.
sync && echo 3 | sudo tee /proc/sys/vm/drop_caches
Повторяем чтение со стартового адреса:
sync && sudo hdparm --read-sector [begin_LBA] /dev/sda
Вы должны видеть нули! Если вы видите, что-то отличное от нулей, то значит не работает бит +s - secure delete. Нет ничего хуже, чем видимость безопасности!
Есть много параметров у chattr, один из них +i (неизменяемый = immutable), который не позволит удалить, переместить или переименовать файл даже root`у. Это бывает иногда полезно.
