Насколько безопасен зашифрованный раздел?


16

При установке Ubuntu 16.04 я выбрал шифрование файловой системы, и теперь мне предлагается ввести пароль перед загрузкой Ubuntu.

Мне интересно, насколько безопасно это делает мой контент? В частности:

  • Все ли на диске зашифровано (включая мои данные)?

  • Насколько сильно это шифрование? (Я знаю, это вопрос времени и ресурсов и того, какой пароль я выбрал, но я имею в виду в практическом смысле ... любой мог бы пройтись через мою парадную дверь, но средний вор не имеет ресурсов или склонности разгонять дом). Например, если я отправляю свой ноутбук на ремонт, или если мой ноутбук утерян или украден, нужно ли мне беспокоиться о ком-то, у кого нет действительно веских причин пытаться расшифровать его, чтобы получить легкий доступ? (Я знаю, что подобный вопрос был задан здесь , но это было довольно давно, поэтому, возможно, все изменилось?)

  • Кроме того, предотвращает ли шифрование мне (а) установку SSD с зашифрованной файловой системой на другое устройство или (б) полное резервное копирование диска (например, с использованием действующей версии Ubuntu) и в какой-то момент восстановление этой резервной копии?

  • Кроме того, если вся файловая система зашифрована, есть ли смысл также шифровать мою домашнюю папку в Ubuntu?


Просто обновление моего исходного поста, так как опыт дал мне ответы на последние два пункта. Нет, шифрование не помешало мне извлечь весь жесткий диск из моей системы и затем расшифровать его на другом компьютере с Linux, хотя это был утомительный процесс. И да, есть значение также шифрования домашней папки один, если другие пользователи имеют счета в этой системе, так как они будут иметь доступ к дому по умолчанию (см, например, techrepublic.com/article/... )
Lithic

Ответы:


18
  • Если вы решили зашифровать новую систему с помощью LUKS, вся система зашифрована. Это включает в себя ваши системные файлы, домашнюю папку (и, следовательно, ваши данные), а также раздел подкачки. Это означает, что вы можете использовать suspend-to-disk (он же hibernate) и при этом иметь все преимущества полного шифрования диска. Как указано в комментариях, Ubuntu по умолчанию использует suspend-to-RAM. Чтобы Ubuntu вместо этого использовал suspend-to-disk, вы должны следовать инструкциям на help.ubuntu.com, которые, очевидно, работают только для ограниченного числа машин.
  • 256-битное шифрование AES, вероятно, достаточно сильное в обозримом будущем. Как обсуждалось здесь, на бирже стеков криптографии , перебор AES-256 обойдется примерно в 100 тридиллионов раз мирового ВВП - это почти невозможно из того, что вы можете себе представить. Даже грубое 128-битное шифрование AES отнимает примерно в тысячу раз больше мирового ВВП.
  • Ключ LUKS не блокируется ничем, кроме заголовка LUKS (который является одним из жестких дисков / жестких дисков) и вашей парольной фразы (которая находится в вашей голове). Это позволяет вам (а) использовать его на любом другом компьютере, если это также возможно с незашифрованным системным диском, то есть для обычных систем должно работать безупречно. Что касается (b), да, вы можете создавать целые резервные копии дисков dd, но имейте в виду, что эти образы не будут сжиматься до какой-либо значительной суммы. Это связано с тем, что зашифрованные данные неотличимы от случайных данных без ключевой фразы.
  • В этом есть только академическая выгода, т. Е. После того, как вы потратите первые триллионы мировых ВВП для взлома полного шифрования диска, злоумышленнику понадобятся еще три десятка миллионов мировых ВВП, чтобы также попасть в вашу зашифрованную домашнюю папку (предполагая разные парольные фразы / ключи). Таким образом, это фактически усиливает ваше шифрование с 256 бит до 257 бит длины ключа. Что касается меня, я даже использую автоматический вход в систему на машинах с полным шифрованием диска, поскольку считаю шифрование диска достаточно безопасным, чтобы не требовать повторного ввода пароля после загрузки.

1
Стоит отметить, что по умолчанию Ubuntu использует suspend-to-ram, а не suspend-to-disk - первый полностью разрушает объект полного шифрования диска. Приостановка на диск, т. Е. Спящий
Эндрю Маршалл,

1
Это хороший ответ, AFAIK, но у меня есть одно маленькое исправление: для загрузки чего-то на диске нужно оставить незашифрованным. В случае установки Ubuntu это обычно загрузчик (по умолчанию GRUB) и незашифрованный /bootраздел, содержащий ядро ​​(я), соответствующие файлы (ы) initrd, файлы конфигурации и поддержки GRUB и несколько других шансов и результатов. Эти файлы не являются конфиденциальными (все они являются частью Ubuntu, за исключением файлов конфигурации), поэтому они не представляют серьезной проблемы; но они бы идентифицировали компьютер под управлением Ubuntu.
Род Смит

@RodSmith Верно, но есть ли разница (по языку, а не по техническим параметрам) между диском и громкостью? Я постоянно использую их взаимозаменяемо, хотя знаю лучше.
19

6
  • Не все на вашем диске зашифровано, но ваши данные.

    Часть, которая не зашифрована, является вашей /bootобластью, так как она используется во время запуска. Некоторые интересные последствия, которые вытекают из этого, можно найти здесь .

  • Вы можете узнать силу шифра вашей конкретной установки, запустив

    ls /dev/mapper/ |grep crypt
    

    Выход будет YOUR_CRYPT

    cryptsetup status YOUR_CRYPT
    

    Пример:

    ls /dev/mapper/ |grep crypt
    nvme0n1p4_crypt
    sudo cryptsetup status nvme0n1p4_crypt
    
    /dev/mapper/nvme0n1p4_crypt is active and is in use.   
    type:    LUKS1    
    cipher:  aes-xts-plain64   
    keysize: 512 bits   
    device:  /dev/nvme0n1p4     
    offset:  4096 sectors   
    size:    499410944 sectors   
    mode:   read/write   
    flags:   discards
    

    Степень шифрования будет зависеть от того, когда вы установили Ubuntu и какую версию вы используете, но даже более старая установка будет довольно сильной и, вероятно, противостоит случайному взлому. Хорошая дискуссия о блочном шифровании Ubuntu: Насколько безопасным является полнодисковое шифрование Ubuntu по умолчанию?

  • Загрузка зашифрованного диска на другом оборудовании не будет проблемой. Если вы делаете побитовую копию своего зашифрованного диска, вы все равно можете загрузить его как обычно и войти в него, используя свой пароль. Операция копирования должна выполняться в автономном режиме (с отключенным диском после выключения). Онлайн-захват данных вряд ли сработает, но я не уверен на 100%.

  • Шифрование «Домашняя папка» основано на идее «Домашняя папка в файле». Если система не была зашифрована и файловая система была бы смонтирована, зашифрованный домашний каталог был бы одним большим файлом, зашифрованным с помощью cryptsetup. Таким образом, шифрование вашей домашней папки в зашифрованной системе увеличит сложность получения ваших личных файлов. Там может быть компромисс производительности, однако. Подробнее о зашифрованном доме.


2

Короткие простые ответы:

  1. Все ли на диске зашифровано (включая мои данные)? :

    • Да все зашифровано
  2. Насколько сильно это шифрование? :

    • Выход сильной , как сильна , как самое слабое звено вас .
  3. Кроме того, предотвращает ли шифрование мне (а) установку SSD с зашифрованной файловой системой на другое устройство или (б) полное резервное копирование диска (например, с использованием действующей версии Ubuntu) и в какой-то момент восстановление этой резервной копии? :

    • Вы должны попробовать это, чтобы убедить себя. Забудьте пароль, и все ваши данные исчезнут. Если вы знаете того, кто смог взломать его после такой ситуации, пожалуйста, дайте мне знать.
  4. Кроме того, если вся файловая система зашифрована, есть ли смысл также шифровать мою домашнюю папку в Ubuntu? :

    • Трата времени, нет необходимости. Но если вам нужно ОК!

Дополнительная информация:

По той ссылке, которой вы поделились, я цитирую ссылку, по которой я следовал:

Мораль этой истории? Если у вас есть смонтированный раздел LUKS на вашем телефоне, кто-то может легко получить главный ключ шифрования. cryptsetup действительно удаляет ключ из оперативной памяти во время операции luksClose, поэтому я рекомендую монтировать диск LUKS только тогда, когда вы его используете, а затем размонтировать и luksClose его, когда вы закончите . Иначе это станет огромной дырой в безопасности. Как будто ваш диск изначально не был зашифрован.

Вероятно, здесь уместно упомянуть, что LUKS на Android - не единственная система, подверженная такого рода атакам. Практически все системы шифрования диска хранят ключ шифрования в оперативной памяти. Группа CITP в Принстоне уже давно определила этот факт. Суть в том, что такую ​​атаку очень легко осуществить!

Обратите внимание на жирный раздел, чтобы узнать больше . Как я уже сказал, если вы слабы или небрежны в том, как вы справляетесь со своими вещами, тогда ожидайте неприятностей. Он давал советы всегда отключать или закрывать, когда вы им не пользуетесь.


Не уверен, когда «после использования» будет для шифрования всего диска или домашней папки. Является ли точка «когда она открыта, она открыта»? Если так, то конечно. Я думаю, что мы пытаемся защитить от кражи, которая для настольного компьютера обычно связана с отключением питания. Не уверен, что случится с ноутбуком в этом случае ...
Грег Белл
Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.