Šifrování ve Fedoře je zamýšleno jako bezpečnostní řešení pro uživatele
Před několika dny bylo oznámeno, že Owen Taylor, tvůrce prostředí GNOME Shell a knihovny Pango a člen pracovní skupiny pro vývoj Fedora Workstation, představil plán na šifrování systémových oddílů a domovských adresářů uživatelů ve výchozím nastavení ve Fedora Workstation.
Mezi výhody přechodu na šifrování ve výchozím nastavení patří ochrana dat v případě krádeže notebooku, ochrana před útoky na nepoužívaná zařízení a zachování důvěrnosti a integrity bez zbytečné manipulace.
Pracovní skupina Workstations má již nějakou dobu otevřené požadavky na zlepšení stavu šifrování ve Fedoře, a zejména na to, aby se dostala do bodu, kdy můžete nechat instalátor šifrovat systémy ve výchozím nastavení. Abych se posunul vpřed, pracoval jsem na dokumentu požadavků a návrhu plánu.
Ve velmi stručném shrnutí je plán: Použijte připravovanou podporu btrfs fscrypt k šifrování systémových a domovských adresářů. Systém bude ve výchozím nastavení šifrován šifrovacím klíčem uloženým v TPM a propojeným s podpisy používanými k podepsání bootloaderu/kernelu/initrd, což poskytuje ochranu proti neoprávněné manipulaci, zatímco domovské adresáře budou šifrovány pomocí hesla pro přihlášení uživatele.
Podle návrhu plánu se pro šifrování plánuje použít Btrfs fscrypt. U systémových oddílů budou šifrovací klíče uloženy v modulu TPM a použity ve spojení s digitálními podpisy k ověření integrity bootloaderu, jádra a initrd (což znamená, že během spouštění systému nebude uživatel muset zadávat heslo k dešifrování systémových oddílů).
Při šifrování domovských adresářů je naplánováno generování klíčů na základě přihlašovacího jména a hesla uživatele (šifrovaný domovský adresář bude připojen, když se uživatel přihlásí do systému).
Načasování implementace iniciativy závisí na přechodu z distribuční sady na Unified Kernel Image ( UKI ), který kombinuje ovladač pro načítání jádra z UEFI (UEFI boot stub), obraz jádra Linuxu a systémové prostředí initrd načtené do paměti do jednoho souboru.
Bez podpory UKI není možné zaručit neměnnost obsahu prostředí initrd, ve kterém se určují klíče pro dešifrování FS (útočník může například změnit initrd a simulovat požadavek na heslo, aby se tomu zabránilo, ověřeno před montáží FS je nutné zatížit celý řetěz).
Ve své současné podobě má instalační program Fedory možnost šifrovat oddíly na úrovni bloku pomocí dm-crypt pomocí samostatné přístupové fráze, která není vázána na uživatelský účet.
Tento požadavek představuje velký posun od Secure Boot jako něčeho, čemu věnujeme velké úsilí, ale ve skutečnosti toho moc nedělá, k něčemu, na čem se silně spoléháme, abychom uživateli poskytli další vrstvu zabezpečení.
Zajímalo by mě mimo jiné: * Jsou nějaké požadavky, které dokument nezachycuje? * Existují další hrozby, které bychom se měli pokusit řešit? …
Tato oprava upozorňuje na problémy, jako je nevhodnost samostatného šifrování na víceuživatelských systémech, nedostatečná podpora internacionalizace a nástrojů pro osoby se zdravotním postižením, možnost útoků prostřednictvím substituce bootloaderu (bootloader nainstalovaný útočníkem se může vydávat za původní bootloader a požadovat heslo pro dešifrování), nutnost podporovat framebuffer v initrd pro vyžádání hesla.
A konečně, pokud se chcete o tomto tématu dozvědět více , podrobnosti naleznete na následujícím odkazu.