Оуън Тейлър (Owen Taylor), създателят на GNOME Shell и библиотеката Pango, член на работната група за развитие на Fedora за работни станции, представи за обсъждане плана за криптиране по подразбиране на системните дялове и домашните директории на потребителите в Fedora Workstation. Предимствата на преминаването към криптиране по подразбиране включват защита на данните в случай на кражба на лаптоп, защита от атаки на оставени без надзор устройства и поддържане на конфиденциалността и целостта от самото начало без необходимост от допълнителни манипулации.
Според подготвения чернови план за криптиране, се планира да се използва Btrfs fscrypt. За системните дялове, ключовете за криптиране ще се съхраняват в TPM модула и ще се използват в свързване с цифрови подписи, които се прилагат за проверка на целостта на зареждача, ядрото и initrd (т.е. по време на зареждане на системата, потребителят няма да трябва да въвежда парола за разшифроване на системните дялове). При криптиране на домашните директории, ключовете ще се генерират на базата на името и паролата на потребителя (достъпът до криптираната домашна директория ще става по време на влизане на потребителя в системата).
Сроковете за реализиране на инициативата зависят от преминаването на дистрибуцията на унифицирания образ на ядрото UKI (Unified Kernel Image), който обединява в един файл обработчик за зареждане на ядрото от UEFI (UEFI boot stub), образ на ядрото на Linux и зареждаемото в паметта системно обкръжение initrd. Без поддръжка на UKI не може да се гарантира неизменността на съдържанието на обкръжението initrd, в което се определят ключовете за разшифроване на файловата система (например, атакуващият може да подмени initrd и да симулира искане за парола; за да се избегне това, е необходима верифицирана загрузка на веригата до монтиране на файловата система).
В текущия вариант на инсталационния софтуер на Fedora има опция за шифроване на части на блоково ниво с помощта на dm-crypt, използвайки отделна парола, която не е свързана с потребителска сметка. В това решение се отбелязват такива проблеми, като неподходящост за отделно шифроване в много потребителски системи, липса на поддръжка на интернационализация и средства за хора с увреждания, възможността за извършване на атаки чрез подмяна на буутлоудера (инсталираният от нападателя буутлоудер може да се представи за оригиналния и да поиска паролата за декриптиране), необходимост от поддръжка на framebuffer в initrd за визуализиране на заявката за парола.
Източник: opennet.ru
