Owen Taylor, tvůrce GNOME Shell a knihovny Pango, který je členem pracovní skupiny pro rozvoj Fedora pro pracovní stanice, předložil k diskusi plán na šifrování systémových oddílů a domácích adresářů uživatelů ve Fedora Workstation jako výchozí. Mezi výhody přechodu na výchozí šifrování patří ochrana dat v případě krádeže notebooku, ochrana před útoky na opuštěná zařízení, udržení důvěrnosti a integrity již z krabice bez nutnosti dalších manipulací.
Podle připraveného návrhu plánu se k šifrování plánuje použít Btrfs fscrypt. Klíče šifrování pro systémové oddíly se plánuje uchovávat v modulu TPM a používat vázané na digitální podpisy, které slouží k ověřování integrity zaváděče, jádra a initrd (tj. během procesu zavádění systému se uživatel nebude muset zadávat heslo pro dešifrování systémových oddílů). Při šifrování domácích adresářů se plánuje generování klíčů na základě uživatelského jména a hesla (připojení šifrovaného domácího adresáře se provede během přihlášení uživatele do systému).
Časový rámec realizace této iniciativy závisí na přechodu distribuce na jednotný obraz jádra UKI (Unified Kernel Image), který spojuje v jednom souboru načítací mechanismus pro jádro z UEFI (UEFI boot stub), obraz jádra Linux a načítané do paměti systémové prostředí initrd. Bez podpory UKI není možné garantovat neměnnost obsahu prostředí initrd, ve kterém dochází k určení klíčů pro dešifrování FS (například útočník může podvrhnout initrd a simulovat požadavek na heslo; k tomu, aby se tomu zabránilo, je nutné ověřit, že celá řetězce je načtena před připojením FS).
V aktuální podobě má instalátor Fedora možnost šifrování oddílů na blokové úrovni pomocí dm-crypt, s použitím samostatné fráze pro heslo, která není spojena s uživatelským účtem. Tato terč řešení vykazuje problémy, jako je nepoužitelnost pro oddělené šifrování v víc uživatelských systémech, absence podpory internacionalizace a prostředků pro osoby se zdravotním postižením, možnost provádění útoků pomocí podvrženého zaváděče (nainstalovaný útočníkem zaváděč se může tvářit jako originální zaváděč a požadovat heslo pro dešifrování), a potřebu podpory framebufferu v initrd pro zobrazení výzvy k zadání hesla.
Zdroj: opennet.ru
