Owen Taylor, tvůrce prostředí GNOME a knihovny Pango a člen pracovní skupiny Fedora for Workstation Development Workstation, předložil plán pro šifrování systémových oddílů a domovských adresářů uživatelů ve Fedora Workstation ve výchozím nastavení. Mezi výhody přechodu na šifrování ve výchozím nastavení patří ochrana dat v případě odcizení notebooku, ochrana před útoky na zařízení ponechaná bez dozoru, zachování důvěrnosti a integrity hned po vybalení bez nutnosti zbytečné manipulace.
V souladu s připraveným návrhem plánu plánují pro šifrování používat Btrfs fscrypt. U systémových oddílů se plánuje, že šifrovací klíče budou uloženy v modulu TPM a použity ve spojení s digitálními podpisy používanými k ověření integrity zavaděče, jádra a initrd (to znamená, že ve fázi spouštění systému uživatel nebude potřebovat zadejte heslo pro dešifrování systémových oddílů). Při šifrování domovských adresářů plánují generování klíčů na základě přihlašovacího jména a hesla uživatele (zašifrovaný domovský adresář bude připojen při přihlášení uživatele do systému).
Načasování iniciativy závisí na přechodu distribuční sady na jednotný obraz jádra UKI (Unified Kernel Image), který v jednom souboru kombinuje handler pro načtení jádra z UEFI (UEFI boot stub), obraz jádra Linuxu a systémové prostředí initrd načtené do paměti. Bez podpory UKI není možné zaručit neměnnost obsahu prostředí initrd, ve kterém se určují klíče pro dešifrování souborového systému (útočník může například změnit initrd a simulovat požadavek na heslo, aby se tomu zabránilo, před připojením souborového systému je vyžadováno ověřené spuštění celého řetězce).
Ve své současné podobě má instalační program Fedory možnost šifrovat oddíly na úrovni bloku pomocí dm-crypt pomocí samostatné přístupové fráze, která není vázána na uživatelský účet. Toto řešení upozorňuje na takové problémy, jako je nevhodnost pro samostatné šifrování ve víceuživatelských systémech, nedostatečná podpora internacionalizace a nástrojů pro osoby se zdravotním postižením, možnost provádění útoků pomocí substituce bootloaderu (bootloader nainstalovaný útočníkem se může vydávat za původní bootloader a vyžádat si heslo pro dešifrování), nutnost podporovat framebuffer v initrd pro výzvu k zadání hesla.
Zdroj: opennet.ru