Owen Taylor, Erfinder der GNOME-Shell und der Pango-Bibliothek und Mitglied der Fedora for Workstation Development Working Group, hat einen Plan zur standardmäßigen Verschlüsselung von Systempartitionen und Benutzer-Home-Verzeichnissen in Fedora Workstation vorgelegt. Zu den Vorteilen der standardmäßigen Umstellung auf Verschlüsselung gehören der Schutz der Daten im Falle eines Laptop-Diebstahls, der Schutz vor Angriffen auf unbeaufsichtigte Geräte sowie die Wahrung der Vertraulichkeit und Integrität von Anfang an, ohne dass unnötige Manipulationen erforderlich sind.
Gemäß dem vorbereiteten Planentwurf planen sie, Btrfs fscrypt zur Verschlüsselung zu verwenden. Für Systempartitionen ist geplant, dass Verschlüsselungsschlüssel im TPM-Modul gespeichert und in Verbindung mit digitalen Signaturen verwendet werden, um die Integrität des Bootloaders, des Kernels und der initrd zu überprüfen (d. h. in der Systemstartphase, die der Benutzer nicht benötigt). um ein Passwort zum Entschlüsseln von Systempartitionen einzugeben). Bei der Verschlüsselung von Home-Verzeichnissen ist geplant, Schlüssel basierend auf dem Benutzernamen und dem Passwort des Benutzers zu generieren (das verschlüsselte Home-Verzeichnis wird verbunden, wenn sich der Benutzer am System anmeldet).
Der Zeitpunkt der Initiative hängt von der Umstellung des Distributionskits auf das einheitliche Kernel-Image UKI (Unified Kernel Image) ab, das in einer Datei einen Handler zum Laden des Kernels aus UEFI (UEFI-Boot-Stub), ein Linux-Kernel-Image und das vereint initrd-Systemumgebung in den Speicher geladen. Ohne UKI-Unterstützung kann die Invarianz des Inhalts der initrd-Umgebung, in der die Schlüssel zum Entschlüsseln des Dateisystems festgelegt werden, nicht garantiert werden (ein Angreifer kann beispielsweise die initrd ändern und eine Passwortabfrage simulieren, um dies zu vermeiden). Vor dem Mounten des Dateisystems ist ein verifizierter Start der gesamten Kette erforderlich.
In seiner aktuellen Form verfügt das Fedora-Installationsprogramm über eine Option zum Verschlüsseln von Partitionen auf Blockebene mit dm-crypt unter Verwendung einer separaten Passphrase, die nicht an ein Benutzerkonto gebunden ist. Diese Lösung weist auf Probleme wie die mangelnde Eignung für eine separate Verschlüsselung in Mehrbenutzersystemen, mangelnde Unterstützung der Internationalisierung und Tools für Menschen mit Behinderungen sowie die Möglichkeit der Durchführung von Angriffen durch Bootloader-Ersetzung hin (ein von einem Angreifer installierter Bootloader kann sich als der ursprüngliche Bootloader ausgeben). und ein Entschlüsselungskennwort anfordern), die Notwendigkeit, Framebuffer in initrd zu unterstützen, um zur Eingabe eines Kennworts aufzufordern.
Source: opennet.ru