Ο Owen Taylor, δημιουργός της βιβλιοθήκης GNOME Shell και Pango και μέλος της ομάδας εργασίας ανάπτυξης Fedora for Workstations, έχει προτείνει ένα σχέδιο για την προεπιλεγμένη κρυπτογράφηση των κατατμήσεων του συστήματος και των οικιακών καταλόγων χρηστών στο Fedora Workstation. Τα πλεονεκτήματα της μετάβασης στην κρυπτογράφηση από προεπιλογή περιλαμβάνουν προστασία δεδομένων σε περίπτωση κλοπής φορητού υπολογιστή, προστασία από επιθέσεις σε συσκευές χωρίς επίβλεψη και διατήρηση του απορρήτου και της ακεραιότητας εκτός συσκευασίας χωρίς την ανάγκη περιττών χειρισμών.
Σύμφωνα με το προετοιμασμένο προσχέδιο σχεδίου, σχεδιάζουν να χρησιμοποιήσουν το Btrfs fscrypt για κρυπτογράφηση. Για τα διαμερίσματα συστήματος, τα κλειδιά κρυπτογράφησης προγραμματίζονται να αποθηκεύονται στη μονάδα TPM και να χρησιμοποιούνται σε συνδυασμό με ψηφιακές υπογραφές που χρησιμοποιούνται για την επαλήθευση της ακεραιότητας του φορτωτή εκκίνησης, του πυρήνα και του initrd (δηλαδή, στο στάδιο εκκίνησης του συστήματος, ο χρήστης δεν θα χρειαστεί να εισαγάγει έναν κωδικό πρόσβασης για την αποκρυπτογράφηση των κατατμήσεων του συστήματος). Κατά την κρυπτογράφηση οικιακών καταλόγων, σχεδιάζεται η δημιουργία κλειδιών με βάση τη σύνδεση και τον κωδικό πρόσβασης του χρήστη (ο κρυπτογραφημένος οικιακός κατάλογος θα συνδεθεί κατά τη σύνδεση του χρήστη).
Ο χρονισμός της πρωτοβουλίας εξαρτάται από τη μετάβαση της διανομής σε μια ενοποιημένη εικόνα πυρήνα UKI (Unified Kernel Image), η οποία συνδυάζει σε ένα αρχείο το πρόγραμμα χειρισμού για τη φόρτωση του πυρήνα από το UEFI (UEFI boot stub), την εικόνα του πυρήνα του Linux και το περιβάλλον συστήματος initrd φορτωμένο στη μνήμη. Χωρίς υποστήριξη UKI, είναι αδύνατον να εγγυηθεί η αναλλοίωτη μεταβλητότητα των περιεχομένων του περιβάλλοντος initrd, στο οποίο καθορίζονται τα κλειδιά για την αποκρυπτογράφηση του FS (για παράδειγμα, ένας εισβολέας μπορεί να αντικαταστήσει το initrd και να προσομοιώσει ένα αίτημα κωδικού πρόσβασης· για να αποφευχθεί αυτό, απαιτείται επαληθευμένη λήψη ολόκληρης της αλυσίδας πριν από την τοποθέτηση του FS).
Στην τρέχουσα μορφή του, το πρόγραμμα εγκατάστασης του Fedora έχει την επιλογή να κρυπτογραφεί κατατμήσεις σε επίπεδο μπλοκ χρησιμοποιώντας dm-crypt, χρησιμοποιώντας μια ξεχωριστή φράση πρόσβασης που δεν συνδέεται με τον λογαριασμό χρήστη. Αυτή η λύση υπογραμμίζει προβλήματα όπως η ακαταλληλότητα για χωριστή κρυπτογράφηση σε συστήματα πολλών χρηστών, η έλλειψη υποστήριξης για διεθνοποίηση και εργαλεία για άτομα με αναπηρίες, η πιθανότητα επιθέσεων μέσω πλαστογράφησης του bootloader (ένας bootloader που εγκαθίσταται από έναν εισβολέα μπορεί να προσποιηθεί ότι είναι ο αρχικός bootloader και να ζητήσετε κωδικό αποκρυπτογράφησης), την ανάγκη υποστήριξης framebuffer στο initrd για να ζητήσετε κωδικό πρόσβασης.
Πηγή: opennet.ru