Owen Taylor, GNOME Shelli ja Pango tekitaja ning Fedora töölauaarenduse töörühma liige, esitas aruteluks plaani rakendada Fedora Workstationis vaikešifreerimine süsteemide ja kasutajate kodukataloogide jaoks. Vaikešifreerimise eeliste hulka kuulub andmete kaitse sülearvuti varguse korral, kaitse unustatud seadmete rünnakute eest ning privaatsuse ja terviklikkuse säilitamine ilma täiendavate toiminguteta.
Kooskõlas koostatud mustandi plaaniga kavandatakse Btrfs fscrypt'i kasutamist krüpteerimiseks. Süsteemide partitsioonide krüpteerimisvõtmed plaanitakse hoida TPM-modulis ja kasutada digitaalsete allkirjade sidumise jaoks, mida rakendatakse käivituslaadija, kernel'i ja initrd terviklikkuse kontrollimiseks (st süsteemi käivitamise etapis ei pea kasutaja sisestama parooli süsteemide partitsioonide dekodeerimiseks). Kodukataloogide krüpteerimisel plaanitakse võtit genereerida kasutaja sisselogimise ja parooli põhjal (dekrüpteeritud kodukataloog ühendatakse kasutaja sisselogimise ajal).
Eelnõu elluviimise ajad sõltuvad distributsiooni üleminekust ühtsele UKI (Unified Kernel Image) tuumapildile, mis ühendab ühes failis UEFI (UEFI boot stub) kaudu tuumaku loader'i, Linux'i tuuma pildi ja laetud mälukeskkonna initrd. UKI toe puudumisel ei saa tagada initrd keskkonna sisu muutumatuks jäämist, kus toimub võtmepaaride määramine failisüsteemi (FS) dekrüpteerimiseks (näiteks võib ründaja asendada initrd ja simuleerida parooli küsimist; selle vältimiseks on vajalik, et kogu laadimisprotsess oleks kinnitatud enne FS-i mountimist).
Praeguses versioonis on Fedora installijas võimalus krüpteerida osasid plokk-tasandil dm-crypti abil, kasutades eraldi paroolifraasi, mis ei ole seotud kasutajakontoga. Selle lahenduse puhul tuuakse esile sellised probleemid nagu sobimatuse puudumine eraldi krüpteerimiseks paljude kasutajate süsteemides, rahvusvahelisuse ja puuetega inimeste abivahendite toetuse puudumine, rikutud laadijat kasutades rünnakute võimalus (sissetungija installitud laadija võib näida originaallaadijana ja küsida dekrüpteerimise parooli), samuti initrd-s framebufferi toe vajadus parooli küsimise kuvamiseks.
Allikas: opennet.ru
