Owen Taylor, GNOME Shell- ja Pango -kirjaston luoja ja Fedora for Workstations -kehitystyöryhmän jäsen, on esittänyt suunnitelman järjestelmän osioiden ja käyttäjien kotihakemistojen oletussalauksesta Fedora Workstationissa. Oletusarvoisesti salaukseen siirtymisen etuja ovat tietojen suojaus kannettavan tietokoneen varkauksien varalta, suojaus valvomattomiin laitteisiin kohdistuvilta hyökkäyksiltä sekä luottamuksellisuuden ja eheyden säilyttäminen pakkauksesta ilman tarpeetonta käsittelyä.
Valmistellun suunnitelman mukaisesti he suunnittelevat käyttävänsä Btrfs fscrypt -salaukseen. Järjestelmäosioissa salausavaimet on tarkoitus tallentaa TPM-moduuliin ja käyttää yhdessä digitaalisten allekirjoitusten kanssa, joita käytetään käynnistyslataimen, ytimen ja initrd:n eheyden tarkistamiseen (eli käyttäjän ei tarvitse syöttää järjestelmän käynnistysvaiheessa salasana järjestelmäosioiden salauksen purkamiseen). Kotihakemistoja salattaessa avaimet suunnitellaan generoitavan käyttäjän kirjautumisen ja salasanan perusteella (salattu kotihakemisto yhdistetään sisäänkirjautumisen yhteydessä).
Aloitteen ajoitus riippuu jakelun siirtymisestä yhtenäiseen ydinkuvaan UKI (Unified Kernel Image), joka yhdistää yhteen tiedostoon käsittelijän ytimen lataamiseksi UEFI:stä (UEFI boot stub), Linux-ytimen näköistiedostosta ja initrd-järjestelmäympäristöstä. ladattu muistiin. Ilman UKI-tukea on mahdotonta taata initrd-ympäristön sisällön muuttumattomuutta, jossa määritetään FS:n salauksen purkamiseen tarvittavat avaimet (esim. hyökkääjä voi korvata initrd:n ja simuloida salasanapyyntöä; tämän välttämiseksi koko ketjun varmennettu lataus vaaditaan ennen FS:n asentamista).
Nykyisessä muodossaan Fedora-asennusohjelmalla on mahdollisuus salata osiot lohkotasolla dm-crypt:n avulla käyttämällä erillistä tunnuslausetta, joka ei ole sidottu käyttäjätiliin. Tämä ratkaisu korostaa sellaisia ongelmia, kuten sopimattomuus erilliseen salaukseen usean käyttäjän järjestelmissä, kansainvälistymisen ja vammaisten työkalujen tuen puute, hyökkäysten mahdollisuus käynnistyslataimen huijauksen kautta (hyökkääjän asentama käynnistyslatain voi teeskennellä olevansa alkuperäinen käynnistyslatain ja pyydä salauksen purkusalasana), tarve tukea kehyspuskuria initrd:ssä salasanan kysymiseksi.
Lähde: opennet.ru