{"id":182443,"date":"2026-07-02T22:53:28","date_gmt":"2026-07-02T20:53:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/problemy-s-ochistkoj-klyuchej-shifrovaniya-diska-iz-ozu-pri-perehode-linux-v-zhdushhij-rezhim"},"modified":"2026-07-02T22:53:28","modified_gmt":"2026-07-02T20:53:29","slug":"problemy-s-ochistkoj-klyuchej-shifrovaniya-diska-iz-ozu-pri-perehode-linux-v-zhdushhij-rezhim","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/problemy-s-ochistkoj-klyuchej-shifrovaniya-diska-iz-ozu-pri-perehode-linux-v-zhdushhij-rezhim","title":{"rendered":"Probl\u00e8mes de nettoyage des cl\u00e9s de chiffrement du disque de la RAM lors de la mise en veille de Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lors du portage de l'outil cryptsetup-suspend pour NixOS, une erreur a \u00e9t\u00e9 identifi\u00e9e dans le sous-syst\u00e8me de chiffrement des disques LUKS (Linux Unified Key Setup), ce qui a entra\u00een\u00e9, \u00e0 partir du noyau Linux 6.9 (commit probl\u00e9matique), publi\u00e9 en mai 2024, l'incapacit\u00e9 \u00e0 effacer les cl\u00e9s de chiffrement de la m\u00e9moire vive lors de la mise en veille du syst\u00e8me. <\/p>\n
L'outil cryptsetup-suspend est utilis\u00e9 dans Debian pour verrouiller automatiquement les partitions LUKS avant de passer en mode sommeil. Il est suppos\u00e9 qu'en cas de vol d'un ordinateur portable mis en mode sommeil, un attaquant ne pourra pas acc\u00e9der aux donn\u00e9es, car un mot de passe sera requis pour r\u00e9cup\u00e9rer l'acc\u00e8s aux donn\u00e9es crypt\u00e9es lors de la sortie du mode sommeil. En raison d'une erreur dans le noyau Linux, apr\u00e8s le verrouillage de la partition LUKS avec la commande \u00ab cryptsetup luksSuspend \u00bb, les cl\u00e9s n'\u00e9taient pas effac\u00e9es de la m\u00e9moire vive et restaient visibles via \/proc\/keys, ce qui permettait \u00e0 un attaquant de les extraire, par exemple, par le biais d'un \u00ab red\u00e9marrage \u00e0 froid \u00bb, et de les utiliser pour acc\u00e9der aux donn\u00e9es. <\/p>\n
L'absence de nettoyage des cl\u00e9s a \u00e9t\u00e9 identifi\u00e9e lors du d\u00e9bogage d'une condition de concurrence, ce qui a caus\u00e9 des probl\u00e8mes lors de la mise en veille. L'erreur est survenue apr\u00e8s un refactoring dans le noyau 6.9, o\u00f9 les cl\u00e9s \u00e9taient li\u00e9es au thread appelant et devaient \u00eatre supprim\u00e9es \u00e0 sa terminaison, mais en r\u00e9alit\u00e9, elles restaient en m\u00e9moire. Un patch en une ligne a \u00e9t\u00e9 propos\u00e9 pour la correction dans le noyau Linux, \u00e9liminant l'erreur commise. <\/p>\n
Ce patch n'a pas \u00e9t\u00e9 int\u00e9gr\u00e9 au noyau car une lacune a \u00e9t\u00e9 identifi\u00e9e \u2014 le patch fonctionne uniquement pour les unit\u00e9s physiques, mais ne s'applique pas aux p\u00e9riph\u00e9riques virtuels loop. Au lieu de corriger le probl\u00e8me du c\u00f4t\u00e9 du noyau, les d\u00e9veloppeurs de l'outil cryptsetup ont propos\u00e9 une solution de contournement pour effacer les cl\u00e9s. Ce changement a d\u00e9j\u00e0 \u00e9t\u00e9 accept\u00e9 et fera partie de la version cryptsetup 2.8.7. <\/p>\n