फेडोरा डिफ़ॉल्ट रूप से फाइलसिस्टम एन्क्रिप्शन का उपयोग करने पर विचार कर रहा है

गनोम शेल और पैंगो लाइब्रेरी के निर्माता और फेडोरा फॉर वर्कस्टेशन डेवलपमेंट वर्किंग ग्रुप के सदस्य ओवेन टेलर ने फेडोरा वर्कस्टेशन में सिस्टम विभाजन और उपयोगकर्ता होम निर्देशिकाओं के डिफ़ॉल्ट एन्क्रिप्शन के लिए एक योजना सामने रखी है। डिफ़ॉल्ट रूप से एन्क्रिप्शन पर स्विच करने के लाभों में लैपटॉप चोरी के मामले में डेटा सुरक्षा, अप्राप्य उपकरणों पर हमलों के खिलाफ सुरक्षा, और अनावश्यक हेरफेर की आवश्यकता के बिना गोपनीयता और अखंडता बनाए रखना शामिल है।

तैयार ड्राफ्ट योजना के अनुसार, वे एन्क्रिप्शन के लिए Btrfs fscrypt का उपयोग करने की योजना बना रहे हैं। सिस्टम विभाजन के लिए, एन्क्रिप्शन कुंजियों को टीपीएम मॉड्यूल में संग्रहीत करने की योजना बनाई गई है और बूटलोडर, कर्नेल और इनिटर्ड की अखंडता को सत्यापित करने के लिए उपयोग किए जाने वाले डिजिटल हस्ताक्षरों के साथ संयोजन में उपयोग किया जाता है (यानी, सिस्टम बूट चरण में, उपयोगकर्ता को प्रवेश करने की आवश्यकता नहीं होगी) सिस्टम विभाजन को डिक्रिप्ट करने के लिए एक पासवर्ड)। होम निर्देशिकाओं को एन्क्रिप्ट करते समय, उपयोगकर्ता के लॉगिन और पासवर्ड के आधार पर कुंजियाँ उत्पन्न करने की योजना बनाई जाती है (एन्क्रिप्टेड होम निर्देशिका उपयोगकर्ता लॉगिन के दौरान कनेक्ट की जाएगी)।

पहल का समय वितरण के एकीकृत कर्नेल छवि यूकेआई (यूनिफाइड कर्नेल इमेज) में संक्रमण पर निर्भर करता है, जो यूईएफआई (यूईएफआई बूट स्टब), लिनक्स कर्नेल छवि और इनिटर्ड सिस्टम वातावरण से कर्नेल लोड करने के लिए हैंडलर को एक फाइल में जोड़ता है। स्मृति में लोड किया गया. यूकेआई समर्थन के बिना, initrd वातावरण की सामग्री के अपरिवर्तनीयता की गारंटी देना असंभव है, जिसमें एफएस को डिक्रिप्ट करने की कुंजी निर्धारित की जाती है (उदाहरण के लिए, एक हमलावर initrd को प्रतिस्थापित कर सकता है और पासवर्ड अनुरोध अनुकरण कर सकता है; इससे बचने के लिए, ए एफएस माउंट करने से पहले पूरी श्रृंखला का सत्यापित डाउनलोड आवश्यक है)।

अपने वर्तमान स्वरूप में, फेडोरा इंस्टॉलर के पास डीएम-क्रिप्ट का उपयोग करके ब्लॉक स्तर पर विभाजन को एन्क्रिप्ट करने का विकल्प है, एक अलग पासफ़्रेज़ का उपयोग करके जो उपयोगकर्ता खाते से जुड़ा नहीं है। यह समाधान बहु-उपयोगकर्ता प्रणालियों में अलग एन्क्रिप्शन की अनुपयुक्तता, विकलांग लोगों के लिए अंतर्राष्ट्रीयकरण और उपकरणों के लिए समर्थन की कमी, बूटलोडर स्पूफिंग के माध्यम से हमलों की संभावना (एक हमलावर द्वारा स्थापित बूटलोडर मूल बूटलोडर होने का दिखावा कर सकता है) जैसी समस्याओं पर प्रकाश डालता है। और एक डिक्रिप्शन पासवर्ड का अनुरोध करें), पासवर्ड के लिए संकेत देने के लिए initrd में फ़्रेमबफ़र का समर्थन करने की आवश्यकता है।

स्रोत: opennet.ru