Owen Taylor, a creator of GNOME Shell and the Pango library, part of the Fedora Workstation development team, has proposed a plan for default encryption of system partitions and user home directories in Fedora Workstation. The benefits of moving to default encryption include data protection in case of laptop theft, protection against attacks on unattended devices, and ensuring privacy and integrity out of the box without additional manual steps.
According to the drafted plan, Btrfs fscrypt will be used for encryption. For system partitions, encryption keys are planned to be stored in the TPM module and used in conjunction with digital signatures applied to verify the integrity of the bootloader, kernel, and initrd (meaning that during the system boot process, the user won’t need to enter a password to decrypt system partitions). When encrypting home directories, the keys are planned to be generated based on the user’s login and password (the encrypted home directory will be mounted upon user login).
The timeline for implementing the initiative depends on the distribution's transition to a unified kernel image UKI (Unified Kernel Image), which consolidates in one file the handler for loading the kernel from UEFI (UEFI boot stub), the Linux kernel image, and the system environment initrd loaded into memory. Without UKI support, it is not possible to guarantee the integrity of the initrd environment, where keys for decrypting the filesystem are determined (for example, an attacker could substitute the initrd and simulate a password request; to prevent this, a verified boot of the entire chain until the filesystem is mounted is required).
A Fedora telepítőben jelenleg elérhető egy opció a blokkszintű partíciók titkosítására dm-crypt segítségével, ami külön jelszót igényel, amely nincs összekapcsolva a felhasználói fiókkal. Ebben a megoldásban felmerülnek olyan problémák, mint a többfelhasználós rendszerekben való hibás alkalmazás, a nemzetköziesítés és a mozgáskorlátozottak számára nyújtott támogatás hiánya, valamint a támadások lehetősége a bootloader hamisítással (a támadó által telepített bootloader az eredeti bootloadernek álcázva kérheti a dekódoló jelszót), és a framebuffer támogatásának szükségessége az initrd-ben a jelszómegadás kérésének megjelenítéséhez.
Forrás: opennet.ru
