Owen Taylor, a GNOME Shell és Pango könyvtár megalkotója és a Fedora for Workstations fejlesztői munkacsoport tagja tervet terjesztett elő a rendszerpartíciók és felhasználói saját könyvtárak alapértelmezett titkosítására a Fedora Workstationben. Az alapértelmezett titkosításra váltás előnyei közé tartozik az adatvédelem laptoplopás esetén, a felügyelet nélküli eszközök elleni támadások elleni védelem, valamint a titoktartás és az integritás megőrzése a dobozból, szükségtelen manipuláció nélkül.
Az elkészített tervtervezetnek megfelelően a titkosításhoz a Btrfs fscrypt használatát tervezik. A rendszerpartícióknál a titkosítási kulcsokat a tervek szerint a TPM modulban tárolják, és a rendszerbetöltő, a kernel és az initrd integritásának ellenőrzésére használt digitális aláírásokkal együtt használják (azaz a rendszerindítási szakaszban a felhasználónak nem kell megadnia jelszót a rendszerpartíciók visszafejtéséhez). A saját könyvtárak titkosításánál a kulcsok generálása a felhasználó bejelentkezési neve és jelszava alapján történik (a titkosított otthoni könyvtár a felhasználói bejelentkezés során csatlakozik).
A kezdeményezés időzítése attól függ, hogy a disztribúció áttér egy UKI (Unified Kernel Image) egységes rendszermag-képre, amely egy fájlban egyesíti a kernel UEFI-ből történő betöltésére szolgáló kezelőt (UEFI rendszerindító csonk), a Linux kernel lemezképet és az initrd rendszerkörnyezetet. betöltve a memóriába. Az UKI támogatása nélkül lehetetlen garantálni az initrd környezet tartalmának változatlanságát, amelyben az FS visszafejtéséhez szükséges kulcsokat határozzák meg (például a támadó lecserélheti az initrd-t és szimulálhat egy jelszókérést; ennek elkerülése érdekében egy a teljes lánc ellenőrzött letöltése szükséges az FS felszerelése előtt).
Jelenlegi formájában a Fedora telepítőnek lehetősége van blokkszintű partíciók titkosítására a dm-crypt segítségével, egy külön jelszó használatával, amely nem kapcsolódik a felhasználói fiókhoz. Ez a megoldás olyan problémákra hívja fel a figyelmet, mint a többfelhasználós rendszerekben való külön titkosítás alkalmatlansága, a nemzetközivé válás és a fogyatékkal élők számára készült eszközök támogatásának hiánya, a rendszerbetöltő hamisításon keresztüli támadások lehetősége (a támadó által telepített rendszerbetöltő úgy tesz, mintha az eredeti rendszerbetöltő lenne és kérjen visszafejtési jelszót), a framebuffer támogatásának szükségessége az initrd-ben a jelszó kéréséhez.
Forrás: opennet.ru