{"id":107724,"date":"2023-04-04T18:48:10","date_gmt":"2023-04-04T16:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=107724"},"modified":"2023-04-04T19:05:55","modified_gmt":"2023-04-04T17:05:55","slug":"v-fedora-rassmatrivayut-vozmozhnost-primeneniya-shifrovaniya-fs-po-umolchaniyu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-fedora-rassmatrivayut-vozmozhnost-primeneniya-shifrovaniya-fs-po-umolchaniyu","title":{"rendered":"In Fedora si sta considerando l'implementazione della crittografia del filesystem di default.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Owen Taylor, creatore di GNOME Shell e della libreria Pango, membro del gruppo di lavoro per lo sviluppo di Fedora per workstation, ha presentato per discussione un piano per la crittografia per impostazione predefinita delle partizioni di sistema e delle directory home degli utenti in Fedora Workstation. Tra i vantaggi del passaggio alla crittografia per default si citano la protezione dei dati in caso di furto di laptop, la protezione contro gli attacchi su dispositivi lasciati incustoditi, e il mantenimento della riservatezza e dell'integrit\u00e0 fin dal primo avvio, senza necessit\u00e0 di ulteriori manovre. <\/p>\n
Secondo il piano preliminare redatto, si prevede di utilizzare Btrfs fscrypt per la crittografia. Per le partizioni di sistema, si prevede di conservare le chiavi di crittografia nel modulo TPM e di utilizzarle in combinazione con le firme digitali, applicate per verificare l'integrit\u00e0 del bootloader, del kernel e dell'initrd (ossia, durante la fase di avvio del sistema, l'utente non dovr\u00e0 inserire una password per decrittografare le partizioni di sistema). Per la crittografia delle directory home, le chiavi sono progettate per essere generate in base al login e alla password dell'utente (l'accesso alla directory home crittografata avverr\u00e0 al momento del login dell'utente). <\/p>\n
I tempi di realizzazione dell'iniziativa dipendono dal passaggio del distributore a un'immagine del kernel unificata UKI (Unified Kernel Image), che riunisce in un unico file il gestore per il boot del kernel da UEFI (UEFI boot stub), l'immagine del kernel Linux e l'ambiente di sistema initrd caricato in memoria. Senza supporto per UKI, non \u00e8 possibile garantire l'inalterabilit\u00e0 del contenuto dell'ambiente initrd, dove avviene la definizione delle chiavi per la decrittazione del FS (ad esempio, un aggressore potrebbe sostituire initrd e simulare una richiesta di password; per evitare ci\u00f2 \u00e8 necessaria una verifica di avvio dell'intera catena fino al montaggio del FS). <\/p>\n
L'attuale installatore di Fedora offre un'opzione per la crittografia delle partizioni a livello di blocco utilizzando dm-crypt, con una frase segreta separata, non legata all'account utente. In questa soluzione si evidenziano problemi come l'inadeguatezza per la crittografia separata nei sistemi multi-utente, la mancanza di supporto per l'internazionalizzazione e per le persone con disabilit\u00e0, la possibilit\u00e0 di attacchi mediante il caricamento di un bootloader sostituito (un bootloader installato dall'attaccante pu\u00f2 fingersi quello originale e richiedere la password di decrittazione), e la necessit\u00e0 di supporto per framebuffer in initrd per visualizzare il prompt della password. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"