마이그레이션 중 RAM에서 디스크 암호화 키를 삭제하는 데 문제가 발생했습니다. Linux 대기 모드로

cryptsetup-suspend 툴킷을 NixOS로 포팅하는 과정에서 LUKS 디스크 암호화 하위 시스템에서 버그가 발견되었습니다.Linux 통합 키 설정)으로 인해 커널부터 시작됩니다. Linux 2024년 5월에 출시된 6.9 버전(문제가 된 커밋)에서는 시스템이 대기 모드로 전환될 때 RAM에서 암호화 키를 삭제하지 않는 문제가 발생했습니다.

cryptsetup-suspend 도구는 다음에서 사용됩니다. Debian 절전 모드 진입 전에 LUKS 파티션을 자동으로 잠급니다. 노트북이 절전 모드 중에 도난당하더라도, 절전 모드에서 깨어나려면 암호화된 데이터에 접근하기 위해 암호를 입력해야 하므로 공격자가 데이터에 접근할 수 없도록 설계되었습니다. 이는 커널 버그 때문입니다. Linux "cryptsetup luksSuspend" 명령으로 LUKS 파티션을 잠근 후에도 키가 RAM에서 삭제되지 않고 /proc/keys를 통해 계속 노출되어 공격자가 "콜드 부팅"과 같은 방법을 사용하여 키를 추출하고 이를 이용해 데이터에 접근할 수 있었습니다.

누락된 키 정리 문제는 sleep 관련 문제를 일으키는 경쟁 조건을 디버깅하는 과정에서 발견되었습니다. 이 버그는 6.9 커널의 리팩토링 이후 발생했는데, 이로 인해 키가 호출 스레드에 연결되어 스레드 종료 시 삭제되어야 했지만 메모리에 남아 있게 되었습니다. 커널에 포함될 예정입니다. Linux 해당 오류를 수정하기 위한 한 줄짜리 패치가 제안되었습니다.

이 패치는 물리적 드라이브에만 적용되고 가상 루프 장치에는 적용되지 않는 결함이 있어 커널에 반영되지 않았습니다. 커널 문제를 해결하는 대신, cryptsetup 도구 개발자들은 키를 삭제하는 임시 해결책을 제안했습니다. 이 변경 사항은 이미 승인되어 cryptsetup 2.8.7 릴리스에 포함될 예정입니다.

또한 NixOS는 절전 모드로 전환하기 전에 암호화된 디스크를 잠그는 스크립트의 사용자 지정 구현을 가지고 있는데, 이는 2015년에 채택되지 않은 오래된 커널 패치를 사용하여 절전 모드로 전환하기 전에 메모리에서 키를 강제로 삭제합니다.

출처 : opennet.ru