Fedora는 기본적으로 파일 시스템 암호화 사용을 고려하고 있습니다.

GNOME Shell 및 Pango 라이브러리의 창시자이자 Fedora for Workstation Development Working Group의 구성원인 Owen Taylor는 기본적으로 Fedora Workstation에서 시스템 파티션 및 사용자 홈 디렉토리를 암호화하기 위한 계획을 제시했습니다. 기본적으로 암호화로 전환하면 랩톱 도난 시 데이터 보호, 방치된 장치에 대한 공격으로부터 보호, 불필요한 조작 없이 즉시 기밀성과 무결성을 유지할 수 있는 이점이 있습니다.

준비된 초안 계획에 따라 암호화에 Btrfs fscrypt를 사용할 계획입니다. 시스템 파티션의 경우 암호화 키는 TPM 모듈에 저장되고 부트로더, 커널 및 initrd의 무결성을 확인하는 데 사용되는 디지털 서명과 함께 사용됩니다(즉, 시스템 부팅 단계에서 사용자는 암호를 입력하여 시스템 파티션을 해독하려면). 홈 디렉토리를 암호화할 때 사용자의 로그인 및 비밀번호를 기반으로 키를 생성할 계획입니다(암호화된 홈 디렉토리는 사용자가 시스템에 로그인할 때 연결됨).

이니셔티브의 타이밍은 UEFI(UEFI 부트 스텁)에서 커널을 로드하기 위한 핸들러, Linux 커널 이미지 및 initrd 시스템 환경이 메모리에 로드되었습니다. UKI 지원 없이 파일 시스템을 해독하기 위한 키가 결정되는 initrd 환경의 내용에 대한 불변성을 보장하는 것은 불가능합니다(예를 들어 공격자는 initrd를 변경하고 암호 요청을 시뮬레이트하여 이를 방지할 수 있습니다. 파일 시스템을 마운트하기 전에 전체 체인의 확인 부팅이 필요합니다.)

현재 양식에서 Fedora 설치 프로그램에는 사용자 계정에 연결되지 않은 별도의 암호를 사용하여 dm-crypt로 블록 수준에서 파티션을 암호화하는 옵션이 있습니다. 이 솔루션은 다중 사용자 시스템에서 별도의 암호화에 적합하지 않음, 장애인을 위한 국제화 및 도구 지원 부족, 부트로더 대체를 통한 공격 수행 가능성(공격자가 설치한 부트로더가 원래 부트로더인 것처럼 가장할 수 있음) 등의 문제를 지적합니다. 및 암호 해독 요청) 암호를 묻는 메시지를 표시하려면 initrd에서 프레임 버퍼를 지원해야 합니다.

출처 : opennet.ru