Owen Taylor, de maker van GNOME Shell en de Pango-bibliotheek, die deel uitmaakt van de werkgroep voor de ontwikkeling van Fedora voor werkstations, heeft een voorstel gepresenteerd voor standaardversleuteling van systeempartities en gebruikershomecatalogi in Fedora Workstation. De voordelen van de overstap naar standaardversleuteling omvatten gegevensbescherming in geval van diefstal van een laptop, bescherming tegen aanvallen op onbeheerde apparaten, en het behouden van privacy en integriteit vanuit de doos zonder dat hiervoor extra handelingen hoeven te worden verricht.
Volgens het opgestelde conceptplan zal Btrfs fscrypt worden gebruikt voor de versleuteling. Voor systeempartities is het de bedoeling dat de versleutelingsecrets in de TPM-module worden opgeslagen en gekoppeld aan digitale handtekeningen die worden gebruikt voor de integriteitscontrole van de bootloader, de kernel en initrd (d.w.z. in de opstartfase hoeft de gebruiker geen wachtwoord in te voeren om de systeempartities te ontsleutelen). Bij de versleuteling van homecatalogi worden de sleutels gegenereerd op basis van de gebruikersnaam en het wachtwoord van de gebruiker (de verbinding met de versleutelde homecatalogus vindt plaats tijdens de inlog van de gebruiker).
De tijdlijn voor de uitvoering van het initiatief hangt af van de overstap van de distributie naar een uniforme kernelafbeelding UKI (Unified Kernel Image), die in Ć©Ć©n bestand de handler bevat om de kernel vanuit UEFI te laden (UEFI boot stub), de Linux-kernelafbeelding en de in het geheugen geladen systeemomgeving initrd. Zonder ondersteuning van UKI kan de onveranderlijkheid van de inhoud van de initrd-omgeving die wordt gebruikt voor de sleutelbepaling voor de decryption van het bestandssysteem niet worden gegarandeerd (bijvoorbeeld, een aanvaller kan initrd vervangen en een wachtwoordverzoek simuleren; om dit te voorkomen is een geverifieerde opstart van de gehele keten tot de montage van het bestandssysteem vereist).
In de huidige versie van de Fedora-installatieprocedure is er een optie voor het versleutelen van partities op blokniveau met behulp van dm-crypt, waarbij een aparte wachtwoordzin wordt gebruikt die niet aan een gebruikersaccount is gekoppeld. Dit oplossing heeft problemen zoals ongeschiktheid voor afzonderlijke versleuteling in multi-user systemen, gebrek aan ondersteuning voor internationalisering en hulpmiddelen voor mensen met een beperking, de mogelijkheid van aanvallen via het vervangen van de bootloader (een door de aanvaller geĆÆnstalleerde bootloader kan zich voordoen als de originele en om het ontcijferingswachtwoord vragen), en de noodzaak om framebuffer in initrd te ondersteunen voor de weergave van het wachtwoordverzoek.
Bron: opennet.ru
