Owen Taylor, maker van de GNOME Shell en Pango bibliotheek en lid van de Fedora for Workstations ontwikkelingswerkgroep, heeft een plan naar voren gebracht voor standaard encryptie van systeempartities en gebruikershomemappen in Fedora Workstation. De voordelen van het standaard overschakelen naar encryptie zijn onder meer gegevensbescherming in geval van laptopdiefstal, bescherming tegen aanvallen op onbeheerde apparaten en het direct behouden van vertrouwelijkheid en integriteit zonder de noodzaak van onnodige manipulatie.
In overeenstemming met het voorbereide conceptplan zijn ze van plan om Btrfs fscrypt te gebruiken voor encryptie. Voor systeempartities zijn encryptiesleutels gepland om te worden opgeslagen in de TPM-module en te worden gebruikt in combinatie met digitale handtekeningen die worden gebruikt om de integriteit van de bootloader, kernel en initrd te verifiëren (dat wil zeggen dat de gebruiker tijdens de opstartfase van het systeem geen invoer hoeft in te voeren een wachtwoord om systeempartities te decoderen). Bij het versleutelen van thuismappen worden er sleutels gegenereerd op basis van de gebruikersnaam en het wachtwoord van de gebruiker (de gecodeerde thuismap wordt verbonden tijdens het inloggen van de gebruiker).
De timing van het initiatief hangt af van de overgang van de distributie naar een uniforme kernelimage UKI (Unified Kernel Image), die in één bestand de handler combineert voor het laden van de kernel vanuit UEFI (UEFI boot stub), de Linux-kernelimage en de initrd-systeemomgeving in het geheugen geladen. Zonder UKI-ondersteuning is het onmogelijk om de onveranderlijkheid van de inhoud van de initrd-omgeving te garanderen, waarin de sleutels voor het decoderen van de FS worden bepaald (een aanvaller kan bijvoorbeeld de initrd vervangen en een wachtwoordverzoek simuleren; om dit te voorkomen, kan een geverifieerde download van de gehele keten is vereist voordat de FS wordt gemonteerd).
In zijn huidige vorm heeft het Fedora installatieprogramma een optie om partities op blokniveau te versleutelen met behulp van dm-crypt, met behulp van een aparte wachtwoordzin die niet aan de gebruikersaccount is gekoppeld. Deze oplossing benadrukt problemen als de ongeschiktheid voor afzonderlijke encryptie in systemen voor meerdere gebruikers, het gebrek aan ondersteuning voor internationalisering en tools voor mensen met een handicap, de mogelijkheid van aanvallen via bootloader-spoofing (een bootloader die door een aanvaller is geïnstalleerd, kan zich voordoen als de originele bootloader en een decoderingswachtwoord aanvragen), de noodzaak om framebuffer in initrd te ondersteunen om om een wachtwoord te vragen.
Bron: opennet.ru