{"id":182443,"date":"2026-07-02T22:53:28","date_gmt":"2026-07-02T20:53:29","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/problemy-s-ochistkoj-klyuchej-shifrovaniya-diska-iz-ozu-pri-perehode-linux-v-zhdushhij-rezhim"},"modified":"2026-07-02T22:53:28","modified_gmt":"2026-07-02T20:53:29","slug":"problemy-s-ochistkoj-klyuchej-shifrovaniya-diska-iz-ozu-pri-perehode-linux-v-zhdushhij-rezhim","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/problemy-s-ochistkoj-klyuchej-shifrovaniya-diska-iz-ozu-pri-perehode-linux-v-zhdushhij-rezhim","title":{"rendered":"Problemen met het wissen van schijfversleuteling sleutels uit het RAM wanneer Linux in de slaapstand gaat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Tijdens de portering van het cryptsetup-suspend hulpprogramma voor NixOS werd een fout ontdekt in de LUKS (Linux Unified Key Setup) schijfversleutelingssubsystemen, waardoor sinds de Linux-kernel 6.9 (de problematische commit), uitgebracht in mei 2024, de opruiming van versleutelingssleutels uit het RAM tijdens de slaapstand van het systeem niet meer werkte. <\/p>\n
De cryptsetup-suspend tool wordt in Debian gebruikt voor het automatisch vergrendelen van LUKS-partities voordat de slaapstand wordt ingeschakeld. Het wordt verondersteld dat in het geval van diefstal van een laptop die in de slaapstand is gezet, de dief geen toegang tot de gegevens kan krijgen, aangezien na het ontwaken uit de slaapstand een wachtwoord moet worden ingevoerd om toegang te herstellen tot de versleutelde gegevens. Vanwege een fout in de Linux-kernel werden de sleutels na het vergrendelen van de LUKS-partitie met de opdracht «cryptsetup luksSuspend» niet uit het RAM-geheugen gewist en bleven ze zichtbaar via \/proc\/keys, waardoor een aanvaller deze bijvoorbeeld met de «cold reboot» methode kon extraheren en gebruiken voor toegang tot de gegevens. <\/p>\n
Het ontbreken van de wisfunctie voor de sleutels werd ontdekt tijdens het debuggen van een race-conditie, waardoor problemen ontstonden bij het overschakelen naar de slaapstand. De fout deed zich voor na een refactoring in kernel 6.9, waarbij sleutels aan de aanroepende thread werden gehecht en moesten worden verwijderd bij het be\u00ebindigen ervan, maar in werkelijkheid in het geheugen bleven. Er is een enkele regel patch voorgesteld voor de Linux-kernel die deze fout oplost. <\/p>\n
Deze patch is niet in de kernel opgenomen omdat er een tekortkoming is ontdekt - de patch werkt alleen voor fysieke opslagmedia, maar niet voor virtuele loop-apparaten. In plaats van het probleem aan te pakken vanuit de kernel, werd door de ontwikkelaars van de cryptsetup-tool een omweg voorgesteld om de sleutels te wissen. Deze wijziging is al goedgekeurd en zal worden opgenomen in de cryptsetup 2.8.7 release. <\/p>\n