Owen Taylor, twórca biblioteki GNOME Shell i Pango oraz członek grupy roboczej zajmującej się rozwojem Fedory dla stacji roboczych, przedstawił plan domyślnego szyfrowania partycji systemowych i katalogów domowych użytkowników w Fedorze Workstation. Korzyści z domyślnego przejścia na szyfrowanie obejmują ochronę danych w przypadku kradzieży laptopa, ochronę przed atakami na urządzenia pozostawione bez nadzoru oraz zachowanie poufności i integralności od razu po wyjęciu z pudełka, bez konieczności niepotrzebnych manipulacji.
Zgodnie z przygotowanym projektem planu do szyfrowania planują wykorzystać Btrfs fscrypt. W przypadku partycji systemowych planuje się przechowywanie kluczy szyfrujących w module TPM i wykorzystywanie ich w połączeniu z podpisami cyfrowymi służącymi do weryfikacji integralności bootloadera, jądra i initrd (tzn. na etapie uruchamiania systemu użytkownik nie będzie musiał wpisywać hasło do odszyfrowania partycji systemowych). Przy szyfrowaniu katalogów domowych planowane jest wygenerowanie kluczy na podstawie loginu i hasła użytkownika (zaszyfrowany katalog domowy zostanie podłączony podczas logowania użytkownika).
Moment podjęcia inicjatywy uzależniony jest od przejścia dystrybucji na ujednolicony obraz jądra UKI (Unified Kernel Image), który łączy w jednym pliku procedurę ładowania jądra z UEFI (odgałęzienie rozruchowe UEFI), obraz jądra Linuksa i środowisko systemu initrd załadowane do pamięci. Bez wsparcia UKI nie da się zagwarantować niezmienności zawartości środowiska initrd, w którym ustalane są klucze do deszyfrowania FS (na przykład osoba atakująca może zastąpić initrd i symulować żądanie hasła; aby tego uniknąć, przed zamontowaniem FS wymagane jest zweryfikowane pobranie całego łańcucha).
W swojej obecnej formie instalator Fedory ma opcję szyfrowania partycji na poziomie bloków przy użyciu dm-crypt, używając osobnego hasła, które nie jest powiązane z kontem użytkownika. To rozwiązanie uwypukla takie problemy, jak nieprzydatność oddzielnego szyfrowania w systemach z wieloma użytkownikami, brak wsparcia dla internacjonalizacji i narzędzi dla osób niepełnosprawnych, możliwość ataków poprzez fałszowanie bootloadera (bootloader zainstalowany przez atakującego może udawać oryginalny bootloader i zażądaj hasła do odszyfrowania), konieczność obsługi bufora ramki w initrd w celu monitowania o hasło.
Źródło: opennet.ru