Owen Taylor, criador do GNOME Shell e da biblioteca Pango, e membro do Grupo de Trabalho Fedora para Desenvolvimento de Estações de Trabalho, apresentou um plano para criptografar partições de sistema e diretórios pessoais de usuários no Fedora Workstation por padrão. Os benefícios de migrar para a criptografia por padrão incluem a proteção de dados no caso de um laptop ser roubado, a proteção contra ataques a dispositivos deixados sem vigilância, a manutenção da confidencialidade e da integridade fora da caixa, sem a necessidade de manipulação desnecessária.
De acordo com o plano preliminar preparado, eles planejam usar Btrfs fscrypt para criptografia. Para partições do sistema, as chaves de criptografia são planejadas para serem armazenadas no módulo TPM e usadas em conjunto com assinaturas digitais usadas para verificar a integridade do bootloader, kernel e initrd (ou seja, no estágio de inicialização do sistema, o usuário não precisará para inserir uma senha para descriptografar as partições do sistema). Ao criptografar diretórios iniciais, eles planejam gerar chaves com base no login e senha do usuário (o diretório inicial criptografado será conectado quando o usuário fizer login no sistema).
O momento da iniciativa depende da transição do kit de distribuição para a imagem unificada do kernel UKI (Unified Kernel Image), que combina em um arquivo um manipulador para carregar o kernel do UEFI (UEFI boot stub), uma imagem do kernel Linux e o ambiente do sistema initrd carregado na memória. Sem o suporte do UKI, é impossível garantir a invariância do conteúdo do ambiente initrd, no qual são determinadas as chaves para descriptografar o sistema de arquivos (por exemplo, um invasor pode alterar o initrd e simular uma solicitação de senha, para evitar isso, é necessária uma inicialização verificada de toda a cadeia antes de montar o sistema de arquivos).
Em sua forma atual, o instalador do Fedora tem a opção de criptografar partições em nível de bloco com dm-crypt usando uma senha separada que não está vinculada a uma conta de usuário. Esta solução aponta problemas como inadequação para criptografia separada em sistemas multiusuário, falta de suporte para internacionalização e ferramentas para pessoas com deficiência, possibilidade de realizar ataques através da substituição do bootloader (um bootloader instalado por um invasor pode fingir ser o bootloader original e solicitar uma senha de descriptografia), a necessidade de suportar framebuffer no initrd para solicitar uma senha.
Fonte: opennet.ru