Owen Taylor, skaparen av GNOME Shell och Pango-biblioteket, som ingÄr i arbetsgruppen för utveckling av Fedora för arbetsstationer, har lagt fram ett förslag om standardkryptering av systempartitioner och anvÀndarnas hemkataloger i Fedora Workstation. Fördelarna med att övergÄ till standardkryptering inkluderar skydd av data vid stöld av bÀrbara datorer, skydd mot attacker pÄ obevakade enheter, samt att upprÀtthÄlla konfidentialitet och integritet direkt utan behov av onödiga ÄtgÀrder.
Enligt det utarbetade utkastet för kryptering planeras anvÀndning av Btrfs fscrypt. För systempartitionerna planerar man att lagra krypteringsnycklar i TPM-modulen och anvÀnda dem kopplade till de digitala signaturer som anvÀnds för att kontrollera integriteten hos bootloadern, kÀrnan och initrd (det vill sÀga vid systemets start behöver anvÀndaren inte ange lösenord för att dekryptera systempartitionerna). Vid kryptering av hemkataloger planerar man att generera nycklar baserat pÄ anvÀndarnamn och lösenord (anslutningen av den krypterade hemkatalogen kommer att ske vid inloggningen av anvÀndaren).
Tidsramarna för genomförandet av initiativet beror pÄ övergÄngen av distributionen till den enhetliga kÀrnbilden UKI (Unified Kernel Image), som kombinerar en bootloader för att ladda kÀrnan frÄn UEFI (UEFI boot stub), Linux-kÀrnbilden och det inlÀsta systemmiljön initrd i en fil. Utan stöd för UKI kan man inte garantera att innehÄllet i initrd-miljön förblir oförÀndrat, dÀr nycklarna för dekryptering av filsystemet faststÀlls (till exempel kan en angripare byta ut initrd och simulera en lösenordsbegÀran, för att undvika detta krÀvs en verifierad laddning av hela kedjan fram till montering av filsystemet).
I den nuvarande versionen av Fedora-installationsprogrammet finns det ett alternativ för att kryptera partitioner pÄ blocknivÄ med hjÀlp av dm-crypt och en separat lösenfras som inte Àr kopplad till anvÀndarkontot. Det finns vissa problem med denna lösning, sÄsom olÀmplighet för separat kryptering i flerspelarsystem, brist pÄ internationellt stöd och hjÀlpmedel för personer med funktionsnedsÀttningar, möjligheten att genomföra attacker genom att byta ut bootloadern (den installerade bootloadern kan lÄtsas vara den Àkta och begÀra dekrypteringslösenordet), samt behovet av att stödja framebuffer i initrd för att visa lösenordsförfrÄgan.
KĂ€lla: opennet.ru
