Owen Taylor, skapare av GNOME Shell och Pango-biblioteket och medlem i utvecklingsarbetsgruppen Fedora for Workstations, har lagt fram en plan för standardkryptering av systempartitioner och användarhemkataloger i Fedora Workstation. Fördelarna med att byta till kryptering som standard inkluderar dataskydd i händelse av stöld av bärbar dator, skydd mot attacker på obevakade enheter och upprätthållande av konfidentialitet och integritet direkt utan onödig manipulation.
I enlighet med det utarbetade utkastet till plan planerar de att använda Btrfs fscrypt för kryptering. För systempartitioner planeras krypteringsnycklar att lagras i TPM-modulen och användas tillsammans med digitala signaturer som används för att verifiera integriteten hos bootloader, kärna och initrd (dvs. vid systemstartsstadiet behöver användaren inte gå in ett lösenord för att dekryptera systempartitioner). Vid kryptering av hemkataloger planeras att nycklar genereras baserat på användarens inloggning och lösenord (den krypterade hemkatalogen kommer att anslutas under användarinloggning).
Tidpunkten för initiativet beror på distributionens övergång till en unified kernel image UKI (Unified Kernel Image), som i en fil kombinerar hanteraren för att ladda kärnan från UEFI (UEFI boot stub), Linux kärnavbildningen och initrd systemmiljön laddas i minnet. Utan UKI-stöd är det omöjligt att garantera invariansen av innehållet i initrd-miljön, där nycklarna för att dekryptera FS bestäms (till exempel kan en angripare ersätta initrd och simulera en lösenordsbegäran; för att undvika detta, en verifierad nedladdning av hela kedjan krävs innan FS monteras).
I sin nuvarande form har Fedora-installationsprogrammet ett alternativ att kryptera partitioner på blocknivå med dm-crypt, med hjälp av en separat lösenfras som inte är knuten till användarkontot. Den här lösningen belyser sådana problem som olämpligheten för separat kryptering i fleranvändarsystem, bristande stöd för internationalisering och verktyg för personer med funktionshinder, möjligheten till attacker genom bootloader-spoofing (en bootloader installerad av en angripare kan låtsas vara den ursprungliga bootloadern och begär ett dekrypteringslösenord), behovet av att stödja framebuffer i initrd för att fråga efter ett lösenord.
Källa: opennet.ru