Si Owen Taylor, tagalikha ng GNOME Shell at Pango library at isang miyembro ng Fedora for Workstations development working group, ay naglagay ng plano para sa default na pag-encrypt ng mga partition ng system at mga direktoryo ng home ng user sa Fedora Workstation. Kasama sa mga benepisyo ng paglipat sa encryption bilang default ang proteksyon ng data sa kaso ng pagnanakaw ng laptop, proteksyon laban sa mga pag-atake sa mga device na hindi binabantayan, at pagpapanatili ng pagiging kumpidensyal at integridad sa labas ng kahon nang hindi nangangailangan ng hindi kinakailangang pagmamanipula.
Alinsunod sa inihandang draft na plano, plano nilang gamitin ang Btrfs fscrypt para sa pag-encrypt. Para sa mga partition ng system, ang mga encryption key ay binalak na itago sa TPM module at ginagamit kasabay ng mga digital signature na ginagamit upang i-verify ang integridad ng bootloader, kernel at initrd (ibig sabihin, sa yugto ng pag-boot ng system, ang user ay hindi na kailangang pumasok isang password upang i-decrypt ang mga partisyon ng system). Kapag nag-e-encrypt ng mga home directory, ang mga key ay binalak na mabuo batay sa login at password ng user (ang naka-encrypt na home directory ay ikokonekta sa panahon ng user login).
Ang timing ng inisyatiba ay nakasalalay sa paglipat ng pamamahagi sa isang pinag-isang kernel image UKI (Unified Kernel Image), na pinagsasama sa isang file ang handler para sa paglo-load ng kernel mula sa UEFI (UEFI boot stub), ang Linux kernel image at ang initrd system environment na-load sa memorya. Kung walang suporta sa UKI, imposibleng magarantiya ang pagkakaiba-iba ng mga nilalaman ng initrd na kapaligiran, kung saan ang mga susi para sa pag-decrypting ng FS ay tinutukoy (halimbawa, maaaring palitan ng isang umaatake ang initrd at gayahin ang isang kahilingan sa password; upang maiwasan ito, isang ang na-verify na pag-download ng buong chain ay kinakailangan bago i-mount ang FS).
Sa kasalukuyang anyo nito, ang Fedora installer ay may opsyon na i-encrypt ang mga partisyon sa block level gamit ang dm-crypt, gamit ang isang hiwalay na passphrase na hindi nakatali sa user account. Itinatampok ng solusyon na ito ang mga problema tulad ng hindi angkop para sa hiwalay na pag-encrypt sa mga multi-user system, kawalan ng suporta para sa internasyonalisasyon at mga tool para sa mga taong may mga kapansanan, ang posibilidad ng mga pag-atake sa pamamagitan ng bootloader spoofing (ang isang bootloader na naka-install ng isang attacker ay maaaring magpanggap bilang orihinal na bootloader. at humiling ng password sa pag-decryption), ang pangangailangang suportahan ang framebuffer sa initrd para mag-prompt ng password.
Pinagmulan: opennet.ru