Fedoran salaus on tarkoitettu turvaratkaisuksi käyttäjälle
Muutama päivä sitten uutinen kertoi asiasta Owen Taylor, GNOME Shellin luoja ja Pango-kirjasto sekä Fedora Workstation Development -työryhmän jäsen, esitti suunnitelman järjestelmäosioiden salaamiseksi ja käyttäjien kotihakemistot oletuksena Fedora Workstationissa.
Edut vaihtaaksesi oletuksena salaukseen sisältää tietosuojan jos kannettava tietokone varastetaan, suojaus laitehyökkäyksiä vastaan jätetty vartioimatta luottamuksellisuutta noudattaen ja eheys ilman turhia manipulaatioita.
Työasemien työryhmällä on ollut jo jonkin aikaa avoimia pyyntöjä Fedoran salauksen tilan parantamiseksi ja erityisesti päästäkseen siihen pisteeseen, että asennusohjelma voi salata järjestelmät oletuksena. Eteenpäin edetäkseni olen työstänyt vaatimusasiakirjaa ja suunnitelmaluonnosta.
Hyvin lyhyesti sanottuna suunnitelma on seuraava: Käytä tulevaa btrfs fscrypt -tukea järjestelmä- ja kotihakemistojen salaamiseen. Järjestelmä salataan oletusarvoisesti TPM:ään tallennetulla salausavaimella ja linkitetään käynnistyslataimen/ytimen/initrd:n allekirjoittamiseen käytettyihin allekirjoituksiin, mikä tarjoaa suojan peukalointia vastaan, kun taas kotihakemistot salataan salasanalla.
Suunnitelman mukaan valmis, he aikovat käyttää Btrfs fscryptia salaukseen. Järjestelmäosiot salausavaimet tallennetaan TPM-moduuliin ja niitä käytetään yhdessä digitaalisten allekirjoitusten kanssa käynnistyslataimen, ytimen ja initrd:n eheyden tarkistamiseen (eli järjestelmän käynnistysvaiheessa käyttäjän ei tarvitse syöttää salasanaa järjestelmäosioiden salauksen purkamiseksi).
Kotihakemistoja salattaessa avaimet ajoitetaan generoitumaan käyttäjän kirjautumisen ja salasanan perusteella (salattu kotihakemisto yhdistetään, kun käyttäjä kirjautuu järjestelmään).
Toteutuksen ajoitus aloitteen riippuu siirrosta jakelupaketista yhtenäiseen ytimen otteeseen UKI (Unified Kernel Image), joka yhdistää ohjaimen ytimen lataamiseksi UEFI:stä (UEFI Boot Stub), Linux-ytimen näköistiedosto ja initrd-järjestelmäympäristö ladattu muistiin tiedostossa.
Ilman UKI-tukea on mahdotonta taata initrd-ympäristön sisällön muuttumattomuutta, jossa määritetään FS:n salauksen purkamiseen tarvittavat avaimet (esim. hyökkääjä voi muuttaa aloituskoodia ja simuloida salasanapyyntöä, tämän välttämiseksi, varmennettu koko ketju on ladattava ennen FS:n asentamista).
Nykyisessä muodossaan Fedora-asennusohjelmalla on mahdollisuus salata osiot lohkotasolla dm-cryptillä käyttämällä erillistä tunnuslausetta, joka ei ole sidottu käyttäjätiliin.
Tämä pyyntö edustaa suurta muutosta Secure Bootista, johon panemme paljon vaivaa, mutta joka ei todellakaan tee paljon, johonkin, johon luotamme voimakkaasti tarjoamaan käyttäjälle ylimääräistä suojausta.
Olisin kiinnostunut kuulemaan muun muassa: * Onko asiakirjassa vaatimuksia, joita asiakirja ei täytä? * Onko olemassa muita uhkia, joita meidän pitäisi yrittää torjua? …
Tämä korjaus viittaa ongelmiin, kuten soveltumattomuuteen erilliseen salaukseen usean käyttäjän järjestelmissä, kansainvälistymisen ja vammaisten työkalujen tuen puute, hyökkäysten mahdollisuus käynnistyslataimen korvaamisen kautta (hyökkääjän asentama käynnistyslatain voi teeskennellä olevansa alkuperäinen käynnistyslatain ja pyydä salauksen purkusalasana), tarve tukea kehyspuskuria initrd:ssä salasanan pyytämiseksi.
Vihdoin jos olet kiinnostunut tietämään siitä lisää, voit tarkistaa yksityiskohdat Seuraavassa linkissä.