Penyulitan dalam Fedora bertujuan sebagai penyelesaian keselamatan untuk pengguna
Beberapa hari lalu berita itu tersebar Owen Taylor, pencipta GNOME Shell dan perpustakaan Pango, dan ahli Kumpulan Kerja Pembangunan Stesen Kerja Fedora, membentangkan rancangan untuk menyulitkan partition sistem dan direktori rumah pengguna secara lalai dalam Fedora Workstation.
Faedahnya untuk bertukar kepada penyulitan secara lalai termasuk perlindungan data sekiranya berlaku kecurian komputer riba, perlindungan terhadap serangan peranti dibiarkan tanpa pengawasan, menjaga kerahsiaan dan integriti tanpa memerlukan manipulasi yang tidak perlu.
Untuk beberapa lama, Kumpulan Kerja Stesen Kerja telah mempunyai permintaan terbuka untuk menambah baik keadaan penyulitan dalam Fedora, dan khususnya untuk sampai ke tahap di mana anda boleh mempunyai sistem penyulitan pemasang secara lalai. Untuk bergerak ke hadapan, saya telah mengusahakan dokumen keperluan dan draf pelan.
Dalam ringkasan yang sangat ringkas, rancangannya ialah: Gunakan sokongan btrfs fscrypt yang akan datang untuk menyulitkan sistem dan direktori rumah. Sistem akan disulitkan secara lalai dengan kunci penyulitan yang disimpan dalam TPM dan dipautkan kepada tandatangan yang digunakan untuk menandatangani pemuat but/kernel/initrd, memberikan perlindungan terhadap gangguan, manakala direktori rumah akan disulitkan menggunakan log masuk pengguna kata laluan.
Mengikut draf rancangan bersedia, mereka merancang untuk menggunakan Btrfs fscrypt untuk penyulitan. Untuk partition sistem, kunci penyulitan akan disimpan dalam modul TPM dan ia akan digunakan bersama-sama dengan tandatangan digital untuk mengesahkan integriti pemuat but, kernel dan initrd (iaitu, pada peringkat but sistem, pengguna tidak perlu memasukkan kata laluan untuk menyahsulit partition sistem).
Apabila menyulitkan direktori rumah, kunci dijadualkan akan dijana berdasarkan log masuk dan kata laluan pengguna (direktori rumah yang disulitkan akan disambungkan apabila pengguna log masuk ke sistem).
Masa pelaksanaan daripada inisiatif tersebut bergantung kepada peralihan daripada kit pengedaran kepada imej kernel bersatu UKI (Imej Kernel Bersatu), yang menggabungkan pemacu untuk memuatkan kernel daripada UEFI (UEFI Boot Stub), imej kernel Linux dan persekitaran sistem initrd dimuatkan ke dalam memori dalam fail.
Tanpa sokongan UKI, adalah mustahil untuk menjamin invarian kandungan persekitaran initrd, di mana kunci untuk menyahsulit FS ditentukan (contohnya, penyerang boleh menukar initrd dan mensimulasikan permintaan kata laluan, untuk mengelakkan ini, disahkan adalah perlu untuk memuatkan keseluruhan rantai sebelum memasang FS).
Dalam bentuk semasa, pemasang Fedora mempunyai pilihan untuk menyulitkan partition pada tahap blok dengan dm-crypt menggunakan frasa laluan berasingan yang tidak terikat pada akaun pengguna.
Permintaan ini mewakili peralihan besar daripada mempunyai Boot Selamat sebagai sesuatu yang kami usahakan dengan banyak, tetapi tidak banyak memberi manfaat, kepada sesuatu yang kami sangat bergantung pada untuk menyediakan lapisan keselamatan tambahan untuk pengguna.
Saya berminat untuk mendengar, antara lain: * Adakah terdapat sebarang keperluan yang tidak dapat dirakam oleh dokumen? * Adakah terdapat ancaman lain yang perlu kita tangani? …
Pembaikan ini menunjukkan isu seperti ketidaksesuaian untuk penyulitan berasingan pada sistem berbilang pengguna, kekurangan sokongan untuk pengantarabangsaan dan alat untuk orang kurang upaya, kemungkinan serangan melalui penggantian pemuat but (pemuat but yang dipasang oleh penyerang boleh berpura-pura menjadi pemuat but asal dan meminta kata laluan penyahsulitan), keperluan untuk menyokong framebuffer dalam initrd untuk meminta kata laluan.
Akhirnya sekiranya anda berminat untuk mengetahui lebih lanjut mengenainya, anda boleh menyemak perinciannya Dalam pautan berikut.