Ada alasan untuk dienkripsi /?

9

Saya penggemar berat linux dan suka mencoba distro baru sekarang dan kemudian. Saya biasanya memiliki folder dan root di lvm di atas partisi terenkripsi, tetapi ini cenderung menjadi rumit dengan setiap proses pembuatan initramfs menjadi lebih asing daripada yang terakhir.

Saya menghargai privasi, tetapi sebagian besar informasi atau pribadi saya yang berharga disimpan dalam folder rumah. Selain itu, saya mempartisi menggunakan GPT, jadi beberapa partisi tidak terlalu sulit untuk diatur bahkan di luar sebuah lvm.

Jadi pertanyaannya adalah: Apakah root crypting dan lvm-ing layak, terutama dengan semua kerumitan pengguna awal yang harus saya tangani?

nikitautiu
sumber
2
Mungkin sesuatu yang seharusnya saya sebutkan adalah swap. Saya bekerja pada laptop jadi saya sering menggunakan swap-to-disk. Ini adalah fitur yang mudah dieksploitasi kecuali partisi dienkripsi dan karena pemasangan swap dilakukan sebelum root mount ini berarti bahwa saya mungkin juga me-mount / terlalu ketika saya di sana.
nikitautiu

Jawaban:

12

Pertama-tama kerumitan dengan root terenkripsi dan userspace awal biasanya sudah ditangani oleh distribusi Anda (sejauh yang saya tahu Fedora, Debian, Ubuntu dan OpenSUSE mendukung root terenkripsi di luar kotak). Itu berarti Anda tidak perlu mengurus pengaturan itu sendiri.

Salah satu alasan mengenkripsi / hanya untuk memastikan Anda tidak membocorkan informasi sama sekali. Pikirkan tentang program menulis data sementara ke / tmp , file log yang berisi informasi sensitif seperti nama pengguna / kata sandi di / var / log atau file konfigurasi yang berisi kredensial seperti kata sandi di / etc / fstab atau beberapa perintah dalam sejarah shell dari pengguna root.

Menggunakan LVM sebagai ganti partisi memiliki satu manfaat besar, Anda dapat dengan mudah mengubah ukuran / mengganti nama / volume logis tanpa perlu mempartisi ulang disk Anda sendiri, itu hanya lebih nyaman daripada menggunakan partisi (GPT atau MBR)

Ulrich Dangel
sumber
Bagi saya LVM selalu menjadi standar de facto, ia menawarkan begitu banyak fleksibilitas dibandingkan partisi tradisional terutama dalam lingkungan multi-boot. Juga selama saya sudah belajar bagaimana menggunakan initramfs-tools dan mkinitcpio, saya mungkin juga belajar alat ramf lain yang ditawarkan oleh beberapa distro eksotis. : D
nikitautiu
1
@vitiv hanya untuk catatan initramfs-tools memiliki integrasi cryptoroot yang sangat baik, cukup instal cryptsetup, buat appropiate / etc / crypttab, sesuaikan / etc / fstab dan Anda selesai.
Ulrich Dangel
10

/etc,, /vardan /tmpdatang ke pikiran. Semua berpotensi memiliki konten sensitif. Semua dapat diberikan volume terpisah, tetapi itu umum untuk masing-masing berada di sistem file yang sama dengan direktori root. Mungkin Anda telah memindahkan satu atau lebih ke dalam volume mereka sendiri, tetapi apakah Anda sudah memindahkan semuanya?

  • /etc mengandung:

    • kata sandi hash; mungkin beberapa macam, seperti /etc/shadowdan/etc/samba/smbpasswd

    • kunci pribadi dari berbagai macam: SSL, SSH, Kerberos ...

  • /var mengandung:

    • /var/log, banyak konten yang dimaksudkan untuk hanya-baca oleh root karena mungkin berisi data sensitif; misalnya, /var/log/httpd/access_logmungkin berisi data GET yang entri tidak terenkripsi oleh pengguna situs web, dan karenanya mungkin sensitif.

    • file basis data; MySQL biasanya menyimpan tabel dan file indeksnya /var/lib/mysql, misalnya

  • /tmpberisi file sementara, yang mungkin tidak terdengar sensitif, tetapi ada banyak serangan terhadap perangkat lunak Unix yang melibatkan kondisi balapan karena dapat memodifikasi atau mengambil file sementara saat proses mencoba menggunakannya. Saya tahu dalam banyak kasus, isi file sensitif hanya dalam cara jangka pendek (yaitu tidak melalui reboot) tapi saya membayangkan beberapa program mungkin tergantung pada cara bit sticky dan mkstemp (3) berperilaku untuk cache temporer yang tahan lama sensitif data juga.

Warren Young
sumber
3
/ etc dan / var adalah poin yang bagus. Adapun / tmp hampir selalu mengaturnya sebagai tmpfs.
nikitautiu
4

Alasan lain adalah mencegah gangguan pada sistem file. Setelah dienkripsi, jauh lebih rumit untuk melakukan apa pun yang dapat menggigit Anda pada boot berikutnya, misalnya menempatkan rootkit pada sistem file Anda (baik itu dengan mem-boot CD langsung atau memindahkan hdd ke komputer lain untuk sementara). Kernel Anda (dan initrd) masih rentan, tetapi itu dapat dikurangi dengan menggunakan boot aman (dengan rantai boot yang ditandatangani dengan benar) atau dengan boot dari perangkat yang dapat dilepas dengan aman (mis. Flash drive atau kartu memori yang Anda kendalikan semua) waktu).

peterph
sumber
memang, enkripsi / home tidak ada gunanya jika semua binari dapat dirusak sebelum pengguna melakukan boot berikutnya. Saya akan mengatakan ini saya akan jawaban yang paling penting. / enkripsi rumah hanya melindungi terhadap pencurian mendadak
infinite-