Зашифрована домашня папка все ще доступна після виходу

У мене є обліковий запис із зашифрованою домашньою папкою, ви не можете отримати доступ до простих текстових даних користувача у їх домашній папці, якщо той користувач ще не ввійшов у систему, оскільки система останнього завантаження. Це я очікував, оскільки насправді це не може бути практично можливим отримати доступ до домашньої папки користувача без введення пароля.

Однак я виявив, що коли користувач із зашифрованою домашньою папкою входить, а потім виходить із системи, дані простий текст у їх домашній папці все ще доступні для інших користувачів. Звичайно, потрібні достатні права доступу.

wне відображає список користувачів і вихід sudo pgrep -u <username>пустий, що вказує на те, що у користувача немає жодних запущених процесів.

У чому причина такої поведінки? Чому б просто не заблокувати домашню папку користувача після виходу з системи?

Відома помилка

Якщо я правильно розумію, це відома помилка.

Дивіться це посилання: wiki.archlinux.org/index.php/ECryptfs

Прокрутіть униз до рожевого абзацу

Попередження: На жаль, автоматичне відключення чутливе до розриву із системою, і проти нього подаються помилки ...

Обхід

Як це зараз, то вам краще закрили або перезавантаження , щоб видалити сліди (Це НЕ досить , щоб вийти).

Я не можу це перевірити чи підтвердити, але якщо припустити, що ви використовуєте ecryptfs(що пропонує Ubuntu під час встановлення, IIRC), зашифровані дані зберігаються у прихованій папці /home/.encryptfs/$USERта монтуються у фактичне місце розташування домашньої папки за допомогою ecryptfsдрайвера під час реєстрації. в.

Швидше за все, тоді відбувається те, що коли ви виходите з системи, він не може автоматично відключити цей каталог, тому файли все ще доступні. Це може бути викликано ...

• погана конфігурація (можливо, її потрібно було налаштувати для відключення під час виходу, але не було)
• несподіваний тип виходу (іноді ці рішення працюють для входу в систему / виходу з DM, але інакше не працюють)
• якщо демонтаж обробляється сценарієм виходу (не обов'язково), щось, що передує команді unmount, може вийти з ладу і спричинити вихід сценарію достроково.

Одне, що може допомогти вам перевірити це - це запуститись sudo mount | grep homeперед входом, після входу та після виходу, щоб побачити, чи встановлено щось, що стосується home. Ви також можете шукати /etc/fstabвідповідні записи. Нарешті, є деяка конфігурація /home/.ecryptfs/$USER/.ecryptfs/з відповідними налаштуваннями для автоматичного налаштування / відключення.

Корисну інформацію ecryptfsможна знайти у цій відповіді та у завжди корисній ArchWiki .

Відредагуйте /etc/systemd/logind.confта встановітьKillUserProcesses=yes

Зверніть увагу , що це порушує фонові програми, screen, tmuxі тому подібні ...

Це питання тут іде до нього детальніше. Я вважаю, що визначення нового системного сервісу непотрібне (або, точніше, не бажана поведінка, оскільки його викликають як гачок відключення, а не після закінчення сеансу користувача).

/unix/251902/ecryptfs-auto-umount-does-not-work

Я досліджував цю проблему досить довгий час, тобто незашифрована файлова система залишається встановленою після виходу користувача.

Я використовував "ecryptfs-migrate-home -u user", щоб створити mount. дотримуйтесь вказівок і все працює, за винятком автоматичного відключення при виході.

Я порівняв конфігураційні файли в /etc/pam.d/ з документацією на пам_ecryptfs і виявив деякі відмінності. ecryptfs був у 4 файлах конфігурації pam.d, тоді як документи pam_ecryptfs вказують лише на 2 файли, які потребують / повинні / підтримують ecryptfs, наприклад,

   /etc/pam.d/common-auth:
              auth    required        pam_ecryptfs.so unwrap
   /etc/pam.d/common-session:
              session optional        pam_ecryptfs.so unwrap

Отже, я прокоментував інші два екземпляри, перезавантажив, і все це спрацювало, автоматично встановлюється при вході в систему та автоматично вимикається під час виходу як для графічного, так і для консольного входу. (Я використовував альтернативні tty's для підтвердження з кореневого облікового запису)

Це 18.04 Lubuntu на ноутбуці, настільних комп’ютерах та віртуальних скриньках (гість Windows).

Мене цікавить досвід інших.

edit_1: покращена редакція. edit_2: додані результати тестів на робочому столі та VB.

Я роблю це зі сценарієм в rclocal

#!/bin/sh
#

while true; do
    if [ ! -d /run/user/1000 ]; then
        if [ -f /home/momo/.mounted ]; then
            umount /home/harry
        fi      
    fi

    if [ ! -d /run/user/1001 ]; then
        if [ -f /home/vm/.mounted ]; then
            umount /home/maud
        fi
    fi

    sleep 10
done
exit 0

Якщо вам не потрібен доступ із cron або на роботу (неінтерактивні завдання) до будь-яких домашніх каталогів, тоді вам просто потрібно прокоментувати рядок

session  optional        pam_ecryptfs.so unwrap

в /etc/pam.d/common-session-noninteractive.

Це призведе до відключення всіх зашифрованих домашніх каталогів, коли користувач вийде з системи.