Будь-яка причина для зашифрованого /?

Я великий фанат Linux і люблю випробовувати нові дистрибутиви час від часу. У мене зазвичай є домашні папки та коріння у lvm ​​на вершині зашифрованого розділу, але це, як правило, стає громіздким, коли кожен процес створення initramfs є більш чужим, ніж останній.

Я ціную конфіденційність, але більшість моєї цінної інформації чи особистої інформації зберігається в домашніх папках. Більше того, я розділив за допомогою GPT, тому декілька розділів не так важко налаштувати навіть поза lvm.

Отже, питання: чи варто цього коріння криптовалюти та lvm-ing "/", особливо з усіма проблемами раннього користувацького простору, з якими я маю справу?

Перш за все, клопоти з зашифрованим коренем і ранньою просторою користувачів зазвичай вже обробляються вашим дистрибутивом (наскільки я знаю, Fedora, Debian, Ubuntu і OpenSUSE підтримують зашифрований корінь поза коробкою). Це означає, що вам не доведеться піклуватися про саму настройку.

Однією з причин шифрування / є просто переконатися, що ви взагалі не просочуєте інформацію. Подумайте про програми, що записують тимчасові дані в / tmp , файли журналів, що містять конфіденційну інформацію, наприклад, ім’я користувача / паролі в / var / log або файли конфігурації, що містять такі облікові дані, як пароль в / etc / fstab, або деякі команди в історії оболонки кореневого користувача.

Використання LVM замість розділів має одну велику перевагу, ви можете легко змінити розмір / перейменувати / видалити логічні томи без необхідності перерозподілу самого диска, це просто зручніше, ніж використання розділів (GPT або MBR)

/etc, /varі /tmpприходьте до розуму. Усі потенційно можуть мати чутливий вміст. Всім можна надати окремі томи, але загальним є те, що кожен з них знаходиться у тій же файловій системі, що і кореневий каталог. Можливо, ви перенесли один чи декілька у свої власні томи, але чи перенесли ви їх усі?

• /etc містить:

  • хешовані паролі; можливо, кілька типів, таких як /etc/shadowі/etc/samba/smbpasswd

  • приватні ключі різного роду: SSL, SSH, Kerberos ...

• /var містить:

  • /var/logбагато з яких вміст призначений для читання лише коренем, оскільки він може містити конфіденційні дані; наприклад, /var/log/httpd/access_logможе містити дані GET, які є незашифрованими записами користувачами веб-сайту, і тому можуть бути чутливими.

  • файли бази даних; /var/lib/mysqlНаприклад, MySQL зберігає файли таблиці та індексів

• /tmpмістить тимчасові файли, які можуть не бути чутливими до звуку, але існує чимало атак на програмне забезпечення Unix, що передбачає гоночні умови через те, що можна змінювати чи чинити тимчасовий файл, поки процес намагається його використовувати. Я знаю, що у багатьох випадках вміст файлів є чутливим лише у короткостроковому періоді (тобто не через перезавантаження), але я думаю, що деякі програми можуть залежати від способу, коли липкі біти та mkstemp (3) поводяться тимчасово кешувати довговічні чутливі дані теж.

Ще одна причина - запобігання підробці файлової системи. Після шифрування зробити набагато складніше зробити все, що могло б вас перекусити при наступному завантаженні, наприклад, розмістити руткіт у вашій файловій системі (будь то завантаженням живого компакт-диска або тимчасовим переміщенням hdd на іншу машину). Ваше ядро ​​(і initrd) все ще вразливі, але це можна усунути за допомогою безпечного завантаження (із належним чином підписаним ланцюгом завантаження) або завантаженням із безпечного знімного пристрою (наприклад, флеш-пам’яті чи картки пам’яті, якими ви керуєте всіма час).