एन्क्रिप्टेड के लिए कोई कारण /?


9

मैं लिनक्स का बहुत बड़ा प्रशंसक हूं और अभी और फिर नए डिस्ट्रोस की कोशिश करना पसंद करता हूं। मैं आमतौर पर एक एन्क्रिप्टेड विभाजन में एक lvm में अपने घर के फ़ोल्डर और जड़ें रखता हूं, लेकिन यह हर initramfs निर्माण प्रक्रिया के साथ बोझिल हो जाता है जो पिछले एक की तुलना में अधिक विदेशी है।

मैं गोपनीयता को महत्व देता हूं, लेकिन मेरी अधिकांश मूल्यवान जानकारी या व्यक्तिगत होम फ़ोल्डर्स में संग्रहीत है। इसके अलावा, मैंने GPT का उपयोग करके विभाजन किया, इसलिए कई विभाजन एक lvm के बाहर भी सेटअप करने के लिए कठिन नहीं हैं।

तो सवाल यह है: क्या रूट क्रिप्टिंग और lvm-ing का "/" इसके लायक है, विशेष रूप से सभी शुरुआती यूजरस्पेस परेशानी से मुझे निपटना है?


2
शायद मैंने जो कुछ उल्लेख किया है वह स्वैप है। मैं लैपटॉप पर काम करता हूं इसलिए मैं अक्सर स्वैप-टू-डिस्क का उपयोग करता हूं। यह एक आसानी से शोषक विशेषता है जब तक कि विभाजन को एन्क्रिप्ट नहीं किया जाता है और क्योंकि इस तरह के स्वैप को माउंट करने से पहले रूट माउंट किया जाता है इसका मतलब है कि मैं बस के रूप में / साथ ही माउंट होने पर भी हो सकता है।
निकिताइतु

जवाबों:


12

एन्क्रिप्टेड रूट और शुरुआती यूजरस्पेस के साथ सभी परेशानी आमतौर पर पहले से ही आपके वितरण द्वारा नियंत्रित की जाती है (जहाँ तक मुझे पता है फेडोरा, डेबियन, उबंटू और ओपनएसयूएसयूएस समर्थन एन्क्रिप्टेड रूट आउट ऑफ द बॉक्स)। इसका मतलब है कि आपको सेटअप की देखभाल करने की आवश्यकता नहीं है।

एन्क्रिप्ट करने / करने का एक कारण सिर्फ यह है कि आप किसी भी जानकारी को लीक न करें। अस्थायी डेटा लिखने वाले प्रोग्रामों के बारे में सोचें / tmp में लॉग इन करें, जैसे कि यूज़रनेम / पासवर्ड / इन / लॉग / कॉन्फिगरेशन की संवेदनशील जानकारी युक्त पासवर्ड लॉग करें, जिसमें पासवर्ड की तरह / etc / fstab या रूट यूज़र के शेल हिस्ट्री में कुछ कमांड्स हों।

विभाजन के बजाय LVM का उपयोग करने से एक बड़ा लाभ होता है, आप आसानी से अपनी डिस्क को फिर से विभाजित करने की आवश्यकता के बिना तार्किक संस्करणों का आकार बदल / बदल / हटा सकते हैं, यह विभाजन (GPT या MBR) का उपयोग करने की तुलना में अधिक सुविधाजनक है


मेरे लिए LVM हमेशा एक वास्तविक मानक रहा है, यह विशेष रूप से बहु-बूट वातावरण में पारंपरिक विभाजन पर इतना लचीलापन प्रदान करता है। जब तक मैं पहले से ही initramfs-tools और mkinitcpio का उपयोग करना सीख लेता हूं, तब तक मैं किसी भी अन्य ramfs उपकरण को सीख सकता हूं जो कुछ विदेशी डिस्ट्रो को पेश करना होगा। : डी
निकिताइतु

1
@vitiv सिर्फ रिकॉर्ड के लिए initramfs-tools में उत्कृष्ट क्रिप्टोरूट एकीकरण है, बस cryptsetup स्थापित करें, appropiate / etc / crypttab बनाएं, समायोजित करें / etc / fstab और आप कर रहे हैं।
उलरिक डांगेल

10

/etc, /varऔर /tmpमन में आया। सभी संभावित रूप से संवेदनशील सामग्री हो सकते हैं। सभी को अलग-अलग वॉल्यूम दिए जा सकते हैं, लेकिन इनमें से प्रत्येक का रूट डायरेक्टरी के समान फाइल सिस्टम पर होना आम है। हो सकता है कि आप अपने स्वयं के संस्करणों में एक या एक से अधिक ले गए हों, लेकिन क्या आपने उन सभी को स्थानांतरित कर दिया है?

  • /etc शामिल हैं:

    • हैशेड पासवर्ड; संभवतः कई प्रकार, जैसे कि /etc/shadowऔर/etc/samba/smbpasswd

    • विभिन्न प्रकार की निजी कुंजी: एसएसएल, एसएसएच, केर्बरोस ...

  • /var शामिल हैं:

    • /var/log, जिनमें से कई सामग्री को केवल जड़ से पढ़ा जा सकता है क्योंकि उनमें संवेदनशील डेटा हो सकता है; उदाहरण के लिए, /var/log/httpd/access_logGET डेटा हो सकता है जो एक वेब साइट के उपयोगकर्ताओं द्वारा अनएन्क्रिप्टेड प्रविष्टियाँ हैं, और इसलिए संवेदनशील हो सकता है।

    • डेटाबेस फ़ाइलें; /var/lib/mysqlउदाहरण के लिए, MySQL आम तौर पर अपनी तालिका और अनुक्रमणिका फ़ाइलों को संग्रहीत करता है

  • /tmpइसमें अस्थायी फ़ाइलें शामिल हैं, जो संवेदनशील नहीं लग सकती हैं, लेकिन यूनिक्स सॉफ़्टवेयर के खिलाफ बहुत सारे हमले हैं, जिसमें एक अस्थायी फ़ाइल को संशोधित या स्निप करने में सक्षम होने के कारण दौड़ की स्थिति शामिल है, जबकि प्रक्रिया इसका उपयोग करने की कोशिश कर रही है। मुझे पता है कि कई मामलों में, फ़ाइल सामग्री केवल अल्पकालिक तरीके से संवेदनशील होती है (अर्थात रिबूट के माध्यम से नहीं) लेकिन मुझे लगता है कि कुछ कार्यक्रम चिपचिपे बिट्स और mkstemp (3) के आधार पर हो सकते हैं जो अस्थायी रूप से लंबे समय तक संवेदनशील रहने के लिए व्यवहार करते हैं डेटा, भी।


3
/ etc और / var एक अच्छा बिंदु हैं। के रूप में / tmp के लिए लगभग हमेशा इसे tmpfs के रूप में सेट करते हैं।
निकितातु

4

एक अन्य कारण फाइलसिस्टम से छेड़छाड़ को रोकना है। एक बार एन्क्रिप्ट किए जाने के बाद, यह कुछ भी करने के लिए बहुत अधिक जटिल है जो आपको अगले बूट पर काट सकता है, जैसे आपके फाइलसिस्टम पर एक रूटकिट रखकर (लाइव सीडी को बूट करके या अस्थायी रूप से अन्य मशीन पर एचडीडी को स्थानांतरित करके)। आपकी कर्नेल (और initrd) अभी भी असुरक्षित हैं, लेकिन सुरक्षित बूट (ठीक से हस्ताक्षरित बूट श्रृंखला के साथ) का उपयोग करके या एक सुरक्षित हटाने योग्य डिवाइस से बूट करके (जैसे कि एक फ्लैश ड्राइव या मेमोरी कार्ड जो आपके पास है) समय)।


वास्तव में, अगर घर के अगले बूट से पहले सभी बायनेरिज़ के साथ छेड़छाड़ की जा सकती है तो / होम का एन्क्रिप्शन बेकार है। मैं कहूंगा कि यह सबसे महत्वपूर्ण जवाब है। / होम एन्क्रिप्शन केवल अचानक चोरी से बचाता है
अनंत-वगैरह
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.