Dotaz: sifrovat cely root nebo home staci?

[anon123]

Ahoj.

Prave jsem vyzkousel sifrovani disku pomoci LUKS. Zajima me vas nazor, jestli sifrovat cely root nebo jen home?

Me osobne pripada sifrovani celeho rootu zbytecne, jelikoz to jsou vlastne jen balicky, ktere si kazdy muze stahnout. Jediny home obsahuje osobni data.

Odpovědi

[blami]

osobne sifruji uplne cely disk a to z nekolika duvodu:

- ve /var /srv atd. muze byt dost dat jako napriklad obsah databazi, crontab, maily nedorucene do ~/Mail atd. Stejne tak v /etc muze byt rada souboru/certifikatu obsahujici ruzna hesla (treba ne primo Vase), ktera mohou potencialnimu utocnikovi pomoci najit co hleda nebo mu dat indicie.

- swap - pokud Vas system odklada na disk, je prave swap nejzranitelnejsi misto, protoze se tam davaji data, ktera se uz nevejdou do pameti (mezi nimi muze klidne byt heslo ktere si pamatuje Vas ucetni program atd.)

- ve vetsim mnozstvi zasifrovanych dat se hure hleda jehla :)

- pouzivam xts-twofish algoritmus s LUKS postavenym nad LVM, takze heslo zadavam prave jednou pri initu

- na laptopu (5k3 disk/C2D 1.83GHz) nepocituji zadny rychlostni rozdil oproti plain systemu

[anon123]

Diky za cenne info. Zasifruji to teda cele.

[pht]

IMHO nemá cenu šifrovat vše, přináší to více problémů než pozitiv.

Jediný Váš důležitý argument je ten první. Ale víte vůbec proč se /var jmenuje "var"? Protože se do něj ukládají data která se mění. Na starších systémech byl /var (a další) připojen pro čtení a zápis a zbytek byl třeba jen pro čtení nebo přes síť. Ostatně různá embedded zařízení se této tradice drží dodnes. Stačí se jí držet taky a cokoliv proměnného (tedy specifického pro systém) ukládat na šifrovaný oddíl.

Zbytek argumentů je mimo mísu.

[YYY]

Myslim, ze ten swap rozhodne mimo misu neni. Daji se v nem najit zajimave veci. Nerikam, ze ho sifruji, ale rozhodne je bezpecnejsi mit ho kryptovany.

[pht]

Spousta aplikací umí svoje stránky s citlivými daty zamknout v paměti. Nebo lze swap vypnout úplně. Samozřejmě jde swap i zašifrovat, ale to je něco jiného než šifrování root oddílu.

[petr_p]

Předně musíte identifikovat hrozby, vyhodnotit rizika a podle toho teprve můžete začít plánovat zabezpečení.

Takže pokud je pro vás problém, že vám nepřítel ve vaší nepřítomnosti upraví kořenový systém nebo jádro, tak musíte šifrovat vše a jádro s initram diskem si nosit s sebou (nebo použít TPM).

Pokud vám jde jenom o únik dat po odcizení stroje, pak stačí šifrovat jen to, kam zapisujete citlivá data. Tedy /home, /tmp, /var, pokud máte odkládací oddíl, tak i ten.