Dotaz: LUKS a zjištění hesla z klíče

[xkucf03]

Vzhledem k možnosti cryptsetup luksSuspend, který zahodí šifrovací klíče a zastaví všechny IO operace na daném zařízení (dokud se nezavolá luksResume), mne napadla taková konfigurace: disk bude rozdělen na dva oddíly a oba budou zašifrované LUKSem, na prvním bude systém a na druhém data. Abych nemusel při startu zadávat dvě hesla, budou u obou oddílů stejné (ale klíče budou jiné). Při opuštění počítače zavolám luksSuspend na datový disk – ten bude v bezpečí, zatímco systémový (asi včetně swapu) bude za určitých okolností napadnutelný (zmrazení paměti a následné vyčtení klíče).

Je nějaké riziko v tom, že hesla budou stejná? Předpokládám, že heslo se hned po dešifrování klíče zahodí a nikde v paměti se nedrží, ale nemůže útočníkovi pomoci, že zná šifrovaný i dešifrovaný klíč k systémovému disku, k tomu, aby zjistil heslo (a tím pádem i heslo ke klíči datového disku)?

---

---

Odpovědi

[NN]

Nekryptuj system pouze data a mas po problemu..

NN

[misch]

No, co jsou to vlastně data? Patří mezi ně i /etc, /root/.bash_history apod.? Já bych šifroval všechno :)

[Jendа]

Ano, má.

Franta: Heslo se hashuje, ale netuším, jestli nezůstane třeba v nějakém jaderném klávesnicovém bufferu. Dumpni si paměť (třeba virtuálu) a použij grep.

Já bych to řešil opačně - na datové partition měl klíč (soubor s náhodnými daty) k / a při bootu odemkl heslem datovou partition a z ní pak klíčem to /.

[xkucf03]

Ok, je to sice složitější*, ale zase je to jistota, vyřešeno.

*) odšifrovat jeden oddíl, na něm najít klíč a odšifrovat jím druhý -- místo použití jednoho hesla pro oba oddíly