Do GRUBu v Librebootu byla přidána podpora adresáře /boot šifrovaného pomocí LUKSv2 s Argon2

Do GRUBu v Librebootu byla přidána podpora adresáře /boot šifrovaného pomocí LUKSv2 s funkcí pro odvození klíče Argon2. Implementace vychází z patchů pro Arch Linux.

21.8.2023 13:33 | Ladislav Hagara | Komunita

Komentáře

[Max]

Nepodporování LUKSv2 s Argon2 v Grubu je tu dlouho. Nevíte někdo, proč už dávno tato fce není součástí oficiálního Grub2 a místo toho se všude válejí patche, co to řeší?
Zdar Max

[Slavko]

Neviem, ale urobiť šifrovanie správne nie je vždy jednoduché, tak dúfam, že radšej ako urobiť to zle, zvolili, že je bezpečnejšie nerobiť to vôbec.

Osobne nie som zástanca šifrovania celého systému, dávam prednosť šifrovaniu len dátových partícií, takže mi podpora v GRUB nechýba.

Na druhej strane, šifrovanie jednotlivývh partícií vyžaduje venovať zvýšenú pozornosť tomu, ktorý program kde čo ukladá, čo nemusí byť vždy triviálne a šifrovať celé disky to zjednodušuje...

[k3dAR]

takze nesifrujes system a nevadi ze by ho nekdo mohl napadnout? nesifrujes swap a nevadi ze v hibernovanem mas citliva data? nesifrujes boot a nevadi ze nekdo tam hodi keyloger? ja teda vsude pouzivam sifrovani celeho disku LUKS2 + Argon2 a bootloader sicherboot@systemd-boot, podepsane vlastnima efi klicema a smazane ty od vyrobce+mikrosoftu...

[petr_p]

smazane ty od vyrobce+mikrosoftu

Žiješ v bludu. Kdyby se ti opravdu podařilo odstranit tyto klíče, tak ti nejen nepůjde aktualizovat firmware, ale neprojde ani POSTem, protože EFI firmware se skládá se samostatně podepsaných modulů. Takže buď tam ty klíče stále jsou, nebo tvůj firmware neověřuje aktualizace a svoje moduly.

[Peter Golis]

Žiješ v blude. EFI Firmware nemá byť prečo podpísaný Microsoftom, ak človek nepoužíva HW od Microsoftu. Kľúče od výrobcu HW na overenie integrity FW sú niečo iné ako kľúče pre štart operačného systému.

Dá sa to jednoducho overiť. Stačí si naštartovať inštalačné médium od MS, alebo podpísané MS či nepodpísané. Ak to prejde, tak je to blud. Mne to neprešlo. Prechádza mi len môj kľúč ktorý mám pod svojou správou.

[k3dAR]

presneji "EFI klice pro SecureBoot" (DB/KEK/PK) kdyz ty puvodni smazu, nenastartuju se SecureBoot instalacku Ubuntu (pred smazanim se SecureBoot ano) ani Windows, v BIOSu ve spravce klicu videt nejsou, v efivarfs videt nejsou...

[k3dAR]

jinak samozrejme ze tam nekde schovane jsou, protoze v BIOSu muzes dat restore stock keys, ale nenastartujes jima podepsanej zavadec

[plostenka]

U beziciho stroje je sifrovany root k nicemu. Kdyz ma utocnik pristup k vypnutemu/hibernovanemu hw, tak jsi stejne prohral.

[k3dAR]

tak pokud ma pristup kdyz o tom nevim, rozebere a preflasne bios a vypne secureboot, v efi mi podstrci keyloger, tak ano, ale pokud ten nb mi nekdo ukradne tak se k nicemu z disku (krome EFI oddilu) nedostane a pokud se mi ukradenej vrati tak si preflashnu bios, poresim opet efi klice a obnovim efi oddil ze zalohy

[plostenka]

Zlodej mel ntb v ruce nekolik (desitek) hodin, to je dost casu na rozsroubeni, (dumpnuti disku) a instalaci hw keyloggeru ... pak staci pockat, az se prihlasis do obnoveneho systemu. Jasne, bezny cikan se s tim obtezovat nebude... vzda to hned jak neuvidi windows.

A pro opravdu vazne zajemce o tvoje data je tu metrova trubka :)

[Max]

Lol, tak na takový argumenty vážně nejde nic namítat :D. Je to prostě tak, když tě někdo zdroguje, mučí atd., tak se k tvým datům dostane. Šifrování je tedy naprosto zbytečné :D.
Zdar Max

[plostenka]

Vubec me neprekvapuje, ze jsi vynechal prvni pulku, a z druhe vyvodil radikalni zaver...

Ja treba sifruju jen data - at se zlodej klidne podiva v /etc na nastaveni tiskaren, lol. At si muzu fixnout grub z livecd, nebo disk nabootovat v jinem stroji kdyz prvni stroj odejde.

[Max]

Je to odpověď úplně ve stejném duchu, takže by tě opravdu nemělo nic překvapit :D.
To s tou opravou grubu z livecd nechápu. Kde by přesně měl být problém v tom, když by to celé bylo šifrované? Nebo v čem by měl být problém nabootovat v jiném stroji? Dělám obojí a no problemo.
Zdar Max

[Max]

Jinak v /etc máš i hesla. Takže tě netrápí, když by se nějaké tvé heslo provařilo? Hmm, ok :).
Zdar Max

[Slavko]

Je to prostě tak, když tě někdo zdroguje, mučí atd., tak se k tvým datům dostane. Šifrování je tedy naprosto zbytečné

Do určitej miery áno. Bezpečnosť dát nie je binárha hodnota, a ich šifrovanie je len jedno z opatrení. Ak nie sú všetky súčasti implementované správne, ľahko môžu úplne negovať tie zvyšné.

Šifrovanie pripojených partícií dáta nechráni, pretože OS má prístup k dešifrovaným dátam, a teda i každý, kto má prístup do systému (a má na to práva). Šifrovanie disku pomáha, len keď niekto získa prístup k nepripojenej partícii, čiže napr. k vyradenému disku, či k stratenému/ukradnutému kľúču USB.

S vypnutým počítačom to je trochu zložitejšie. Pri serveri chcete, aby sa systém spustil bez čakania na zadanie kľúča, čiže kľúč je prítomný niekde v systéme, a to v dešifrovanej forme, takže platí predošlý odsek... Pri notebooku/PC to je iné, čakanie na zadanie hesla je možné, ale sú "ľudia" ochotní ho zakaždým zadávať? Osobne notebook nepoužívam na nič, čo je hodné ochrany, tak to vôbec neriešim... Na PC citlivé dáta odomykám len keď sú potrebné.

Pred aplikovaním zabezpečenia je potrebné správne vyhodnotiť riziká a zvoliť potrebný stupeň ochrany a tiež správny pomer medzi bezpečnosťou a použiteľnosťou, inak môže byť zabezpečenie väčšou prekážkou pre používateľa, ako pre útočníka.

Podľa mojich skúseností, väčšina ľudí, ktorí sa chvália ako všetko šifrujú, často len zbytočne míňa výkon CPU s minimálnou reálnou ochranou dát.

[hefo]

Odložím si tvoj príspevok, a prečítam si ho znovu, až začnem pracovať pre tajné služby...

[Peter Golis]

Odkedy je povolená hibernácia so zapnutým secureboot na nekryptovaný swap?

Schválne, zaujíma ma to. Porozprávaj, popreháňaj. A predveď sa. Hlavne povedz v akom OS je to povolené, Linux to má dávno zakázané.

[[Jooky]]

takze nesifrujes system a nevadi ze by ho nekdo mohl napadnout? nesifrujes swap a nevadi ze v hibernovanem mas citliva data? nesifrujes boot a nevadi ze nekdo tam hodi keyloger? ja teda vsude pouzivam sifrovani celeho disku LUKS2 + Argon2 a bootloader sicherboot@systemd-boot, podepsane vlastnima efi klicema a smazane ty od vyrobce+mikrosoftu...

Ono sa treba na to pozriet, co je vlastne riziko ... ja napr nesifrujem /boot, ale sifrujem komplet vsetko ostatne (system, swap, /home, data, etc.). Ak by mi niekto laptop ukradol, tak podstatne data su chranene. Ked by sa mi ukradnuty laptop vratil, tak by som ho aj tak nepouzival a zo zalohy si nainstaloval novy ... principialne je stale moznost "evil maid". Poslednych 5+ rokov uz necestujeme sluzobne a vsetko sa riesi na dialku. Cize ak by mal niekto fyzicky pristup k laptopu u mna doma, tak mam vacsi problem ako len nesifrovany /boot.

Dovod preco nesifrujem, je chybajuca podpora v instalatore, ked som som si instaloval OS na laptope. Teraz planujem taky razantny upgrade cez wipe + cisty install. Ked bude podpora v instalatore, tak dam aj /boot. Ked nie, tak ostanem pri aktualnom stave.

Je idealne mat vsetko "na maximum", ale realne je lepsie najst nejaku taku rozumnu hranicu. Kym nebude "out of box" podpora na sifrovany /boot, tak to stale bude hromada manualnych akcii kazdy update OS. Pritom pridana hodnota uz nie je az taka, oproti stavu, co mam aktualne ... BIOS mam zamknuty, bootovanie povolene len z interneho SSD ... nahodny okoloiduci tomu nic nespravi a ked bude mat niekto take odhodlanie, ze laptop rozoberie, tak to uz moze donho dat iny disk, alebo hw keyloger ...

[v2]

Šifrování celého disku je ménně náročné, ne?