Lennart Poettering: Bezpečné bootování a šifrování disků v Linuxu

Lennart Poettering se v příspěvku na svém blogu podrobně věnuje bezpečnému bootování a šifrování disků v linuxových distribucích. Začíná kontroverzně: "Linux již dlouho podporuje šifrování disků a technologie jako UEFI SecureBoot a TPM. Jejich nastavení ale ve většině linuxových distribucí pokulhává. Ve skutečnosti jsou data pravděpodobně bezpečněji uložena na zařízeních s ChromeOS, Android, Windows nebo MacOS než v běžných linuxových distribucích".

23.9.2021 13:11 | Ladislav Hagara | Zajímavý článek

Komentáře

[svěděk systemd]

Na počátku byl systemd, ten systemd stvoril Lennart, ten systemd byl Lennart. Všechno povstalo skrze něj a bez něj nepovstalo nic, co jest. V něm byl život a život byl světlo lidí. Ten systemd v Linuxové tmě svítí a tma jej nepohltila.“ Amen

[svěděk systemd]

btw

Ve skutečnosti jsou data pravděpodobně bezpečněji uložena na zařízeních s ChromeOS, Android, Windows nebo MacOS než v běžných linuxových distribucích".

hm měl pravdu

[Josef Pepik]

Začíná kontroverzně

Začíná uprimně;

[R]

Kedze mam pocitac fyzicky zabezpeceny, tak su moje nezasifrovane data v Linuxe podstatne bezpecnejsie ako keby boli "bezpecne" zasifrovane vo Windows (so Secure Boot a TPM), Androide, iOS a podobnych srackach. Tie su plne nedoveryhodneho softwaru, ktory tie data odosiela na rozne servery.

[polo23]

... a kdyz mam disk asifrovany pomoci LUKS, tak to je taky malo? Je to horsi nez Android, ChromeOS atd.?

[Josef Pepik]

Jejich nastavení ale ve většině linuxových distribucí pokulhává.

[polo23]

Jasne, ale ja to beru tak, ze si to nastavim (nakonfiguruji sam). Napr. zasifruju si /home

cryptsetup --type luks2 --cipher aes-xts-plain64 --hash sha512 --key-size 512 --pbkdf argon2id luksFormat device

To je taky slabe?

[mh]

mas tam chybu, bez --disable-nsa ti to odemkne kazdy servisak s univerzalnim klicem

[polo23]

Ted nevim jestli si ze me delas srandu, ale nemuzu tu volbu --disable-nsa vygooglit. Nikde nic...

[Dirka]

pac si z tebe dela srandu

[Ovoce]

Mějte trochu zodpovědnosti vy blbouni, teď si půlka kluků, co to četla, zbytečně smazala všechno porno.

[Dirka]

vsechno porno restornes pres --enable_disabled_nsa (nicmene zalezi jak moc honis, pak sou jeste lepsi cheaty)

[JZD]

Tak to dopadá když se porno nezálohuje na uložto.

[/dev/ka]

porno sa zálohuje na pornfile.cz

[Michal Kubeček]

To je ovšem sexismus a zastaralé genderové stereotypy. Měl byste se stydět.

[Radek]

Neeee, on to myslí vážně.

[Josef Pepik]

Problem dle clanku je ale hlavne v overovani behem faze iniciace. ... Ja sam nikdy LUKS nepouzival.

Ctete clanek..

[Marp]

Two more interesting attack scenarios go something like this:

oba jsou fantasmagoricke, mozna tak v am. filmech nebo ve velkych korporacich viz autor. Domaci bez hodne tajnych dat, tomu ten LUKS bohate staci. Kdyz o techto scenarich chce ale nekdo psat, kdyz ho to treba pri tom vzrusuje, citi napeti, budiz. Me treba otravovaly i vyskakovaci zpravy Selinuxu ve Fedore, jestli me to melo pred necim chranit, me to spis omezovalo, aniz bych vedel co to chce, vetsinou jsem zvlolil tlacitko ignorovat, toho asi chtel autor toho okenka docilit, nebo fakt nevim.

[Jendа]

Není, on mluví o případu, kdy ti někdo na počítač v době tvé nepřítomnosti nainstaluje backdoor (ty ten disk s LUKSem nejspíš odemykáš z initramdisku - tak ti do initramdisku přidá program, který heslo někam uloží a po připojení k síti odešle).

[Jendа]

Ve skutečnosti jsou data pravděpodobně bezpečněji uložena na zařízeních s ChromeOS, Android, Windows nebo MacOS než v běžných linuxových distribucích

To platí jen za předpokladu, že projdete správně tím minovým polem - což je dost složité. I pokud nebudeme předpokládat zlý úmysl výrobce uzavřeného OS (ať už přidání backdooru, nebo extrakci různé „telemetrie“ pro prodej reklamním společnostem), tak třeba u TPM + Windows + Bitlocker to ještě nedávno fungovalo tak, že TPM vydalo automaticky klíč při bootu na základě ověření systému - jenže TPM byla separátní součástka na desce, připojená sběrnicí, která šla triviálně sniffovat. I dneska s TPM v procesorech je to problematické, protože sice nejde extrahovat klíč přímo z TPM, ale protože se klíč nahraje automaticky při každém bootu, tak máte nekonečně pokusů na coldboot útok -- zatímco jinak máte buď jeden (našli jste ho zapnutý) nebo nula (vypnutý). Pokud navíc TPM neprovádí kryptografické ověření modulů RAM, můžete je vyměnit za nějaké, u kterých víte, že coldboot u nich dobře funguje. U Androidu se to pak dá zase zkazit třeba tím, že USB port podporuje různé alternativní módy, a na některém z nich je vystrčený neautentizovaný debug. A pak samozřejmě různými doprasenými a backdoornutými programy, kterých je to plné.

[Pavel 'TIGER' Růžička]

Data mohu klidně zabezpečit tak, abych se k nim nedostal ani já sám. Ale je to skutečně potřeba mít to spuštěné od základu? Poslední dobou se začínám setkávat s případy, kdy se lidé nemohou dostat ke svým datům a ne kvůli nedostatečnému zálohování, ale právě kvůli jejich zabezpečení. Za mne osobně všeho moc škodí.

[Miriam]

Místní pedofilové a další úchyláci, co máte potřebu něco skrývat, jak mám šifrovat disk na Windows? Dřív byl TrueCrypt, pak do toho začaly rubat tajné služby a vývoj ukončili s nějakým pochybným varováním. Když hledám cokoliv, tak padaj nějaké výchozí windows sračky. Pamatuju si dobu před deseti léty, kdy každý slušný člověk všechno šifroval, poslední dobou jsou i flešky s citlivými daty kompletně free.

[Max]

Napis si neco v Pyhonu, pro sifrovani jako heslo pouzij treba utrazvukovou pistalku jako v mel v tom dobrodruznem filmu ten maly chlapec kdyz chtel zavolat psa, jmenovalo se to myslim "Goro se vraci" apod. nebo si najdi nejakyho slovenskyho madara misenyho treba s cinanem. Indiana uz asi nesenes.

[Pavel 'TIGER' Růžička]

Jestli se nepletu, tak to nebyl film, ale seriál Goro bílý pes a ten chlapec, byl vlastně děvče. No i když podle Cimrmana mohl pouze dospívat dříve ... kdo ví?

[Miriam]

MAxi, nepřeháníš to trochu s hulením?