Thư mục nhà được mã hóa vẫn có thể truy cập sau khi đăng xuất

Tôi có một tài khoản với một thư mục nhà được mã hóa, bạn không thể truy cập dữ liệu văn bản đơn giản của người dùng trong thư mục nhà của họ nếu người dùng đó chưa đăng nhập, vì hệ thống đã khởi động lần cuối. Đây là những gì tôi mong đợi vì trên thực tế nó không khả thi để truy cập vào thư mục nhà của người dùng mà không cần nhập mật khẩu của họ.

Tuy nhiên, tôi thấy rằng khi người dùng có thư mục nhà được mã hóa đăng nhập và sau đó đăng xuất, dữ liệu văn bản đơn giản trong thư mục nhà của họ vẫn có thể truy cập được đối với người dùng khác. Tất cả các đặc quyền truy cập được yêu cầu, tất nhiên.

wkhông liệt kê người dùng và đầu ra sudo pgrep -u <username>trống, cho biết rằng người dùng không có bất kỳ quy trình đang chạy nào.

Lý do cho hành vi này là gì? Tại sao không khóa thư mục nhà của người dùng sau khi họ đăng xuất?

Lỗi đã biết

Nếu tôi hiểu chính xác, đây là một lỗi đã biết.

Xem liên kết này: wiki.archlinux.org/index.php/ECryptfs

Cuộn xuống đoạn màu hồng

Cảnh báo: Thật không may, tính năng ngắt kết nối tự động dễ bị hỏng với systemd và các lỗi được gửi chống lại nó ...

Làm việc xung quanh

Như bây giờ, bạn nên tắt hoặc khởi động lại tốt hơn để xóa dấu vết (Nó không đủ để đăng xuất).

Tôi không thể kiểm tra hoặc xác nhận điều này, nhưng giả sử rằng bạn đang sử dụng ecryptfs(đó là những gì Ubuntu cung cấp trong quá trình cài đặt, IIRC), dữ liệu được mã hóa được lưu trữ trong một thư mục ẩn /home/.encryptfs/$USERvà được gắn vào vị trí thư mục nhà thực tế của bạn bằng ecryptfstrình điều khiển khi bạn đăng nhập trong.

Rất có thể, sau đó, điều đang xảy ra là khi bạn đăng xuất, nó không thể tự động ngắt kết nối thư mục đó, vì vậy các tệp vẫn có thể truy cập được. Điều này có thể được gây ra bởi ...

• một cấu hình xấu (có lẽ nó được cho là được cấu hình để ngắt kết nối khi đăng xuất nhưng không được)
• loại đăng xuất không mong muốn (đôi khi các giải pháp này hoạt động cho đăng nhập / đăng xuất DM nhưng không hoạt động tốt)
• nếu việc ngắt kết nối được xử lý bởi một kịch bản đăng xuất (không nhất thiết là trường hợp này), một cái gì đó trước lệnh unmount có thể thất bại và khiến tập lệnh thoát ra sớm.

Một điều có thể giúp bạn kiểm tra điều này sẽ là chạy sudo mount | grep hometrước khi đăng nhập, sau khi đăng nhập và sau khi đăng xuất để xem liệu có bất cứ điều gì liên quan homeđang được gắn kết không. Bạn cũng có thể tìm kiếm /etc/fstabcác mục có liên quan. Cuối cùng, có một số cấu hình /home/.ecryptfs/$USER/.ecryptfs/với các cài đặt thích hợp để tự động đếm / ngắt kết nối.

Thông tin hữu ích về ecryptfscó thể được tìm thấy trong câu trả lời này và trong ArchWiki hữu ích .

Chỉnh sửa /etc/systemd/logind.confvà thiết lậpKillUserProcesses=yes

Lưu ý rằng điều này phá vỡ các chương trình nền, screen, tmux, và tương tự ...

Câu hỏi này ở đây đi vào nó chi tiết hơn. Tôi thấy việc xác định một dịch vụ systemd mới là không cần thiết (hoặc chính xác hơn, không phải là hành vi mong muốn, vì nó được gọi là hook hook, không phải khi phiên người dùng kết thúc).

https://unix.stackexchange.com/questions/251902/ecryptfs-auto-umount-does-not-work

Tôi đã nghiên cứu vấn đề này khá lâu, tức là hệ thống tệp không được mã hóa vẫn được gắn kết sau khi người dùng đăng xuất.

Tôi đã sử dụng "ecryptfs-Migrate-home -u user" để tạo mount. theo chỉ dẫn và tất cả các công việc ngoại trừ không tự động ngắt kết nối khi đăng xuất.

Tôi đã so sánh các tệp cấu hình trong /etc/pam.d/ với tài liệu pam_ecryptfs và tìm thấy một số khác biệt. ecryptfs nằm trong 4 tệp cấu hình pam.d trong khi tài liệu pam_ecryptfs chỉ ra 2 tệp cần / nên / hỗ trợ ecryptfs, ví dụ:

   /etc/pam.d/common-auth:
              auth    required        pam_ecryptfs.so unwrap
   /etc/pam.d/common-session:
              session optional        pam_ecryptfs.so unwrap

Vì vậy, tôi đã nhận xét 2 trường hợp khác, khởi động lại và tất cả đều hoạt động, tự động gắn kết khi đăng nhập và tự động ngắt kết nối khi đăng xuất cho cả đăng nhập đồ họa và bảng điều khiển. (Tôi đã sử dụng tty's thay thế để xác minh từ tài khoản root)

Đây là vào ngày 18.04 Lubfox trên máy tính xách tay, máy tính để bàn và hộp ảo (máy chủ windows).

Tôi quan tâm đến kinh nghiệm người khác.

chỉnh sửa_1: cải thiện từ ngữ. chỉnh sửa_2: thêm kết quả kiểm tra máy tính để bàn và VB.

Tôi làm điều đó với một kịch bản trong rclocal

#!/bin/sh
#

while true; do
    if [ ! -d /run/user/1000 ]; then
        if [ -f /home/momo/.mounted ]; then
            umount /home/harry
        fi      
    fi

    if [ ! -d /run/user/1001 ]; then
        if [ -f /home/vm/.mounted ]; then
            umount /home/maud
        fi
    fi

    sleep 10
done
exit 0