Thông thường tôi không tắt máy tính xách tay của mình nữa để sử dụng hệ thống treo vào RAM. Nhược điểm là phân vùng nhà được mã hóa của tôi hoàn toàn có thể truy cập sau khi tiếp tục mà không cần nhập cụm mật khẩu. Một ý tưởng tồi nếu ai đó đánh cắp máy tính xách tay của bạn ...

Nhìn vào trang web của cryptsetup . Tôi đã học được rằng LUKS hiện hỗ trợ lệnh luksSuspendvà luksResumelệnh. Đã luksSuspendvà luksResumeđược tích hợp trong các tập lệnh thực hiện đình chỉ RAM và tiếp tục chưa?

Vấn đề hiện tại

Khi sử dụng Mã hóa toàn bộ đĩa Ubuntu (dựa trên dm-crypt với LUKS) để thiết lập mã hóa toàn hệ thống, khóa mã hóa được giữ trong bộ nhớ khi tạm dừng hệ thống. Hạn chế này đánh bại mục đích mã hóa nếu bạn mang theo nhiều máy tính xách tay bị treo. Người ta có thể sử dụng lệnh cryptsetup luksSuspend để đóng băng tất cả I / O và xóa khóa khỏi bộ nhớ.

Giải pháp

ubfox-luks-đình chỉ là một nỗ lực để thay đổi cơ chế đình chỉ mặc định. Ý tưởng cơ bản là thay đổi thành một chroot bên ngoài fs gốc được mã hóa và sau đó khóa nó (withcryptsetup luksSuspend)

đây là một ví dụ khác về ubfox 14.04 cryptsetup luks đình chỉ / tiếp tục phân vùng gốc "gần như hoạt động" :-)

một lý do nó hoạt động cho arch và "gần như hoạt động" cho ubfox có thể là hạt nhân ubfox đó kể từ

  Linux system 3.19.0-25-generic #26~14.04.1-Ubuntu SMP Fri Jul 24 21:16:20 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux

vẫn còn "quá cũ": bản vá sau chưa có:

thực hiện đồng bộ hóa () trên tùy chọn treo vào RAM

vì vậy, bất kỳ pm-utilshoặc user codecó vấn đề về bất kỳ hình thức khóa rõ ràng và yêu cầu ngủ , chẳng hạn như:

  cryptsetup luksSuspend root
  echo -n "mem" >/sys/power/state

sẽ dẫn đến kernel trong một cuộc gọi đến sys_sync()lượt nó gây ra bế tắc trong dm-crypt(theo thiết kế, sau khi tạm dừng)

Trên thực tế, bạn chỉ cần đảm bảo rằng cụm mật khẩu bảo vệ màn hình của bạn được yêu cầu trong sơ yếu lý lịch từ việc tạm dừng và bạn sẽ an toàn.

Điều này sẽ đảm bảo rằng ai đó nối lại máy tính xách tay của bạn khỏi bị đình chỉ sẽ phải nhập mật khẩu trước khi họ có thể vào máy tính.