Bất kỳ lý do cho mã hóa /?

Tôi là một fan hâm mộ lớn của linux và thích thử các bản phân phối mới ngay bây giờ và sau đó. Tôi thường có các thư mục gốc và gốc trong một lvm trên một phân vùng được mã hóa, nhưng điều này có xu hướng trở nên cồng kềnh với mỗi quá trình tạo initramfs trở nên xa lạ hơn so với cái cuối cùng.

Tôi coi trọng sự riêng tư, nhưng hầu hết thông tin có giá trị hoặc cá nhân của tôi được lưu trữ trong các thư mục nhà. Hơn nữa, tôi đã phân vùng bằng GPT, vì vậy nhiều phân vùng không khó để thiết lập ngay cả ngoài lvm.

Vì vậy, câu hỏi là: Liệu mã hóa gốc và lvm-ing của "/" có đáng không, đặc biệt là với tất cả các rắc rối không gian người dùng ban đầu tôi phải giải quyết?

Trước hết, rắc rối với root được mã hóa và không gian người dùng sớm thường được xử lý bởi phân phối của bạn (theo như tôi biết Fedora, Debian, Ubuntu và OpenSUSE hỗ trợ root được mã hóa ra khỏi hộp). Điều đó có nghĩa là bạn không cần phải quan tâm đến việc thiết lập chính nó.

Một lý do để mã hóa / là để chắc chắn rằng bạn không rò rỉ bất kỳ thông tin nào cả. Hãy suy nghĩ về các chương trình ghi dữ liệu tạm thời vào / tmp , tệp nhật ký chứa thông tin nhạy cảm như tên người dùng / mật khẩu trong / var / log hoặc tệp cấu hình có chứa thông tin xác thực như mật khẩu trong / etc / fstab hoặc một số lệnh trong lịch sử shell của người dùng root.

Sử dụng LVM thay vì phân vùng có một lợi ích lớn, bạn có thể dễ dàng thay đổi kích thước / đổi tên / xóa khối lượng logic mà không cần phải phân vùng lại đĩa của mình, nó chỉ thuận tiện hơn so với sử dụng phân vùng (GPT hoặc MBR)

/etc, /varvà /tmpđến với tâm trí. Tất cả có khả năng có thể có nội dung nhạy cảm. Tất cả có thể được cung cấp các khối riêng biệt, nhưng thông thường, mỗi khối sẽ nằm trên cùng một hệ thống tệp với thư mục gốc. Có thể bạn đã chuyển một hoặc nhiều vào tập riêng của họ, nhưng bạn đã chuyển tất cả chưa?

• /etc chứa đựng:

  • mật khẩu băm; có thể nhiều loại, chẳng hạn như /etc/shadowvà/etc/samba/smbpasswd

  • các khóa riêng tư khác nhau: SSL, SSH, Kerberos ...

• /var chứa đựng:

  • /var/log, nhiều nội dung được dự định chỉ đọc bằng gốc bởi vì chúng có thể chứa dữ liệu nhạy cảm; ví dụ: /var/log/httpd/access_logcó thể chứa dữ liệu GET là các mục nhập không được mã hóa bởi người dùng của trang web và do đó có thể nhạy cảm.

  • tập tin cơ sở dữ liệu; /var/lib/mysqlVí dụ, MySQL thường lưu trữ các tệp bảng và chỉ mục của nó

• /tmpchứa các tệp tạm thời, nghe có vẻ không nhạy cảm, nhưng có rất nhiều cuộc tấn công vào phần mềm Unix liên quan đến điều kiện chủng tộc do có thể sửa đổi hoặc bắn tỉa một tệp tạm thời trong khi quá trình đang cố gắng sử dụng nó. Tôi biết trong nhiều trường hợp, nội dung tệp chỉ nhạy cảm trong một thời gian ngắn (nghĩa là không thông qua khởi động lại) nhưng tôi tưởng tượng một số chương trình có thể phụ thuộc vào cách thức các bit dính và mkstemp (3) hoạt động để tạm thời lưu trữ bộ đệm nhạy cảm lâu dài dữ liệu cũng vậy.

Một lý do khác là ngăn chặn việc giả mạo hệ thống tập tin. Sau khi được mã hóa, sẽ phức tạp hơn nhiều khi làm bất cứ điều gì có thể cắn bạn trong lần khởi động tiếp theo, ví dụ như đặt rootkit trên hệ thống tệp của bạn (có thể bằng cách khởi động CD trực tiếp hoặc tạm thời chuyển hdd sang máy khác). Hạt nhân của bạn (và initrd) vẫn dễ bị tấn công, nhưng điều đó có thể được giảm bớt bằng cách sử dụng khởi động an toàn (với chuỗi khởi động được ký hợp lệ) hoặc bằng cách khởi động từ một thiết bị di động an toàn (ví dụ như ổ đĩa flash hoặc thẻ nhớ mà bạn có trong tầm kiểm soát thời gian).