Ada alasan untuk dienkripsi /?

Saya penggemar berat linux dan suka mencoba distro baru sekarang dan kemudian. Saya biasanya memiliki folder dan root di lvm di atas partisi terenkripsi, tetapi ini cenderung menjadi rumit dengan setiap proses pembuatan initramfs menjadi lebih asing daripada yang terakhir.

Saya menghargai privasi, tetapi sebagian besar informasi atau pribadi saya yang berharga disimpan dalam folder rumah. Selain itu, saya mempartisi menggunakan GPT, jadi beberapa partisi tidak terlalu sulit untuk diatur bahkan di luar sebuah lvm.

Jadi pertanyaannya adalah: Apakah root crypting dan lvm-ing layak, terutama dengan semua kerumitan pengguna awal yang harus saya tangani?

Pertama-tama kerumitan dengan root terenkripsi dan userspace awal biasanya sudah ditangani oleh distribusi Anda (sejauh yang saya tahu Fedora, Debian, Ubuntu dan OpenSUSE mendukung root terenkripsi di luar kotak). Itu berarti Anda tidak perlu mengurus pengaturan itu sendiri.

Salah satu alasan mengenkripsi / hanya untuk memastikan Anda tidak membocorkan informasi sama sekali. Pikirkan tentang program menulis data sementara ke / tmp , file log yang berisi informasi sensitif seperti nama pengguna / kata sandi di / var / log atau file konfigurasi yang berisi kredensial seperti kata sandi di / etc / fstab atau beberapa perintah dalam sejarah shell dari pengguna root.

Menggunakan LVM sebagai ganti partisi memiliki satu manfaat besar, Anda dapat dengan mudah mengubah ukuran / mengganti nama / volume logis tanpa perlu mempartisi ulang disk Anda sendiri, itu hanya lebih nyaman daripada menggunakan partisi (GPT atau MBR)

/etc,, /vardan /tmpdatang ke pikiran. Semua berpotensi memiliki konten sensitif. Semua dapat diberikan volume terpisah, tetapi itu umum untuk masing-masing berada di sistem file yang sama dengan direktori root. Mungkin Anda telah memindahkan satu atau lebih ke dalam volume mereka sendiri, tetapi apakah Anda sudah memindahkan semuanya?

• /etc mengandung:

  • kata sandi hash; mungkin beberapa macam, seperti /etc/shadowdan/etc/samba/smbpasswd

  • kunci pribadi dari berbagai macam: SSL, SSH, Kerberos ...

• /var mengandung:

  • /var/log, banyak konten yang dimaksudkan untuk hanya-baca oleh root karena mungkin berisi data sensitif; misalnya, /var/log/httpd/access_logmungkin berisi data GET yang entri tidak terenkripsi oleh pengguna situs web, dan karenanya mungkin sensitif.

  • file basis data; MySQL biasanya menyimpan tabel dan file indeksnya /var/lib/mysql, misalnya

• /tmpberisi file sementara, yang mungkin tidak terdengar sensitif, tetapi ada banyak serangan terhadap perangkat lunak Unix yang melibatkan kondisi balapan karena dapat memodifikasi atau mengambil file sementara saat proses mencoba menggunakannya. Saya tahu dalam banyak kasus, isi file sensitif hanya dalam cara jangka pendek (yaitu tidak melalui reboot) tapi saya membayangkan beberapa program mungkin tergantung pada cara bit sticky dan mkstemp (3) berperilaku untuk cache temporer yang tahan lama sensitif data juga.

Alasan lain adalah mencegah gangguan pada sistem file. Setelah dienkripsi, jauh lebih rumit untuk melakukan apa pun yang dapat menggigit Anda pada boot berikutnya, misalnya menempatkan rootkit pada sistem file Anda (baik itu dengan mem-boot CD langsung atau memindahkan hdd ke komputer lain untuk sementara). Kernel Anda (dan initrd) masih rentan, tetapi itu dapat dikurangi dengan menggunakan boot aman (dengan rantai boot yang ditandatangani dengan benar) atau dengan boot dari perangkat yang dapat dilepas dengan aman (mis. Flash drive atau kartu memori yang Anda kendalikan semua) waktu).