Зачем шифровать раздел подкачки

На этом сайте я видел, что многие пользователи Linux шифруют раздел подкачки. Каковы преимущества шифрования подкачки?

Шифрование пространства подкачки используется для защиты конфиденциальной информации. Рассмотрим приложение, которое имеет дело с паролями. Пока эти пароли остаются в физической памяти, эти пароли не будут записаны на диск и будут удалены после перезагрузки. Если ОС начинает выгружать страницы памяти, чтобы освободить место для других приложений, пароли могут быть записаны на диск в незашифрованном виде. Шифрование пространства подкачки может быть решением для этого сценария.

Разделы подкачки по умолчанию не зашифрованы и должны быть очищены от любых конфиденциальных данных перед продолжением.

Раздел подкачки может содержать много незашифрованной конфиденциальной информации, и тот факт, что он сохраняется после выключения компьютера, может быть проблемой.

Чтобы зашифровать SWAP, см. Раздел «Зашифрованный раздел подкачки» в Ubuntu.

Дополнительное чтение: шифрование подкачки и Ubuntu - как зашифровать раздел подкачки

^{Источник: C. Brüffer}

Я предполагаю, что вы говорите о домашнем каталоге или полной установке шифрования диска.

Своп выделяет место на постоянном хранилище (потому что это дешевле), обеспечивая больше виртуальной памяти для операционной системы. Все ваши приложения работают в виртуальной памяти, хранящей все незашифрованные данные для операций. Вполне вероятно, что часть данных, которые вы получили на зашифрованном диске, заканчивается в незашифрованном виде в хранилище подкачки. Также временные данные в памяти, такие как ключи шифрования, могут быть перемещены из физической памяти на некоторое время для подкачки (если ядро ​​решит так). С помощью простого ключа шифрования злоумышленник наверняка сможет расшифровать весь ваш жесткий диск.

Кроме того, своп не стирается после выключения компьютера, в отличие от физической памяти.

Также обратите внимание, что если вы переводите компьютер в спящий режим, вся физическая память будет записана в раздел подкачки. Это обеспечивает еще больший объем данных для возможного злоумышленника.

Подводя итог, можно сказать, что в контексте шифрования данных на вашем компьютере очень плохо не шифровать подкачку, если вы обрабатываете зашифрованные файлы с точки зрения безопасности. Это может даже нарушить полную безопасность, которую вы пытаетесь достичь.

Вот почему давным-давно я убедился в том, чтобы действительно зашифровать мой раздел подкачки.

Попробуйте
выполнить следующие команды: Сначала выясните ваше устройство подкачки, а затем выясните, хранится ли где-то в памяти подкачки ваш пользовательский пароль (или любая важная для вас строка):

  $ sudo swapon --summary  
  Filename                                Type        ...  
  /dev/mapper/vg_ubu476-lv_swap           partition   ...  

   $ sudo time strings < /dev/mapper/vg_ubu476-lv_swap | grep <any substring of your password>

Если пароль не найден, команда завершается без вывода. Это заняло у меня 40 секунд с моим свопом на 4 ГиБ.
Попробуйте это с "| more" вместо "| grep <...>"; это покажет, если вы очистили свой диск с самого начала, до шифрования, со случайным ASCII или нет.

Остерегайтесь проблемы: после этих команд ваша «подстрока вашего пароля» останется записанной в вашей истории bash, и вы можете почувствовать необходимость стереть ее. С «подстрокой пароля» вы по крайней мере не получили полный пароль там ... И: только root может заглянуть внутрь.

Моя команда strings заглянула в расшифрованный слой системы, который живет только во время работы ОС.

За этим следует LVM, затем расшифрованный контейнер LUKS и, наконец, зашифрованное устройство (большой раздел). Вы можете попробовать отсканировать их все с помощью «строк».

Когда я делал эти «строки» в первый раз, я нашел много паролей root, поскольку вместо sudo su использовал «su - root». Теперь с sudo я не нахожу ни одного.

Производительность - поверьте мне: я работаю с 1,3 терабайтами зашифрованных данных (система + большая база данных фотографий) на трех SSD на Thinkpad W520 без каких-либо задержек. Но, по крайней мере, 8 ГиБ памяти может несколько помочь.

По тем же причинам вы хотели бы зашифровать основную память. Программы имеют текстовые копии вашей информации и время от времени планируют их выгружать на диск (раздел подкачки). Если бы кто-то был достаточно мотивирован и включен, своп мог быть добыт для этих личных данных.

Однако обмен шифрованием не имеет большого значения, если вы не зашифровали свой корневой диск.

шифрование не дешево, ожидать значительного снижения производительности.

Единственные люди, которых я знаю, кто "делает все это", путешествуют интенсивно. Если вы просто хотите повозиться, дерзайте.

PS Прежде чем кто-то решит, что не может зашифровать основную память, посетите сайт http://bluerisc.com/ , даже набор инструкций зашифрован.