Насколько безопасен зашифрованный раздел?

При установке Ubuntu 16.04 я выбрал шифрование файловой системы, и теперь мне предлагается ввести пароль перед загрузкой Ubuntu.

Мне интересно, насколько безопасно это делает мой контент? В частности:

• Все ли на диске зашифровано (включая мои данные)?

• Насколько сильно это шифрование? (Я знаю, это вопрос времени и ресурсов и того, какой пароль я выбрал, но я имею в виду в практическом смысле ... любой мог бы пройтись через мою парадную дверь, но средний вор не имеет ресурсов или склонности разгонять дом). Например, если я отправляю свой ноутбук на ремонт, или если мой ноутбук утерян или украден, нужно ли мне беспокоиться о ком-то, у кого нет действительно веских причин пытаться расшифровать его, чтобы получить легкий доступ? (Я знаю, что подобный вопрос был задан здесь , но это было довольно давно, поэтому, возможно, все изменилось?)

• Кроме того, предотвращает ли шифрование мне (а) установку SSD с зашифрованной файловой системой на другое устройство или (б) полное резервное копирование диска (например, с использованием действующей версии Ubuntu) и в какой-то момент восстановление этой резервной копии?

• Кроме того, если вся файловая система зашифрована, есть ли смысл также шифровать мою домашнюю папку в Ubuntu?

• Если вы решили зашифровать новую систему с помощью LUKS, вся система зашифрована. Это включает в себя ваши системные файлы, домашнюю папку (и, следовательно, ваши данные), а также раздел подкачки. Это означает, что вы можете использовать suspend-to-disk (он же hibernate) и при этом иметь все преимущества полного шифрования диска. Как указано в комментариях, Ubuntu по умолчанию использует suspend-to-RAM. Чтобы Ubuntu вместо этого использовал suspend-to-disk, вы должны следовать инструкциям на help.ubuntu.com, которые, очевидно, работают только для ограниченного числа машин.
• 256-битное шифрование AES, вероятно, достаточно сильное в обозримом будущем. Как обсуждалось здесь, на бирже стеков криптографии , перебор AES-256 обойдется примерно в 100 тридиллионов раз мирового ВВП - это почти невозможно из того, что вы можете себе представить. Даже грубое 128-битное шифрование AES отнимает примерно в тысячу раз больше мирового ВВП.
• Ключ LUKS не блокируется ничем, кроме заголовка LUKS (который является одним из жестких дисков / жестких дисков) и вашей парольной фразы (которая находится в вашей голове). Это позволяет вам (а) использовать его на любом другом компьютере, если это также возможно с незашифрованным системным диском, то есть для обычных систем должно работать безупречно. Что касается (b), да, вы можете создавать целые резервные копии дисков dd, но имейте в виду, что эти образы не будут сжиматься до какой-либо значительной суммы. Это связано с тем, что зашифрованные данные неотличимы от случайных данных без ключевой фразы.
• В этом есть только академическая выгода, т. Е. После того, как вы потратите первые триллионы мировых ВВП для взлома полного шифрования диска, злоумышленнику понадобятся еще три десятка миллионов мировых ВВП, чтобы также попасть в вашу зашифрованную домашнюю папку (предполагая разные парольные фразы / ключи). Таким образом, это фактически усиливает ваше шифрование с 256 бит до 257 бит длины ключа. Что касается меня, я даже использую автоматический вход в систему на машинах с полным шифрованием диска, поскольку считаю шифрование диска достаточно безопасным, чтобы не требовать повторного ввода пароля после загрузки.

• Не все на вашем диске зашифровано, но ваши данные.

  Часть, которая не зашифрована, является вашей /bootобластью, так как она используется во время запуска. Некоторые интересные последствия, которые вытекают из этого, можно найти здесь .

• Вы можете узнать силу шифра вашей конкретной установки, запустив

  ls /dev/mapper/ |grep crypt
  

  Выход будет YOUR_CRYPT

  cryptsetup status YOUR_CRYPT
  

  Пример:

  ls /dev/mapper/ |grep crypt
  nvme0n1p4_crypt
  sudo cryptsetup status nvme0n1p4_crypt
  
  /dev/mapper/nvme0n1p4_crypt is active and is in use.   
  type:    LUKS1    
  cipher:  aes-xts-plain64   
  keysize: 512 bits   
  device:  /dev/nvme0n1p4     
  offset:  4096 sectors   
  size:    499410944 sectors   
  mode:   read/write   
  flags:   discards
  

  Степень шифрования будет зависеть от того, когда вы установили Ubuntu и какую версию вы используете, но даже более старая установка будет довольно сильной и, вероятно, противостоит случайному взлому. Хорошая дискуссия о блочном шифровании Ubuntu: Насколько безопасным является полнодисковое шифрование Ubuntu по умолчанию?

• Загрузка зашифрованного диска на другом оборудовании не будет проблемой. Если вы делаете побитовую копию своего зашифрованного диска, вы все равно можете загрузить его как обычно и войти в него, используя свой пароль. Операция копирования должна выполняться в автономном режиме (с отключенным диском после выключения). Онлайн-захват данных вряд ли сработает, но я не уверен на 100%.

• Шифрование «Домашняя папка» основано на идее «Домашняя папка в файле». Если система не была зашифрована и файловая система была бы смонтирована, зашифрованный домашний каталог был бы одним большим файлом, зашифрованным с помощью cryptsetup. Таким образом, шифрование вашей домашней папки в зашифрованной системе увеличит сложность получения ваших личных файлов. Там может быть компромисс производительности, однако. Подробнее о зашифрованном доме.

Короткие простые ответы:

1. Все ли на диске зашифровано (включая мои данные)? :

   • Да все зашифровано

2. Насколько сильно это шифрование? :

   • Выход сильной , как сильна , как самое слабое звено вас .

3. Кроме того, предотвращает ли шифрование мне (а) установку SSD с зашифрованной файловой системой на другое устройство или (б) полное резервное копирование диска (например, с использованием действующей версии Ubuntu) и в какой-то момент восстановление этой резервной копии? :

   • Вы должны попробовать это, чтобы убедить себя. Забудьте пароль, и все ваши данные исчезнут. Если вы знаете того, кто смог взломать его после такой ситуации, пожалуйста, дайте мне знать.

4. Кроме того, если вся файловая система зашифрована, есть ли смысл также шифровать мою домашнюю папку в Ubuntu? :

   • Трата времени, нет необходимости. Но если вам нужно ОК!

Дополнительная информация:

По той ссылке, которой вы поделились, я цитирую ссылку, по которой я следовал:

Мораль этой истории? Если у вас есть смонтированный раздел LUKS на вашем телефоне, кто-то может легко получить главный ключ шифрования. cryptsetup действительно удаляет ключ из оперативной памяти во время операции luksClose, поэтому я рекомендую монтировать диск LUKS только тогда, когда вы его используете, а затем размонтировать и luksClose его, когда вы закончите . Иначе это станет огромной дырой в безопасности. Как будто ваш диск изначально не был зашифрован.

Вероятно, здесь уместно упомянуть, что LUKS на Android - не единственная система, подверженная такого рода атакам. Практически все системы шифрования диска хранят ключ шифрования в оперативной памяти. Группа CITP в Принстоне уже давно определила этот факт. Суть в том, что такую ​​атаку очень легко осуществить!

Обратите внимание на жирный раздел, чтобы узнать больше . Как я уже сказал, если вы слабы или небрежны в том, как вы справляетесь со своими вещами, тогда ожидайте неприятностей. Он давал советы всегда отключать или закрывать, когда вы им не пользуетесь.