¿Qué tan segura es una partición encriptada?

16

Al instalar Ubuntu 16.04, elegí cifrar el sistema de archivos, y ahora se me solicita una contraseña antes de que Ubuntu se inicie.

Me pregunto qué tan seguro hace que mi contenido. Específicamente:

  • ¿Está todo en la unidad cifrado (incluidos mis datos)?

  • ¿Qué tan fuerte es este cifrado? (Lo sé, es una cuestión de tiempo y recursos y qué contraseña elegí, pero quiero decir, en un sentido práctico ... cualquiera podría atravesar mi puerta principal, pero el ladrón promedio no tiene los recursos o la inclinación para evitar un error casa). Por ejemplo, si envío mi computadora portátil para repararla, o si la pierdo o me la roban, ¿debo preocuparme por alguien sin una razón realmente apremiante para intentar descifrarlo y obtener acceso fácil? (Sé que se hizo una pregunta similar aquí , pero eso fue hace bastante tiempo, ¿quizás las cosas han cambiado?)

  • Además, ¿el cifrado me impide (a) instalar la SSD con el sistema de archivos cifrados en un dispositivo diferente o (b) hacer una copia de seguridad completa de la unidad (usando una versión en vivo de Ubuntu, por ejemplo) y en algún momento restaurar esa copia de seguridad?

  • Además, si todo el sistema de archivos está encriptado, ¿tiene algún valor también encriptar mi carpeta de inicio en Ubuntu?

lítico
fuente
Solo una actualización de mi publicación original, ya que la experiencia me ha proporcionado respuestas a los últimos dos puntos. No, el cifrado no me impidió sacar todo el disco duro de mi sistema y luego desencriptarlo en una máquina Linux diferente, aunque fue un proceso tedioso. Y sí, hay un valor en el cifrado también la carpeta principal de uno si otros usuarios tienen cuentas en ese sistema, ya que tendrán acceso a la principal de forma predeterminada (véase, por ejemplo, techrepublic.com/article/... )
lítica

Respuestas:

18
  • Si elige encriptar el nuevo sistema a través de LUKS, todo el sistema está encriptado. Esto incluye los archivos del sistema, la carpeta de inicio (y, por lo tanto, sus datos), así como la partición de intercambio. Esto significa que puede usar la suspensión en disco (también conocida como hibernación) y aún así obtener todos los beneficios del cifrado de disco completo. Como se señaló en los comentarios, Ubuntu utiliza suspender a RAM por defecto. Para que Ubuntu use suspender a disco en su lugar, debe seguir las instrucciones en help.ubuntu.com que aparentemente solo funcionan para un número limitado de máquinas.
  • El cifrado AES de 256 bits es lo suficientemente fuerte para el futuro previsible. Como se discutió aquí en Cryptography Stack Exchange , la fuerza bruta AES-256 costaría alrededor de 100 trillones de veces el PIB mundial, lo más cercano a lo imposible que puedas imaginar. Incluso el cifrado AES de 128 bits con fuerza bruta toma alrededor de mil veces el PIB mundial.
  • La clave LUKS no está bloqueada por nada más que el encabezado LUKS (que es uno HDD / SSD) y su frase de contraseña (que está en su cabeza). Esto le permite (a) usarlo en cualquier otra máquina, siempre que eso también sea posible con un disco de sistema no encriptado, es decir, para sistemas comunes debería funcionar sin problemas. En cuanto a (b), sí, puede hacer copias de seguridad de todo el disco dd, pero tenga en cuenta que estas imágenes no se comprimirán en una cantidad significativa. Esto se debe a que la naturaleza de los datos cifrados no se puede distinguir de los datos aleatorios sin la frase de contraseña.
  • Esto solo tiene un beneficio académico, es decir, después de consumir el primer tredecillion del PIB mundial por romper el cifrado completo del disco, un atacante necesitaría otro tredecillion del PIB mundial para ingresar también a su carpeta de inicio encriptada (suponiendo diferentes frases / claves). Por lo tanto, en realidad fortalece su cifrado de 256 bits a 257 bits de longitud de clave. En una nota personal, incluso utilizo el inicio de sesión automático en máquinas de cifrado de disco completo, ya que considero que el cifrado de disco es lo suficientemente seguro como para no requerir que se vuelva a ingresar la contraseña después del arranque.
azada
fuente
1
Vale la pena señalar que, de forma predeterminada, Ubuntu usa suspender a ram y no suspender a disco, el primero derrota por completo el objeto del cifrado de disco completo. Suspender al disco, es decir, hibernar, debe habilitarse específicamente según help.ubuntu.com/14.04/ubuntu-help/power-hibernate.html
Andrew Marshall
1
Esta es una buena respuesta, AFAIK, pero tengo una pequeña corrección: para arrancar, algo en el disco debe dejarse sin cifrar. Para una instalación de Ubuntu, normalmente se trata del gestor de arranque (GRUB, por defecto) y una /bootpartición sin cifrar contiene el núcleo (s), los archivos de inicio coincidentes, la configuración de GRUB y los archivos de soporte, y algunas otras probabilidades y extremos. Estos archivos no son confidenciales (son parte de Ubuntu, excepto los archivos de configuración), por lo que no son una preocupación importante; pero identificarían la computadora como ejecutando Ubuntu.
Rod Smith
@RodSmith Es cierto, pero ¿existe realmente una diferencia (en lenguaje, no en términos técnicos) entre unidad y volumen? Los uso constantemente de manera intercambiable, aunque lo sé mejor.
jpaugh
6
  • No todo en su disco está encriptado, pero sus datos sí.

    La parte que no está encriptada es su /bootárea, ya que se usa durante el inicio. Algunas consecuencias interesantes que se derivan de eso se pueden encontrar aquí .

  • Puede averiguar la potencia de cifrado de su instalación específica ejecutando

    ls /dev/mapper/ |grep crypt
    

    La salida será YOUR_CRYPT

    cryptsetup status YOUR_CRYPT
    

    Ejemplo:

    ls /dev/mapper/ |grep crypt
    nvme0n1p4_crypt
    sudo cryptsetup status nvme0n1p4_crypt
    
    /dev/mapper/nvme0n1p4_crypt is active and is in use.   
    type:    LUKS1    
    cipher:  aes-xts-plain64   
    keysize: 512 bits   
    device:  /dev/nvme0n1p4     
    offset:  4096 sectors   
    size:    499410944 sectors   
    mode:   read/write   
    flags:   discards
    

    Su grado de cifrado variará en función de cuándo instaló en Ubuntu y qué versión está utilizando, pero incluso la configuración anterior será bastante sólida y probablemente resistirá el crack casual. Una buena discusión sobre el cifrado de nivel de bloque de Ubuntu: ¿Qué tan seguro es el cifrado de disco completo predeterminado de Ubuntu?

  • Arrancar su unidad encriptada en un hardware diferente no será un problema. Si hace una copia bit a bit de su unidad encriptada, aún puede iniciarla de manera normal e iniciar sesión con su contraseña. La operación de copia debe realizarse mientras está "fuera de línea" (con la unidad desmontada, después de un apagado). Es improbable que una captura de datos en línea funcione, pero no estoy 100% seguro.

  • El cifrado de "carpeta de inicio" se basa en la idea de "carpeta de inicio en un archivo". Si el sistema no estuviera encriptado, y el sistema de archivos estaría montado, el directorio de inicio encriptado sería un único archivo grande, encriptado usando cryptsetup. Como tal, encriptar su carpeta de inicio dentro de un sistema encriptado aumentaría la dificultad de obtener sus archivos personales. Sin embargo, puede haber una compensación de rendimiento. Más información sobre el hogar encriptado.

sergtech
fuente
2

Respuestas cortas y simples:

  1. ¿Está todo en la unidad cifrado (incluidos mis datos)? :

    • Sí, todo está encriptado
  2. ¿Qué tan fuerte es este cifrado? :

    • Salir fuerte tan fuerte como el eslabón más débil que .
  3. Además, ¿el cifrado me impide (a) instalar la SSD con el sistema de archivos cifrados en un dispositivo diferente o (b) hacer una copia de seguridad completa de la unidad (usando una versión en vivo de Ubuntu, por ejemplo) y en algún momento restaurar esa copia de seguridad? :

    • Tienes que probarlo para convencerte. Olvide la contraseña y sus datos se han ido, si conoce a alguien que haya podido descifrarlo después de tal situación, avíseme.
  4. Además, si todo el sistema de archivos está encriptado, ¿tiene algún valor también encriptar mi carpeta de inicio en Ubuntu? :

    • Pérdida de tiempo, no es necesario. Pero si necesitas aceptar!

Más información:

Desde ese enlace que compartiste, cito un enlace que seguí:

La moraleja de esta historia? Si tiene una partición LUKS montada en su teléfono, es muy fácil para alguien obtener la clave de cifrado maestra. cryptsetup elimina la clave de la memoria RAM durante una operación luksClose, por lo que mi recomendación es que solo monte su unidad LUKS cuando la esté usando y luego desmonte y luksClose cuando haya terminado . De lo contrario, se convierte en un gran agujero de seguridad. Casi como si tu disco no estuviera encriptado en primer lugar.

Probablemente sea apropiado mencionar aquí que LUKS en Android no es el único sistema susceptible a este tipo de ataque. Prácticamente todos los sistemas de cifrado de disco almacenan la clave de cifrado en ram. El grupo Princeton CITP identificó este hecho hace mucho tiempo. ¡Mi punto aquí es solo que un ataque como este es muy fácil de hacer!

Tenga en cuenta la sección en negrita más información . Como dije, si eres débil o descuidado en la forma en que manejas tus cosas, entonces espera problemas. Dio consejos siempre desmontar o cerrar cuando no lo usa.

George Udosen
fuente
No estoy seguro de cuándo "después del uso" sería para el cifrado de todo el disco o la carpeta de inicio. ¿Es el punto "cuando está abierto, está abierto"? Si es así, entonces por supuesto. Creo que estamos tratando de protegernos contra el robo, que para una computadora de escritorio generalmente implicaría una interrupción de energía. No estoy seguro de qué sucede con una computadora portátil en ese caso ...
Greg Bell