Ubuntu 18.04에서 / home을 암호화하는 방법?

18.04 설치 프로그램이 더 이상 홈 디렉토리를 암호화하는 옵션을 제공하지 않는다는 사실에 실망했습니다. 에 따르면 이 설치에서 참조 버그 리포트, 요즘 암호화를 위해 권장되는 방법은 디렉토리에 대한 LUKS 전체 디스크 또는 fscrypt이다. 전체 디스크 암호화는 필자의 요구에 따라 다소 과잉으로 보이며 Wiki에 언급 된 모든 버그와 경고 가 그다지 매력적인 옵션은 아닙니다. 내가 정말로 원하는 것은 랩톱을 도난 당했을 때 문서, 사진 등에 액세스하는 사람으로부터 홈 디렉토리를 보호하는 것입니다.

fscrypt GitHub의 페이지 를 설정하는 방법에 대한 몇 가지 예제를 가지고,하지만 난 우분투의 홈 디렉토리를 암호화하기위한 모든 문서를 찾을 수 없습니다. 이전 ecryptfs 도구는 계속 사용할 수 있지만 설정 후 Ubuntu는 때때로 로그인 화면에서 정지됩니다.

그래서 내 질문은 : / home 디렉토리를 암호화하고 로그인 할 때 해독하도록 fscrypt를 어떻게 설정합니까? 또한 ecryptfs가 폴더를 수동으로 해독하는 방법 (예 : 디스크 이미지)을 좋아했습니다.

(유사한 질문이 여기 에 게시 되었으며 "주제를 벗어난"버그 보고서로 인해 종료되었습니다. 명확히하기 위해, 이것은 버그 보고서가 아닙니다. 홈 디렉토리 암호화 옵션이 설치 프로그램에서 제거되었다는 사실은 의도적 인 것입니다. fscrypt를 설정하는 방법은 다음과 같습니다.)

2019-07 업데이트

로 여러 개의 암호화 된 홈을 실행하고 fscrypt있습니다. 암호화없이 시스템을 설치 하고이 안내서 를 사용 fscrypt하여 가정 에서 구현 하십시오.

반드시 chmod 700당신의 가정 및 / 또는 사용 umask 077fscrypt 자동으로 같은 권한을 설정하지 않기 때문에 ecryptfs수행하는 데 사용합니다.

fscrypt향후에 변경 될 수 있는 API 이므로 시스템을 업그레이드하려는 경우 중요한 파일을 백업하십시오.

(이 기능은 데스크탑에서 널리 사용되지 않습니다. 사용자 책임하에 사용하십시오.)

2018-11 업데이트

TL : DR; fscryptUbuntu 18.10 이상 또는 Linux Mint 19.1 이상에서 시도해 볼 수 있습니다

이것이 마침내 수정 된 것 같습니다. 선점 가이드는 다음과 같습니다. http://tlbdk.github.io/ubuntu/2018/10/22/fscrypt.html

나는 여기에 지침을 인용하지 않았다. 왜냐하면 약간의 해킹이 필요하고 결국 집 데이터를 잃을 수 있기 때문이다.

경고 : @dpg 사용자로부터의 경고 : "BE CAREFUL : "선점 지침 "(tty하에 있음)의 지시를 따르고 무한한 로그인 루프를 받았습니다."

교육 목적으로 만이 안내서를 고려하십시오.

다음은 내 원래 답변입니다.

원래 답변 2018-05

TL; DR : Linux Mint 19 Tara 와 함께 클래식 홈 암호화를 사용하십시오 .

fscrypt 가정용 암호화가 여전히 손상되었습니다.

/ home 디렉토리를 암호화하고 로그인 할 때 암호 해독하도록 fscrypt를 어떻게 설정합니까?

이것은 많은 사람들이 원하는 것입니다. Ubuntu 팀은 ecryptfsUbuntu 18.04에서 버그없이 작업 할 수 없었 fscrypt으며 예정된 Ubuntu 18.04 릴리스의 경우 홈 암호화 옵션 버그를 수정할 수 없었습니다 .

의 경우 fscrypt현재 홈 암호화에 사용할 수없는 중요한 버그가 하나 이상 있습니다.

• fscrypt / issues / 77

또한 "오래된"ecryptfs 유형 홈 암호화에 대한 현실적인 대안이되기 전에 투명한 인증 / 잠금 해제 방법이 필요합니다. 이것은 여기에서 추적됩니다 :

• fscrypt / issues / 95

이러한 문제가 열리면이 시점에서 홈 암호화가 손상된 것으로 간주 할 수 있습니다. 그와 함께, 내 동료와 나는 우분투 고려 18.04 순간 18.04.1 미완성, 가정 - 암호화 (새롭고 더 나은 사용하여 다시 가져올 수 있기를 바랍니다 fscrypt우분투 방법) 18.04.1 18.04.2.

그때까지 우분투 16.04를 고수하고 있습니다. 우리 는를 사용하여 고전적인 홈 암호화 로 모든 머신을 Linux Mint 19 Tara 로 전환했습니다 ecryptfs. 읽기 "알려진 문제" 섹션 리눅스 민트 19 타라에 대한 릴리스 노트 정보] ecryptfs한계를,이 당신을 받아 들일 수 있는지 :

(...) Mint 19 및 최신 릴리스에서는 로그 아웃시 암호화 된 홈 디렉토리가 더 이상 마운트 해제되지 않습니다.

당신이 fscrypt그것을 사용하고 그것을 깨뜨린 것을 발견했다면 , 다음 런치 패드 버그에서 "이 버그는 나에게 영향을 미칩니다"라고 투표 할 수 있습니다 :

• 우분투 / fscrypt / + 버그 / 1768340

참고 fscrypt/ ext4-crypt(미래 "암호화 집")이 가장 빠른 옵션이고 ecryptfs(이전 "암호화 홈"를) 가장 느린 옵션입니다. LUKS( "전체 드라이브 암호화")가 중간에 있습니다.

이러한 이유로 전체 디스크 암호화를 '편리하게'권장합니다. 작은 파일이 많은 매우 큰 프로젝트가 있고, 개정 관리를 많이 사용하고, 큰 컴파일 등을 수행하는 경우 전체 ecryptfs 유형의 속도 저하가 이전 ecryptfs 유형의 속도 저하와 비교할 때 실제로 가치가 있음을 알 수 있습니다 홈 암호화.

결국 전체 드라이브를 암호화하면 여러 가지 단점이 있습니다.

• 손님 계정
• 개인 계정이있는 가족 용 노트북
• PREY와 같은 도난 방지 소프트웨어 사용

Canonical 이 LTS 버전에서 "더 이상 이것을 필요로하지 않는다"고 결정한 것은 당혹스러운 일인데, 이는 "심각한"배포판으로 알려져 있습니다.

에서 팬더의 대답은 여기에 전체 디스크 암호화는 로그인하지 않을 경우 / home과는 encypted대로 만 특정 디렉토리를 암호화하는 동안 모든 / 가정을 포함하여 암호화합니다.

기존 사용자의 홈 디렉토리를 암호화하려면 다음을 수행하십시오.

먼저 해당 계정에서 로그 아웃하고 관리자 계정으로 로그인하십시오.

작업의 암호화 유틸리티를 설치하십시오.

 sudo apt install ecryptfs-utils cryptsetup

그에서 런치 패드 버그 eCryptfs가-utils를 우주의 repo에서 지금이다.

해당 사용자의 홈 폴더를 마이그레이션하십시오.

sudo ecryptfs-migrate-home -u <user>

그 계정의 사용자 비밀번호가 뒤 따릅니다.

그런 다음 재부팅하기 전에 암호화 된 사용자 계정에서 로그 아웃하고 로그인하십시오! 암호화 프로세스를 완료하려면

계정 내부에 복구 암호 문구를 인쇄하고 기록하십시오.

ecryptfs-unwrap-passphrase

이제 재부팅하고 로그인 할 수 있습니다. 만족하면 백업 홈 폴더를 삭제할 수 있습니다.

또한 암호화 된 홈 디렉토리로 새 사용자를 작성하려는 경우 :

sudo adduser --encrypt-home <user>

자세한 정보 : man ecryptfs-migrate-home ; 남자 ecryptfs- 설정-개인

개인적으로 필자는 대부분의 사용 사례에서 FSE (File System Encryption)를 다른 사람에게 사용하는 것을 권장하지 않습니다. 몇 가지 이유가 있는데, 그중 가장 적은 것은 기존의 효과적인 대안이 아닙니다. FSE 또는 FDE (Full Disk Encryption)의 두 가지 옵션 만있는 것 같습니다. 그러나 그것은 사실이 아닙니다. 실제로 파일 컨테이너 암호화 및 암호화 된 아카이브 인 OP에 훨씬 큰 혜택을 줄 수있는 다른 두 가지 옵션이 있습니다.

파일 컨테이너 암호화는 Veracrypt와 같은 소프트웨어이며 현재 소멸 된 Truecrypt입니다. 컨테이너 암호화는 이러한 아카이브를 만들 때 옵션으로 Winzip 및 7zip과 같은 대부분의 파일 압축 아카이브 소프트웨어에 내장되어 있습니다.

두 가지 모두 FSE에 비해 많은 이점이 있으며, 가장 확실한 것은 암호화 된 파일을 사용하지 않고 마운트 된 상태로 둘 필요가 없다는 것입니다. 그러면 사용자 프로필 키 및 화면 잠금의 보호 기능을 무시할 수있는 사람이 누구든지 액세스 할 수 없습니다. 또한 컴퓨터에서 멀리 떨어져있는 것처럼 어리석은 짓을 할 수도 있지만 화면을 잠 그거나 다른 사람이 컴퓨터를 사용할 수 있도록하고 숨겨진 디렉토리를 들여다 보지 않기를 바랍니다. 또한 컨테이너는 이식 가능하므로 다른 방법으로 암호화 할 필요없이 한 번에 많은 양의 파일을 쉽게 이동할 수 있습니다.

Veracrypt 컨테이너가 매우 유용하다는 한 가지 장점은 드라이브로 마운트 할 수 있고 별도의 파일 시스템, 바람직하게는 EXT2 또는 FAT32와 같은 비 저널링 파일 시스템으로 컨테이너를 포맷 할 수 있다는 사실입니다. 저널링 파일 시스템은 침입자에게 정보를 유출 할 수 있습니다. 그러나 당신이하는 모든 일이 당신의 개인 사진을 숨기고 있다면, 이것은 당신과 관련된 모든 것이 아닐 수도 있습니다. 반면에 국가 기밀 정보 나 법적으로 보호 된 데이터가있는 경우 해당 정보가있을 수 있습니다. 키 파일을 사용하는 경우 부팅시 자동으로 마운트되도록 설정할 수도 있습니다. 그러나 키 파일은 FSE가 사용자 프로필 키를 저장하는 위치보다 덜 안전한 곳에 저장해야하므로 권장하지 않습니다.

둘 다 파일 압축 기능을 제공합니다. 사용 된 특정 압축 알고리즘에 따라 압축 된 아카이브를 사용할 때 항상 그런 것은 아니지만 파일 이름을 숨길 수도 있습니다.

개인적으로 파일 크기가 작기 때문에 이동하지 않을 파일에는 컨테이너 암호화를 사용하고 클라우드로 이동하거나 저장하는 파일에는 암호화 된 아카이브를 사용합니다.

컨테이너 암호화를 사용하면 홈 디렉토리를 암호화 할 수 있습니다. 암호화 키를 YubiKey에 저장할 수 있습니까?

어쨌든, 나는 당신에게 다른 포스터에서 언급하지 않은 모든 대안을 제공하고 싶었습니다. 내가 말한 것에 동의하거나 동의하지 마십시오.

나처럼 Ubuntu 16.04를 통해 Ubuntu 18.04를 새로 설치하고 이전에을 암호화 /home한 경우 설치 후 로그인 할 수 없음을 알 수 있습니다. ecryptfs 관련 패키지 ( sudo apt install ecryptfs-utils cryptsetup, 재부팅 및 로그인 )를 설치하기 만하면 됩니다.

해당 패키지를 설치하려면 budgie가로드 된 후 예비 tty에 로그인 하거나 ( Cntrl+ Alt+ F1) Linux 복구 모드로 들어가서 설치할 수 있습니다.