RAM 및 암호화 된 파티션 일시 중단

일반적으로 suspend-to-RAM을 사용하기 위해 더 이상 노트북을 종료하지 않습니다. 단점은 암호문을 입력하지 않고 다시 시작한 후 암호화 된 홈 파티션에 완전히 액세스 할 수 있다는 것입니다. 누군가 노트북을 훔친다면 나쁜 생각입니다 ...

살펴보면 으로 cryptsetup의 맨 . LUKS가 이제 luksSuspendand luksResume명령을 지원 한다는 것을 알게되었습니다 . 했습니다 luksSuspend및 luksResumeRAM 일시 중지 및 다시 시작하고 스크립트에 통합되어?

— 스테판 암 브루스터
소스

관련 LP 버그 . 화면을 잠그면 "일반적인"사람들로부터 쉽게 보호 할 수 있습니다. 암호를 아는 사람들 (또는 추측 할 수있는), 세션에 액세스하기 위해 버그 를 남용 하거나 메모리에서 암호를 읽는

— Lekensteyn

답변:

현재 문제

Ubuntu 전체 디스크 암호화 (LUKS와 dm-crypt 기반)를 사용하여 전체 시스템 암호화를 설정하면 시스템을 일시 중단 할 때 암호화 키가 메모리에 보관됩니다. 이 단점은 일시 중단 된 랩톱을 많이 가지고 다닐 경우 암호화의 목적을 무효화합니다. cryptsetup luksSuspend 명령을 사용하여 모든 I / O를 고정시키고 메모리에서 키를 플러시 할 수 있습니다.

해결책

ubuntu-luks-suspend 는 기본 일시 중단 메커니즘을 변경하려는 시도입니다. 기본 아이디어는 암호화 된 루트 fs 외부의 chroot 로 변경 한 다음 잠그는 것입니다 (cryptsetup luksSuspend 사용)

— 프린 츠
소스

이 시도는 (아직 기능적이지 않은) 관련 질문에 설명되어 있습니다. 잠자기 / 최대 절전 모드에서 LUKSsuspend를 사용하여 Ubuntu가 시스템을 일시 중단하는 방법은 무엇입니까 ?

— 조나스 말라 코

다음은 우분투 14.04 의 또 다른 예 입니다. cryptsetup luks는 "거의 작동" 루트 파티션을 일시 중지 / 다시 시작합니다 :-)

아치에서 작동하고 우분투에서 "거의 작동"하는 이유 중 하나 는 우분투 커널 일 수 있습니다.

  Linux system 3.19.0-25-generic #26~14.04.1-Ubuntu SMP Fri Jul 24 21:16:20 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux

아직 "너무 오래되었습니다": 다음 패치가 아직 없습니다 :

RAM 일시 중단에서 sync ()를 선택적으로 설정

그래서 어떤 pm-utils또는 user code그 문제가 어떤 형태의 명확한 키 및 수면 요청 과 같은 :

  cryptsetup luksSuspend root
  echo -n "mem" >/sys/power/state

커널은 호출로 sys_sync()교착 상태를 유발합니다 dm-crypt(루크가 일시 중단 된 후 의도적으로)

— 안드레이 포졸 로틴
소스

-2

실제로, 일시 중지에서 재개 할 때 화면 보호기 암호 문구가 필요한지 확인하면 안전합니다.

이렇게하면 노트북을 일시 중지 상태에서 재개 한 사람이 컴퓨터에 들어가기 전에 암호를 입력해야합니다.

여기에 이미지 설명을 입력하십시오

— 더스틴 커클랜드
소스

그리고 이것은 실제로 luksSuspend / luksResume?

— Stefan Armbruster 2014

아니요, 랩톱을 다시 시작하는 사람이 이력서에 비밀번호를 입력해야합니다. 데이터를 암호화하는 데 시간이 걸린 경우에 필수적입니다.

— 더스틴 커클랜드

어, 이것으로는 충분하지 않습니다 ... 단지 스크린 세이버 암호입니다. GUI로 돌아 가기 전에 LUKS 암호를 다시 입력해야합니다.

— BenAlabaster

바로 그거죠. luksSuspend / luksResume을 사용하지 않으면 LUKS의 암호 해독 키는 여전히 RAM에 있습니다. 우분투로 이것을 할 수있는 방법이 있습니까?

— jzila

이것이 충분하다면이 질문은 존재하지 않을 것입니다. 그렇습니다. 이는 실제 수명 시나리오의 99 %에서 데이터를 보호하지만 위에서 언급 한 것처럼 이력서에 비밀번호 보호가 활성화되어 있어도 일시 중단 중에는 비밀번호가 RAM에 캐시됩니다. 기술을 많이 사용하는 적 (예 : NSA)은 '콜드 부팅 공격'을 수행하고 암호를 복구 한 다음 모든 데이터를 해독 할 수 있습니다.

— Chev_603