Форум русскоязычного сообщества Ubuntu


Увидели сообщение с непонятной ссылкой, спам, непристойность или оскорбление?
Воспользуйтесь ссылкой «Сообщить модератору» рядом с сообщением!

Автор Тема: Безопасность ecryptfs при смене пароля  (Прочитано 2043 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн rygoravich

  • Автор темы
  • Новичок
  • *
  • Сообщений: 39
    • Просмотр профиля
Не встречался с ecryptfs ранее, сейчас поставил свежую ubuntu и шапочно познакомился... Проблема в следующем - документация на русском языке практически отсутствует, в связи с чем возникают вопросы...

Давно использую dm-crypt (luks), понимаю, как работает эта система, документации на нее хватает, но ecryptfs остается темной лошадкой. Есть желание познакомиться поближе, но с инглишем траблы, что становится камнем преткновения.

Я так понимаю, что основное преимущество в сравнении с dm-crypt - в динамическом выделении дискового пространства, что для некоторых случаев весьма полезно. Вроде бы по большинству источников производительность близка к dm-crypt. Но - как ей вообще управлять?

Модель - меняется пароль (я вообще правильно понимаю - команда passwd, запущенная от владельца с зашифрованным $HOME шифрует старый ключ по-новому, после чего без нового пользовательского пароля к инфе добраться невозможно?), новый набирается с ошибкой (даже с двойной - возможно, мало ли что - клавиша на клавиатуре западает). Получается, что инфа безвозвратно теряется... Имхо, нехорошо, надо бы предусмотреть какую-нибудь заднюю дверь...

В общем, вопрос такой - как извлечь ключи шифрования из ecryptfs (для хранения, еснно, в надежнейшем месте) и как имея их получить доступ к шифрованной инфе? А лучше - ткните носом в более-менее приличную мануалку ecryptfs на русском (можно белорусском :) ) языке, с описанием утилит, их параметров и т.п...

Оффлайн ArcFi

  • Старожил
  • *
  • Сообщений: 15189
    • Просмотр профиля
    • aetera.net
Re: Безопасность ecryptfs при смене пароля
« Ответ #1 : 17 Января 2012, 04:44:37 »
Вроде бы по большинству источников производительность близка к dm-crypt.
Использовал ecryptfs на ноуте пару лет, полгода назад перешёл на luks: возвращаться обратно желания нет.
Помимо ощутимой разницы в скорости, отсутствуют недостатки ecryptfs, вызванные работой поверх существующей ФС.

Давно использую dm-crypt (luks), понимаю, как работает эта система, документации на нее хватает
Так что рекомендую пользоваться и дальше.

я вообще правильно понимаю - команда passwd, запущенная от владельца с зашифрованным $HOME шифрует старый ключ по-новому, после чего без нового пользовательского пароля к инфе добраться невозможно?
Да, вроде так и есть.

В общих чертах потроха у неё выглядят следующим образом (см. под спойлером):
https://forum.ubuntu.ru/index.php?topic=105108.msg791922#msg791922

Часть утилит из пакета, банально, скриптовые, т.е. чтобы разобраться в принципе работы, достаточно взглянуть на справку да посмотреть код в текстовом редакторе.
« Последнее редактирование: 17 Января 2012, 04:52:02 от arcfi »

Оффлайн rygoravich

  • Автор темы
  • Новичок
  • *
  • Сообщений: 39
    • Просмотр профиля
Re: Безопасность ecryptfs при смене пароля
« Ответ #2 : 18 Января 2012, 00:33:18 »
Давно использую dm-crypt (luks), понимаю, как работает эта система, документации на нее хватает
Так что рекомендую пользоваться и дальше.

А я и не собираюсь от dm-crypt отказываться :) . Им у меня зашифрован raid1 с lvm (все кроме /boot). Просто для отдельных пользователей (не всех) надо бы добавить дополнительный слой шифрования для домашнего каталога (т.е. если злоумышленник каким-то образом сможет добраться до основной части ФС, то к хоумам некоторых пользователей доступ получить не смог), и с учетом того, что заранее предсказать, сколько дискового пространства им понадобится, тут ecryptfs выглядит предпочтительнее. Да и скорость работы дисковой подсистемы для данных пользователей не имеет критического значения - таки не /var/lib/mysql...

А вообще, насчет скорости - будет время потестю...

В общих чертах потроха у неё выглядят следующим образом (см. под спойлером):
https://forum.ubuntu.ru/index.php?topic=105108.msg791922#msg791922

Часть утилит из пакета, банально, скриптовые, т.е. чтобы разобраться в принципе работы, достаточно взглянуть на справку да посмотреть код в текстовом редакторе.

Спасибо, полезная ссылка, вроде бы отчасти разобрался, однако хотелось бы уточнить пару вопросов...

Во-первых, хочу просто уточнить - я правильно понимаю, результат ecryptfs-unwrap-passphrase /home/$LOGIN/.ecryptfs/wrapped-passphrase - и есть ключ шифрования, т.е. если где-нибудь в надежном месте его сохранить, то не будет проблем с монтированием неповрежденной ecryptfs?

Во-вторых какова функция у ключей из файла Private.sig? Могу предположить, хотя хотелось бы какое-нить подтверждение, что они подтверждает правильность ключа passphrase (т.е. если он неправильный, чтобы не монтировать полную кашу вместо целостной фс.

Оффлайн ArcFi

  • Старожил
  • *
  • Сообщений: 15189
    • Просмотр профиля
    • aetera.net
Re: Безопасность ecryptfs при смене пароля
« Ответ #3 : 18 Января 2012, 01:13:52 »
Во-первых, хочу просто уточнить - я правильно понимаю, результат ecryptfs-unwrap-passphrase /home/$LOGIN/.ecryptfs/wrapped-passphrase - и есть ключ шифрования, т.е. если где-нибудь в надежном месте его сохранить, то не будет проблем с монтированием неповрежденной ecryptfs?
Да,
Кстати, при первом логине вылезает окошко, предлагающее это сделать.
И надо учитывать, что в случае шифрования домашнего каталога, реальные пользовательские данные будут находиться в "/home/.ecryptfs/$LOGIN/.Private", а хомяк обычно монтируется лишь на время логина (пока остаются запущенными процессы от имени пользователя).

Во-вторых какова функция у ключей из файла Private.sig? Могу предположить, хотя хотелось бы какое-нить подтверждение, что они подтверждает правильность ключа passphrase (т.е. если он неправильный, чтобы не монтировать полную кашу вместо целостной фс.
В оригинале это звучит так:
Цитата: man ecryptfs
       ecryptfs_sig=(fekek_sig)
              Specify  the  signature  of  the mount wide authentication token. The authentication token must be in the kernel keyring before the
              mount is performed. ecryptfs-manager or the eCryptfs mount helper can be used to construct the authentication token and add  it  to
              the keyring prior to mounting.

       ecryptfs_fnek_sig=(fnek_sig)
              Specify  the  signature  of  the mount wide authentication token used for filename crypto. The authentication must be in the kernel
              keyring before mounting.
Цитата: man ecryptfs-add-passphrase
ecryptfs-add-passphrase is a utility to manually add a passphrase to the kernel keyring.
В общем, насколько я понимаю, это имена ключей, добавляемых конандой ecryptfs-add-passphrase на связку ключей ядра.

Оффлайн rygoravich

  • Автор темы
  • Новичок
  • *
  • Сообщений: 39
    • Просмотр профиля
Re: Безопасность ecryptfs при смене пароля
« Ответ #4 : 18 Января 2012, 02:32:59 »
Кстати, при первом логине вылезает окошко, предлагающее это сделать.

Ух, я пытался прочитать то, что там было написано, что-то вроде понял, но, видимо не так... Полезная штука, однако - знание английского языка...

Спасибо, arcfi, вы мне очень помогли!

Оффлайн aircross

  • Новичок
  • *
  • Сообщений: 21
    • Просмотр профиля
Re: Безопасность ecryptfs при смене пароля
« Ответ #5 : 04 Ноября 2014, 22:07:22 »
ArcFi,
 если так через файловый менеджер файл /tmp/ecryptfs.CXKUseXj/  не открывается permission denied  помоги добрый человек

Оффлайн ArcFi

  • Старожил
  • *
  • Сообщений: 15189
    • Просмотр профиля
    • aetera.net
Re: Безопасность ecryptfs при смене пароля
« Ответ #6 : 04 Ноября 2014, 22:17:30 »
aircross,
sudo nautilus /tmp

 

Страница сгенерирована за 0.053 секунд. Запросов: 25.