¿Es más seguro usar decrypt_derived que un archivo de claves?

Question

¿Es más seguro usar decrypt_derived que un archivo de claves?

#1 de mgorven (5 votos)

5

Supongamos que tengo dos particiones en un sistema Linux, una partición raíz ( / ) y una partición /home . Ambos están encriptados con LUKS .

La partición /home solo necesita ser descifrada si / está desbloqueado y montado. En el momento del arranque, ingrese la contraseña para la partición raíz. Ahora he encontrado varias posibilidades para evitar tener que ingresar varias frases de contraseña:

Use decrypt_derived de Debian . Esto recupera la clave (¿maestra?) De la memoria (¿segura?) Y la usa como frase de contraseña para la segunda partición. Se ha mencionado en Unix.SE .
Cree un archivo de clave a partir de datos aleatorios, almacénelo en la partición principal y utilícelo como frase de contraseña para la segunda partición. Esto es fácil de configurar.
De alguna manera, lea la frase de contraseña y escríbala en la entrada estándar de cryptsetup . Esto significa que las frases de contraseña deben ser las mismas para ambas particiones.

¿Cuáles son las implicaciones de seguridad de cada método y qué método se recomienda?

linux disk-encryption luks

pregunta Lekensteyn 20.06.2012 - 18:59

fuente

1 respuesta

Lea otras preguntas en las etiquetas linux disk-encryption luks

¿Dónde reside la responsabilidad de una vulnerabilidad XSS? desinfección de entrada / salida en php / codeigniter

score 5 · Answer 1

decrypt_derived es ligeramente mejor que el enfoque de archivo clave por estos motivos:

Podría guardar accidentalmente el archivo de claves con los permisos incorrectos y, por lo tanto, filtrar los contenidos a usuarios no root en el sistema, mientras que la clave maestra para un permiso LUKS solo puede ser accedida por la raíz.
Podría eliminar accidentalmente el archivo de claves, mientras que la clave maestra no se puede cambiar o eliminar accidentalmente.
Si el sistema de archivos raíz se daña, podría perder el contenido del archivo de claves, mientras que la clave maestra no se verá afectada por esto.

Básicamente, usaría decrypt_derived si está disponible (es decir, estoy usando Debian / Ubuntu), pero no haría el esfuerzo de instalarlo manualmente si no lo está. En cualquier caso, aún agregaría una clave de contraseña adicional a la partición doméstica en caso de que la partición raíz se corrompa y se pierda la clave maestra.

Desde luego, no usaría el tercer método que sugeriste, ya que es más trabajo y deseas evitar almacenar la frase de contraseña en cualquier lugar.