¿Pueden crear una nueva clave de cifrado y cifrarla para que las frases de contraseña originales puedan descifrarla?
No veo cómo sería posible.
Como ya sabe, Luks funciona generando una clave "maestra" aleatoria que se almacena en el encabezado de Luks y se usa para cifrar el contenido del disco. En realidad, hay 8 ranuras de clave que hacen referencia a copias encriptadas de la clave maestra. Si abres una partición de Luks, proporcionas una contraseña para descifrar una de las copias maestras cifradas, que luego se usará para descifrar el contenido del contenedor.
El cifrado y descifrado de la clave maestra se realiza mediante el cifrado simétrico. Entonces, si alguien quisiera crear su propia partición de Luks que aceptara la misma frase de contraseña que la tuya, necesitaría saber al menos una de tus frases de contraseña para que cuando ingreses tu frase de contraseña en el contenedor de luks falsos, la frase de contraseña sea correcta. descifrar la clave maestra con la que se cifraron los datos en el contenedor.
La letra pequeña
¿Puedo asegurarme de que el contenido (sin cifrar) de mi volumen LUKS no se alteró si acepta mi frase de contraseña en un sistema de confianza?
No. No saber la contraseña no protege al contenedor de Luks de manipulación. Un atacante siempre puede sobrescribir cualquier parte del contenedor con cualquier información que elija; es solo que, por lo general, cuando abre el contenedor y descifra todo lo que se cambió, se descifra al azar y posiblemente rompe el sistema de archivos, lo que luego le notificará que el sistema de archivos se corrompió. Sin embargo, puede tomar un tiempo antes de acceder a una sección del sistema de archivos que fue manipulado; Hasta que acceda a él o ejecute una verificación de integridad del sistema de archivos, no notará que se haya realizado ninguna manipulación.
Probablemente no sea lo que te preocupa, pero ¿qué te parece este escenario?
Tienes una partición de Luks. Eres muy diligente, por lo que puedes hacer una copia de seguridad en otro disco duro usando dd (por ejemplo, haciendo una copia byte a byte de la partición).
El atacante se apodera de tu disco duro de respaldo. Lo que puede hacer ahora es comparar los dos discos, el nuevo y el anterior, y descubrir que hay cambios. Cuando encuentra una sección que le parece prometedora, puede tomar la sección antigua de la unidad de copia de seguridad y copiarla en el mismo lugar en la partición de luks productiva.
A veces, esto fallará y también resultará en un sistema de archivos dañado. Sin embargo, en algunos casos funcionará, por ejemplo. cambiará algunos contenidos de los archivos o directorios a lo que eran cuando tomaste la copia de seguridad, sin avisarte que la partición Luks fue modificada por otra persona. Es más probable que este ataque funcione en sistemas de archivos antiguos que no tengan registro en diario y lo más probable es que siempre falle en sistemas de archivos de copia en escritura como btrfs.
Entonces, para resumir, hacer copias de seguridad exactas a nivel de byte de una partición de Luks podría permitir a un atacante revertir de forma transparente cualquier cambio realizado en la partición productiva a la versión de la copia de seguridad.
Si eso es un problema, puede evitarlo creando una nueva partición luks en el medio de copia de seguridad y copiando los datos del sistema de archivos de texto plano dentro del contenedor en lugar de clonar el contenedor Luks en sí.
Cómo hacer que su contenedor de Luks sea a prueba de manipulaciones
Para que su contenedor de Luks sea a prueba de manipulación indebida, puede crear una suma de hash cuando termine de usarlo y cerrarlo. Guardas esta suma de hash en algún lugar seguro. Antes de abrir el contenedor la próxima vez, volverá a generar la suma de hash y la comparará con la almacenada. Si coinciden, nadie lo manipuló.
El problema con esta solución es que los sistemas de archivos suelen ser muy grandes y la creación de un hash en toda la información del sistema de archivos puede llevar horas o días.