Linux, NetBSD, etc. pueden instalarse con LUKS, por lo que además de / boot, todos los demás FS se cifrarán. Probablemente el kernel deba iniciarse antes de que la solicitud de contraseña llegue al usuario. La contraseña de LUKS
Mi pregunta: ¿Tiene sentido cambiar la contraseña de LUKS cada 90 días?
(Quiero decir, ¿cómo puede un atacante obtener la contraseña de LUKS? Si está con una Maid Evil ... entonces ya se perdió desde que el atacante obtuvo acceso al núcleo).
La rotación de la contraseña realmente depende del uso y la exposición. Si la máquina está siempre encendida y la contraseña solo se usa durante un reinicio mensual, entonces girar esa contraseña después de cada tercer uso no tiene todo el sentido.
En lugar de pensar en términos de tiempo , piense en la rotación de contraseñas en términos de riesgo . ¿Con qué frecuencia utiliza la contraseña, en cuántas máquinas escribe su contraseña, en qué tipo de entorno la escribe (p. Ej., En un aeropuerto, una cafetería o quizás solo en una sala de servidores), cuántas personas saber la contraseña, etc.
Si más de una persona tiene acceso a la contraseña, debe rotarla regularmente como algo habitual. La rotación disminuye la exposición si la contraseña se revela inadvertidamente; y mientras más personas lo vean, más probable es que uno lo divulgue (intencionalmente o no). Cambiar la contraseña revoca inmediatamente el acceso de cualquier persona que no debería tener acceso (asumiendo que no hayan instalado algún tipo de puerta trasera).
Pero lo más importante, siempre, siempre, siempre cambia una contraseña cuando alguien la tiene quien no debería (o quien ya no la necesita).
Su riesgo nunca será cero, y no hay problema de que se pueda resolver el cambio de su contraseña. Pero muchas veces he visto casos en los que la misma contraseña ha estado en uso para controlar un recurso durante años , sin importar quién venga y se vaya. He visto negocios hundidos porque se le dio una contraseña a un contratista 3 años antes, quien la guardó en una computadora personal que desde entonces estaba comprometida por los atacantes.
No necesita políticas de rotación de contraseñas rígidas, ciegas y sin sentido para estar seguro. Pero debe tener en cuenta el riesgo que representa una contraseña determinada.
Bueno, depende. Si un atacante alguna vez tuvo acceso a su volumen cifrado LUKS, la rotación de la contraseña más allá de ese incidente es inútil. Esto se debe a que el atacante puede haber hecho una copia de seguridad de su encabezado LUKS, que contiene toda la información necesaria para descifrar su volumen LUKS, siempre que se conozca una frase de contraseña. Consulte las cryptsetup FAQ para obtener más información.
Lea otras preguntas en las etiquetas luks