¿Por qué debería molestarse en cifrar el disco duro en Linux si se puede recuperar fácilmente la contraseña de root?

Si tuviera una conversación con alguien sobre este tema, reiteraría su pregunta como esta declaración:

  

Si tiene acceso físico a una máquina, es bastante sencillo   para omitir o restablecer la contraseña de root, que es el punto central de tener   una unidad cifrada.

La idea es que puede reiniciar fácilmente el estado de ánimo de un solo usuario / mantenimiento y obtener un shell de root sin una contraseña. Luego, como root, puede hacer casi cualquier cosa que desee, incluida la sobrescritura de la contraseña de root y el reinicio con su nueva contraseña, o simplemente leer todos los datos directamente desde el disco.

O, por supuesto, simplemente extraiga el disco duro y use otra computadora para copiar todos los datos o hacer cambios en cualquiera de los datos.

La forma de evitar ese tipo de acceso es cifrar la unidad completa, por lo que un atacante tendría que descifrar la unidad antes de obtener el shell raíz o ver alguno de los archivos. En el contexto de su pregunta, la contraseña de root se cifra en reposo para que nadie pueda cambiarla o incluso ver el hash hasta que haya descifrado la unidad por primera vez.

También es importante separar cifrado de disco completo de un directorio principal cifrado . En el último esquema, ninguno de los directorios del sistema está encriptado, por lo que aún puede iniciar un shell de mantenimiento y acceder a todos los archivos del sistema, pero los archivos del usuario todavía estarán encriptados (¡con una frase de contraseña por separado!) Que necesitaría crack para acceder a esos archivos.

  

Si tiene acceso físico a una máquina, es bastante sencillo recuperar la contraseña de root, omitiendo todo el punto de tener una unidad cifrada.

Podrías estar mezclando cosas aquí. Las contraseñas de root y las contraseñas de cifrado de todo el disco no son lo mismo. Por lo menos no deberían ser.

• Las contraseñas de root son las que usa para iniciar sesión como root / admin en su sistema operativo.
• El cifrado completo del disco es la contraseña que se usa para descifrar el disco duro, de modo que incluso puede usarlo.

Si alguien tiene acceso físico a su dispositivo, y no tiene la contraseña de cifrado de su disco, no puede desbloquear el disco duro y no puede obtener datos utilizables. Será basura.

Incluso si alguien tiene su contraseña de root, no debería tener su contraseña de FDE, a menos que esté usando la misma contraseña para cada una, lo que en caso de que tenga una configuración de seguridad incorrecta.

Como han señalado otros, el hecho de poder cambiar la contraseña de root (o la contraseña de cualquier usuario) no descifra el disco. Sin embargo, si no se usa el cifrado completo del disco, un atacante puede realizar un ataque de "sirvienta malvada" como este:

1. Haga una copia completa del disco.
2. Arranque en el sistema como root, usando un disco de rescate o shell de mantenimiento.
3. Modifique / trojan el software de cifrado del disco para capturar la contraseña y / o las claves de cifrado.
4. Publique las credenciales en un servidor del atacante o guárdelas en un disco en algún lugar para su posterior recopilación.
5. Use las credenciales capturadas y la copia del disco anterior para descifrar y leer los datos.

Técnicamente, un ataque malvado no implica el paso 1, e implica regresar más tarde para recuperar las credenciales capturadas y posiblemente modificar los datos cifrados.

Incluso si se usa el cifrado completo del disco, las personas a menudo no cifran el kernel o el disco de memoria inicial. Si los cifran, a menudo no cifran el gestor de arranque, por lo que también puede estar dañado con el acceso físico. La conclusión es que en algún lugar habrá un código no cifrado que lee las credenciales antes de descifrar el resto del disco. Para protegerse contra eso, el gestor de arranque sin cifrar, etc., debe almacenarse fuera de la computadora, por ejemplo. en una unidad flash que el propietario lleva con ellos. Incluso esto no protege contra un keylogger de hardware o BIOS troyanos.

Habiendo dicho todo eso, el cifrado del disco protege sus datos en el caso de que alguien simplemente robe su disco / computadora, usted envíe su disco para la garantía, o venda / regale el disco y se olvide de ponerlo en cero. Estos son los riesgos más comunes para la mayoría de los usuarios.