¿El cambio del archivo de claves de un volumen LUKS después de abrirlo aumenta la seguridad de la clave?

Question

¿El cambio del archivo de claves de un volumen LUKS después de abrirlo aumenta la seguridad de la clave?

#1 de F. Hauri (1 votos)

1

¿Suponiendo que hay un volumen LUKS que utiliza un archivo de claves y que el archivo de claves se genera automáticamente antes de abrir el volumen y se elimina después de su uso, el cambio del archivo de claves evita que sea robado de la RAM en este escenario?

Creando el volumen LUKS usando un archivo de claves:

Cree un archivo de claves usando un algoritmo OTP, como HOTP con una clave secreta y un contador
Almacena el valor del contador
Cree el volumen LUKS y asigne el archivo de claves
Eliminar de forma segura el archivo de claves

Usando el volumen:

Vuelva a crear el archivo de claves con la clave secreta + contador
Abrir el volumen LUKS a través de: %código%
Incrementa el contador
Cree un nuevo archivo de claves con el nuevo valor de contador
Agregue el nuevo archivo de claves al volumen LUKS a través de: %código%
Retire la llave antigua del contenedor a través de: %código%
Eliminar de forma segura el archivo de claves y el archivo de nuevas claves

Lo que quiero saber es que si la memoria del sistema se probó después del paso 7 y mientras el volumen todavía está montado, sería posible recuperar la clave maestra del volumen, o la clave utilizada para abrir el volumen en el paso 2, o ¿La nueva clave asignada al volumen en el paso 5?

luks

pregunta pwnd 02.12.2013 - 15:13

fuente

1 respuesta

Lea otras preguntas en las etiquetas luks

es QuickVPN Secure ¿Existe alguna ventaja al aplicar pbkdf2 a una clave que se usa para generar un MAC?

score 1 · Accepted Answer

En breve no.

Si ha vaciado fuertemente el ram y ha eliminado de forma segura su archivo de claves, parece que no existe una forma de recuperar las claves anteriores **.

Incluso si no se realizó el paso 6, en metadatos LUKS solo encontrará un hash de ellos: la clave no se almacena en texto claro:

cryptsetup  luksDump /dev/sde2

Mostrará todas las claves en forma detallada.

** (HOTP: Hack solo transforma el problema)

Pero, con este método, no está realmente más protegido que usar una contraseña que no haya cambiado: si se descubrió una tecla usada (por keylogger, camere o direct vue en su teclado), la próxima vez que las presione, será fácil. para ver dónde están las diferencias y cómo difieren las dos claves.

h.o.t.p. pero el problema sigue siendo el mismo ...

Buen método

De todos modos, el procedimiento parece correcto.

Uso LUKS en particiones con persistencia en vivo en mi llave USB de Debian en vivo.

En mi opinión, por tener una clave tan transportable, usar la seguridad strong . Genero una luks key con 10 frases de contraseña seguras , (para estar almacenado en mi cerebro poderoso) y cada vez que uso un entorno sospechoso, elimino la última clave utilizada, antes de continuar usando la sesión en ejecución.

No importa sobre la memoria, si la clave se suelta del encabezado luks, solo tengo que usar una de la otra, la próxima vez.

Con 5 frases secretas diferentes, podría trabajar mucho tiempo

Mi computadora de escritorio preferida es mi computadora portátil.
Principalmente cuando uso mi clave, está en el hardware en el que trabajo (abierto y sin keylogger)
Hay operaciones extremadamente raras que hago en un entorno realmente sospechoso.

(En el próximo 6 meses, solté solo una tecla y no estoy seguro de que esto fuera realmente necesario).

Pero su procedimiento podría ser útil para operaciones sólidas contra toda la lista de claves ... tal vez.