La forma en que LUKS funciona es que almacena un encabezado (en su mayoría cifrado) en el dispositivo de almacenamiento subyacente. Este encabezado contiene, entre algunos otros metadatos, la clave de cifrado de datos real, cifrada bajo una o más claves derivadas de frase de contraseña. Esto es para lo que son las "ranuras clave" de LUKS.
dm-crypt funciona esencialmente de la misma manera, menos el encabezado. Para los fines de su pregunta, por lo tanto, pueden considerarse idénticos para todos los propósitos y propósitos.
Todo el cifrado y descifrado de datos, incluidos los metadatos de LUKS, tienen lugar en el host donde se realiza la asignación de LUKS. El dispositivo de almacenamiento que se encuentra debajo del nodo del dispositivo de mapeo (en lo que normalmente crearía un sistema de archivos en una configuración LUKS) solo ve el texto cifrado generado al ejecutar los datos almacenados deseados a través del algoritmo de cifrado seleccionado.
Entonces, mientras lo que estás haciendo es ingresar la frase de contraseña en un proceso que se ejecuta localmente en tu propio sistema, realmente no hay nada contra lo que lanzar un ataque MITM que no esté disponible para < em> cualquier solución de almacenamiento. Claro, un atacante puede interrumpir el almacenamiento al inyectar comandos de almacenamiento para sobrescribir el área crítica de metadatos de LUKS, que hará que todos los datos sean inaccesibles, o pueden negarle el acceso al almacenamiento por completo, pero esos mismos ataques funcionan exactamente igual sin LUKS. no son realmente una propiedad de usar LUKS, sino de poder emitir comandos de nivel de almacenamiento contra su almacenamiento sin su autorización. Puede mitigar esta amenaza un poco utilizando dm-crypt, ya que dm-crypt no tiene metadatos críticos propios, o puede guardar una copia segura del encabezado LUKS, pero no puede evitar totalmente los ataques a este nivel.
La situación cambia drásticamente si está ejecutando los comandos LUKS en el propio NAS , como si lo hiciera el NAS tendrá cierto grado de conocimiento de la frase de contraseña. En tal escenario, al comprometer la seguridad de la conexión del NAS a su estación de trabajo (o al propio NAS), es muy probable que un atacante pueda obtener acceso a su frase de contraseña, lo que permite una fácil recuperación de texto completo.
Por supuesto, cuando ejecute los comandos LUKS en su estación de trabajo, tendrá que asegurarse de que la computadora de la estación de trabajo esté segura. La ventaja es que una PC con un sistema operativo completo tiende a tener actualizaciones de seguridad se entrega de manera más oportuna que la mayoría de los dispositivos, especialmente después de que el proveedor del dispositivo haya pasado al siguiente modelo, y que el software que se ejecuta en una PC sea a menudo más fácil de inspeccionar que el que se ejecuta en un dispositivo. El inconveniente es que suele haber muchos más lugares para ocultar algo sospechoso en un sistema de estación de trabajo en toda regla.