¿LUKS protege la integridad del sistema de archivos?

10

He leído en:

enlace

que Bitlocker no proporciona integridad de datos, ya que ocupa más espacio en el disco. El PDF dice también que los sistemas de cifrado de unidades no ofrecen integridad de los datos almacenados, implementando la llamada autenticación de hombre pobre:

"La mejor solución es usar la autenticación del hombre pobre: cifre los datos y confíe en el hecho de que los cambios en el texto cifrado no se traducen en cambios semánticamente sensibles al texto plano. Por ejemplo, un atacante puede cambiar el texto cifrado de un ejecutable, pero si el nuevo texto sin formato es efectivamente aleatorio, podemos esperar que haya una posibilidad mucho mayor de que los cambios colapsen la máquina o la aplicación en lugar de hacer algo que el atacante quiere ".

¿LUKS ofrece alguna verificación de integridad en los datos de los usuarios?

A partir de la wiki de Arch ( enlace ):

"mkinitcpio-chkcryptoboot es un gancho mkinitcpio que realiza verificaciones de integridad durante el primer espacio de usuario y aconseja al usuario que no ingrese su contraseña de partición raíz si el sistema parece estar comprometido. La seguridad se logra a través de una partición cifrada / de arranque, que se desbloquea usando el módulo cryptodisk.mod de GRUB y una partición del sistema de archivos raíz, que está cifrada con una contraseña diferente a la anterior. De esta manera, el initramfs y el kernel están protegidos contra la manipulación fuera de línea, y la partición raíz puede permanecer segura incluso si el / la contraseña de la partición de inicio se ingresa en una máquina comprometida (siempre que el enlace chkcryptoboot detecte el compromiso, y no esté comprometido en el tiempo de ejecución). "

Saludos cordiales

    
pregunta BrunoMCBraga 03.05.2015 - 00:53
fuente

2 respuestas

3

No, LUKS no realiza ninguna comprobación de integridad. El cifrado autenticado expande el texto cifrado con respecto al texto plano, y LUKS no tiene ninguna funcionalidad implementada para lidiar con esto. LUKS utiliza dm-crypt , generalmente en modo CBC o XTS.

    
respondido por el Vincent Yu 09.07.2015 - 08:52
fuente
5

LUKS formateado con la opción --integrity <algorithm> proporcionará protección de integridad para el volumen cifrado.

Para que funcione, --type luks2 debe usarse al formatear el dispositivo (la apertura del dispositivo formateado con LUKS2 y la protección de integridad funciona exactamente como para dispositivos cifrados "normales").

El inconveniente es que el objetivo de integridad requiere que los datos se escriban dos veces para preservar la atomicidad de las escrituras. Es posible deshabilitar esta función ( --integrity-no-journal ) con el posible riesgo de pérdida de datos: los desajustes entre las sumas de verificación se informarán como errores de E / S en las lecturas. El segundo inconveniente es que se pierde algo de espacio en las sumas de comprobación, entre el 0,1% (para crc32) y el 0,78% (para SHA-256).

Con las unidades de formato avanzado (sectores 4K), es una buena idea proporcionar también --sector-size 4096 , ya que asegurará la alineación de bloques de bloques virtuales a bloques físicos de disco.

Consulte presentación de FOSDEM .

    
respondido por el Hubert Kario 08.05.2018 - 00:26
fuente

Lea otras preguntas en las etiquetas