¿Es suficiente el cifrado en casa?

Los datos de cualquier programa en ejecución podrían terminar en intercambio, por lo que su espacio de intercambio también debe estar encriptado. A menos que desee hibernar su sistema, el espacio de intercambio se puede cifrar con una clave aleatoria que se genera en cada inicio. Este es el caso de forma predeterminada si selecciona el cifrado de disco completo durante la instalación, pero no si simplemente cifra su directorio de inicio. Si su espacio de intercambio no está encriptado ya, configúrelo con 'ecryptfs-setup -wap . Si desea tener tanto espacio de intercambio como hibernación, consulte Habilitar Hibernación con intercambio encriptado en la documentación de la comunidad de Ubuntu.

Muchos programas ponen archivos temporales en /tmp . La mejor manera de manejar esto es poner /tmp en los tmpfs del sistema de archivos con respaldo de memoria en lugar de dejarlo en un sistema de archivos con respaldo de disco. También hay una ligera ventaja de rendimiento. Consulte este informe para saber cómo hacer esto.

Más allá de esto, los datos privados pueden terminar en varios lugares que no son su área de almacenamiento privado. Debe decidir en función de lo que considera confidencial si vale la pena cifrar estas áreas. Aquí hay algunos lugares notables:

• Si recibe correo localmente (en lugar de obtenerlo de un servidor POP o IMAP), llega a /var/mail . Si envía correo usando el método tradicional de Unix ( sendmail ), se transita a través de /var/spool/postfix (o lo que sea su MTA). Si no entiende este párrafo, no se aplica a usted.
• Si configura tareas recurrentes, se almacenan en /var/spool/cron .
• Cuando imprime algo, se transita en /var/spool/cups .
• Los registros del sistema bajo /var/log podrían contener datos que preferiría mantener privados, como los errores de red de los sitios a los que ha intentado conectarse.
• La configuración de su sistema en /etc puede tener algunas cosas confidenciales, como ISP o contraseñas de wifi.

Si cifras tu directorio de inicio con ecryptfs, ten en cuenta que no se montará si inicias sesión de forma remota con SSH mientras no hayas iniciado sesión localmente, así que si lo haces, tu archivo de clave pública de SSH ( ~/.ssh/authorized_keys ) necesita estar presente en forma cifrada y en texto claro.

Depende de lo que quieras asegurar. Si todo lo que quieres mantener seguro reside en / home /, entonces estás de oro. De lo contrario, no.

Por ejemplo, /var/spool/mail/ contiene el correo electrónico del sistema enviado a su usuario. /var/spool/cron/ contiene tus crontabs. Y si le preocupa que un actor malintencionado con acceso local (escenario de "malvada") se meta con su seguridad, definitivamente es no suficiente.

El cifrado de Homedir es conveniente y simple, y te permite proteger tus cosas personales de tu hermana mayor. Pero no es el cifrado de todo el disco, que es probablemente lo que quieres si haces esta pregunta.

Los intentos fallidos de inicio de sesión están limitados en velocidad si se realizan a través de PAM, pero los ataques de fuerza bruta contra su cifrado estarían desconectados de todos modos, por lo que su sistema operativo no tiene en cuenta.     

Eso depende de lo que quieras mantener en secreto. ¿Todo lo que te importa se sienta en / casa? ¿Te importa / etc? ¿Te importa si la gente sabe qué programas están instalados? Para la mayoría de los usuarios / home / probablemente sea suficiente. Sin embargo, todo depende de la información que quieras proteger.

EDITAR: / var es probablemente también un buen lugar para ver como spools (correo e impresión) y registros en vivo allí.

El sistema Linux no es realmente diferente de Windows en ese sentido. Además de su directorio de inicio, usted (como usuario de Linux) tiene permiso para escribir en algunos otros lugares, por ejemplo. /tmp y /var/tmp . También está la memoria virtual , también conocida como espacio de intercambio, en la que se copiarán extractos de sus datos más preciados en un lugar difícil de predecir Momentos, directamente desde la "RAM" de sus aplicaciones. Además, algunas partes del sistema operativo también tienen privilegios más altos y pueden escribir algunos de sus "secretos" en su nombre en otros lugares; un ejemplo común es /etc/shadow , que contiene las contraseñas de hash de los usuarios.

Es más seguro y simple, simplemente cifrar todo.

En cuanto a tu contraseña débil, bueno, es débil. No hay salvarlo. Incluso en el caso de su sistema Windows: si el atacante puede estar en presencia física de la máquina, puede abrir el estuche y enchufarlo. No se recomienda el uso de una tarjeta de conexión de PCI para la salud del sistema, pero se puede hacer (lo he visto hecho) y una tarjeta PCI puede leer y escribir RAM a voluntad, independientemente de lo que piense el sistema operativo. Esto le permitiría al atacante desbloquear el sistema y leer todos sus datos. Básicamente, si los atacantes previstos están motivados y son competentes , la única defensa es apagar la máquina siempre ( no ponerla en reposo o modo de hibernación) cuando no está físicamente presente.

Todo depende de lo que te preocupa: simplemente perder tu dispositivo o motivar a alguien para que lo ataque. Si es el primero, todos los comentarios anteriores sobre posibles fugas son válidos, pero el cifrado de la unidad doméstica es fácil y brinda una protección razonable. Si le preocupan los ataques, el cifrado de la unidad doméstica no es suficiente. Si un atacante obtiene acceso físico a su computadora portátil por un período corto, por ejemplo. en una habitación de hotel (conocida como el ataque de la criada malvada), luego, sin el cifrado completo del disco (y elementos adicionales como el arranque seguro), potencialmente pueden iniciarse a través de USB, intercambiar algunos binarios con otros maliciosos y esperar hasta que desbloquee su hogar. conducir antes de tomar los datos.