Protegido com Linux por criptografia por diretório (sem troca)?

Question

Eu tenho usado criptografia de disco inteiro por algum tempo no Linux com bom sucesso, mas a camada adicional de complexidade que ele adiciona é algo que eu gostaria de evitar, por exemplo, backup / complexidade de restauração do sistema, falta de suporte a TRIM para um SSD, etc. Idealmente, eu iria apenas criptografar cada diretório (como 'Documentos') que contém dados sensíveis.

Como uma máquina de usuário único, não estou particularmente preocupado com o 'root' ver os dados montados. Eu só estou preocupado com alguém invadindo e saindo com o hardware e tendo acesso aos dados.

A máquina em questão tem 16 GB de RAM e está executando uma unidade de estado sólido, portanto não tenho nenhuma partição de swap. Se um aplicativo não tem para onde trocar, geralmente eu não deveria ter que me preocupar com ele escrevendo para algum local desprotegido / não criptografado.

Minha pergunta é se eu deveria me preocupar com outros diretórios onde um aplicativo meu decidir armazenar temporariamente arquivos. Por exemplo, devo me preocupar em tentar criptografar o diretório '/ tmp'?

    

Answer 1

Você disse: "Minha pergunta é se devo me preocupar com outros diretórios em que um aplicativo meu decide armazenar arquivos temporariamente".

A resposta é que isso depende de quão paranóico você é. Não é realmente possível responder à sua pergunta muito bem. Eu acho que é por isso que não foi respondida anteriormente. No entanto, vou tentar uma resposta ...

Como você disse que a criptografia de disco completo não vale a complexidade para você, acredito que suas necessidades (apenas criptografar arquivos em diretórios sensíveis) podem ser atendidas com algo como o EncFS. Veja esta resposta:

Esta é sua resposta: link

Em relação ao / tmp, mantenha-o na memória, montando-o como tmpfs, como discutido nessa resposta. E não se preocupe com mais nada. Se isso não for bom o suficiente para você, volte para a criptografia de disco completo.