Como usar um disco criptografado sem precisar de uma partição de inicialização não criptografada

Question

Eu gostaria de saber se existe uma maneira de criptografar um sistema Linux que não requer uma pequena partição não criptografada / boot.

Além disso, gostaria de saber se a criptografia pode ser implementada em um sistema não criptografado existente de forma que ele seja criptografado "on the fly" enquanto um usuário estiver usando o sistema. Assim, não exigindo a reinstalação do SO.

Neste momento a solução que eu uso para o linux é luks. Eu normalmente re-instalar o sistema operacional (backup e restauração de quaisquer dados que precisam ser mantidos) criar uma pequena partição / boot para iniciar e todas as outras partições são criptografadas, incluindo swap. Eu uso kickstart para redhat ou preseeding para sistemas baseados em Debian. A instalação, criptografada ou não, é totalmente automatizada.

Eu entendo que para todos os propósitos práticos este método de criptografia é seguro e não há nenhuma maneira (a menos que a senha seja salva ali ou algo similarmente estúpido) para encontrar informações sobre como descriptografar as partições usando a pequena partição não criptografada / boot oposta a ter uma partição swap não criptografada que poderia potencialmente revelar dados para ajudar a descriptografar uma partição. A razão pela qual estou procurando uma solução como essa é mais prática.

Suponho que algo assim precisaria ser iniciado a partir do bloco de inicialização do disco (mbr ou otherwsise) ou possivelmente carregado em cadeia. Provavelmente requer alguma funcionalidade adicionada ao bootloader, grub por exemplo, para solicitar uma senha e usá-la para abrir as partições para que possam ser lidas.

Eu fiz algumas pesquisas tentando encontrar soluções, mas ainda não encontrei uma que funcione, ou mesmo que funcione, não é nada prático (especialmente com uma base de mais de 100 usuários).

    

Answer 1

Eventualmente, você precisará iniciar o sistema a partir de um stub de texto não criptografado. Se este stub não estiver em clear no disco, a próxima opção seria no firmware; talvez um dia todas as placas-mãe UEFI suportarão criptografia de disco completo.

Dito isso, o que importa com a pequena partição de boot de texto puro é não ter confidencialidade (porque normalmente só contém dados de inicialização conhecidos publicamente), mas ter integridade . Você não quer que um invasor pegue sua máquina enquanto estiver dormindo, e substitua o código de montagem por um malicioso que irá capturar sua senha quando você inseri-la e armazená-la em alguma área oculta do disco.

Este é o problema que o Secure Boot está corrigindo, e você pode (teoricamente) usá-lo no linux, desde que o firmware de inicialização permita usar chaves personalizadas. Um componente de hardware (o TPM) garantirá (usando criptografia) que o sistema irá reclamar ao inicializar se a partição de texto não criptografado tiver sido alterada.

Existe um procedimento básico, incompleto e obsoleto para o Gentoo , que dá uma ideia aproximada do que pode ser feito .