Criptografia do sistema Dm-Crypt com diferentes chaves por usuário

Question

Encontrei a seguinte configuração de exemplo para uma criptografia do sistema:

Example 5: paranoid system encryption

• whole hard drive encrypted with dm-crypt+LUKS
   └──> unlocked before boot, using dedicated passphrase + USB stick with keyfile
        (different one issued to each user - independently revocable)
• /boot partition located on aforementioned USB stick

No entanto, não encontrei nenhum detalhe.

Significa que é possível ter uma criptografia completa do sistema em que cada partição de usuário tem sua própria frase secreta, por exemplo, quando um usuário está logado, ele não pode ler os dados de outro usuário que não esteja logado. dados são criptografados? (Similar como seria o caso se você criptografasse diferentes partições home com ecryptfs ).

Então alguém pode fornecer alguns detalhes sobre como isso funciona na prática e como configurá-lo em um sistema Ubuntu?

    

Answer 1

Se você quer uma criptografia por usuário, o Ubuntu já oferece uma solução para isso eu acredito. Ele não usa dm-crypt/luks , mas ecryptfs ou similar, para criptografar individualmente o diretório inicial de cada usuário, usando uma camada criptografada sobre o sistema de arquivos normal.

Quanto a dm-crypt/luks , você teria que criar uma partição separada ou um volume lógico para cada usuário para obter a mesma coisa.

Outra possibilidade é que ele está se referindo ao LUKS suportando múltiplas chaves para o mesmo container. No entanto, isso é limitado a 8 slots principais, o que não é muito prático, a menos que seu número de usuários seja tão pequeno.

Você também pode configurar um sistema encadeado - fornecer ao usuário uma chave que desbloqueia uma chave mestra que, por sua vez, desbloqueia o contêiner. Eu não acho que é realmente adequado para o gerenciamento de usuários - pode ser útil se você quiser evitar roubo / perda de pendrive == perda de chave.