Quanto è sicura una partizione crittografata?

Quando ho installato Ubuntu 16.04 ho scelto di crittografare il file system e ora mi viene richiesta una password prima che Ubuntu si avvii.

Mi chiedo quanto sia sicuro ciò che rende i miei contenuti? In particolare:

• Tutto sull'unità è crittografato (compresi i miei dati)?

• Quanto è forte questa crittografia? (Lo so, è una questione di tempo e risorse e quale password ho scelto, ma intendo in senso pratico ... chiunque potrebbe rompere attraverso la mia porta di casa, ma il ladro medio non ha le risorse o l'inclinazione a temere un Casa). Ad esempio, se invio il mio computer portatile per riparazioni o se il mio computer portatile viene smarrito o rubato, devo preoccuparmi di qualcuno che non ha davvero un motivo pressante per provare a decrittografarlo e ottenere un accesso facile? (So ​​che una domanda simile è stata posta qui , ma è successo un po 'di tempo fa, quindi forse le cose sono cambiate?)

• Inoltre, la crittografia mi impedisce di (a) installare l'SSD con il file system crittografato in un dispositivo diverso o (b) fare un backup completo dell'unità (usando ad esempio una versione live di Ubuntu) e ad un certo punto ripristinare quel backup?

• Inoltre, se l'intero file system è crittografato, c'è qualche valore nel crittografare anche la mia cartella principale in Ubuntu?

• Se si sceglie di crittografare il nuovo sistema tramite LUKS, l'intero sistema viene crittografato. Ciò include i file di sistema, la cartella home (e quindi i dati) e la partizione di swap. Ciò significa che è possibile utilizzare suspend-to-disk (aka ibernazione) e avere comunque tutti i vantaggi della crittografia completa del disco. Come sottolineato nei commenti, Ubuntu utilizza di default la sospensione su RAM. Affinché Ubuntu utilizzi invece la sospensione su disco, è necessario seguire le istruzioni su help.ubuntu.com che apparentemente funzionano solo per un numero limitato di macchine.
• La crittografia AES a 256 bit è probabilmente abbastanza forte per il prossimo futuro. Come è stato discusso qui su Cryptography Stack Exchange , forzare brutalmente AES-256 costerebbe circa 100 tredicillion volte il PIL mondiale - la cosa più vicina all'impossibile che tu possa immaginare. Persino forzare la crittografia AES a 128 bit richiede circa mille volte il PIL mondiale.
• La chiave LUKS non è bloccata da nient'altro che dall'intestazione LUKS (che è quella dell'HDD / SSD) e dalla tua passphrase (che è nella tua testa). Ciò consente di (a) utilizzarlo su qualsiasi altra macchina, purché ciò sia possibile anche con un disco di sistema non crittografato, vale a dire che per i sistemi comuni dovrebbe funzionare in modo impeccabile. Per quanto riguarda (b), sì, è possibile eseguire backup dell'intero disco con dd, ma tenere presente che queste immagini non verranno compresse in misura significativa. Ciò è dovuto alla natura indistinguibile dei dati crittografati dai dati casuali senza la passphrase.
• C'è solo un vantaggio accademico in questo, cioè dopo aver consumato i primi tredecilioni di PIL mondiali per infrangere la crittografia del tuo disco intero, un utente malintenzionato avrebbe bisogno di un altro tredecilione di PIL mondiali per entrare anche nella tua cartella crittografata (assumendo passphrase / chiavi diverse). Quindi in realtà rafforza la tua crittografia da 256 bit a 257 bit di lunghezza della chiave. Come nota personale, utilizzo persino l'accesso automatico su macchine di crittografia del disco completo, poiché considero la crittografia del disco abbastanza sicura da non richiedere l'inserimento della password dopo l'avvio.

• Non tutto il tuo disco è crittografato, ma i tuoi dati lo sono.

  La parte che non è crittografata è la tua /bootarea, poiché viene utilizzata durante l'avvio. Alcune interessanti conseguenze che ne derivano possono essere trovate qui .

• È possibile scoprire la forza della crittografia dell'installazione specifica eseguendo

  ls /dev/mapper/ |grep crypt
  

  L'output sarà YOUR_CRYPT

  cryptsetup status YOUR_CRYPT
  

  Esempio:

  ls /dev/mapper/ |grep crypt
  nvme0n1p4_crypt
  sudo cryptsetup status nvme0n1p4_crypt
  
  /dev/mapper/nvme0n1p4_crypt is active and is in use.   
  type:    LUKS1    
  cipher:  aes-xts-plain64   
  keysize: 512 bits   
  device:  /dev/nvme0n1p4     
  offset:  4096 sectors   
  size:    499410944 sectors   
  mode:   read/write   
  flags:   discards
  

  Il tuo grado di crittografia varierà in base a quando hai installato su Ubuntu e quale versione stai usando, ma anche una configurazione più vecchia sarà abbastanza forte e probabilmente resisterà al crack casuale. Una buona discussione sulla crittografia a livello di blocco di Ubuntu: quanto è sicura la crittografia predefinita dell'intero disco di Ubuntu?

• L'avvio dell'unità crittografata su hardware diverso non sarà un problema. Se si esegue una copia bit per bit dell'unità crittografata, è comunque possibile avviarla normalmente e accedere utilizzando la password. L'operazione di copia deve essere eseguita in modalità "offline" (con l'unità non montata, dopo l'arresto). È improbabile che una raccolta di dati online funzioni, ma non ne sono sicuro al 100%.

• La crittografia "Cartella principale" si basa sull'idea "cartella home in un file". Se il sistema non fosse crittografato e il file system fosse montato, la home directory crittografata sarebbe un singolo file di grandi dimensioni, crittografato utilizzando cryptsetup. Pertanto, la crittografia della cartella principale in un sistema crittografato aumenterebbe la difficoltà di ottenere i file personali. Tuttavia, potrebbe esserci un compromesso sulle prestazioni. Altro su casa crittografata.

Brevi risposte semplici:

1. Tutto sull'unità è crittografato (compresi i miei dati)? :

   • Sì, tutto è crittografato

2. Quanto è forte questa crittografia? :

   • Uscire forte forte come l'anello più debole si .

3. Inoltre, la crittografia mi impedisce di (a) installare l'SSD con il file system crittografato in un dispositivo diverso o (b) fare un backup completo dell'unità (usando ad esempio una versione live di Ubuntu) e ad un certo punto ripristinare quel backup? :

   • Devi provarlo per convincerti. Dimentica la password e tutti i tuoi dati sono spariti, se conosci qualcuno che è stato in grado di decifrarlo dopo una situazione del genere, faccelo sapere.

4. Inoltre, se l'intero file system è crittografato, c'è qualche valore anche nella crittografia della mia cartella principale in Ubuntu? :

   • Perdita di tempo, non è necessario. Ma se hai bisogno di OK!

Maggiori informazioni:

Da quel link che hai condiviso cito un link che ho seguito:

la morale di questa storia? Se sul telefono è installata una partizione LUKS, è molto semplice ottenere la chiave di crittografia master. cryptsetup cancella la chiave da ram durante un'operazione luksClose, quindi il mio consiglio è di montare il tuo drive LUKS solo quando lo stai usando e quindi smontare e luksChiudi quando hai finito . Altrimenti, diventa un enorme buco di sicurezza. Quasi come se il tuo disco non fosse crittografato in primo luogo.

Probabilmente è opportuno menzionare qui che LUKS su Android non è l'unico sistema suscettibile a questo tipo di attacco. Praticamente tutti i sistemi di crittografia del disco memorizzano la chiave di crittografia in ram. Il gruppo CITP di Princeton ha identificato questo fatto molto tempo fa. Il mio punto qui è solo che un attacco come questo è molto facile da fare!

Nota la sezione in grassetto più informazioni . Come ho detto, se sei debole o negligente nel modo in cui gestisci le tue cose, aspettati dei problemi. Ha dato consigli sempre di smontare o chiudere quando non lo si utilizza.