Cartella principale crittografata ancora accessibile dopo il logout

Se hai un account con una cartella home crittografata, non puoi accedere ai dati di testo normale dell'utente nella loro cartella home se l'utente non ha ancora effettuato l'accesso, dall'ultimo avvio del sistema. Questo è quello che mi aspettavo perché in realtà non dovrebbe essere praticamente possibile accedere alla cartella principale di un utente senza che sia stata immessa la password.

Tuttavia, ho scoperto che quando un utente con una cartella home crittografata accede e quindi si disconnette, i dati di testo normale nella loro cartella home sono ancora accessibili ad altri utenti. Sono richiesti privilegi di accesso sufficienti, ovviamente.

wnon elenca l'utente e l'output di sudo pgrep -u <username>è vuoto, indicando che l'utente non ha alcun processo in esecuzione.

Qual è la ragione di questo comportamento? Perché non bloccare semplicemente la cartella principale dell'utente dopo aver effettuato il logout?

Bug noto

Se ho capito bene, questo è un bug noto.

Vedi questo link: wiki.archlinux.org/index.php/ECryptfs

Scorri verso il basso fino al paragrafo rosa

Avvertenza: Sfortunatamente lo smontaggio automatico è suscettibile di interruzione con systemd e i bug sono archiviati contro di esso ...

Work-around

Come è ora, è meglio spegnere o riavviare per rimuovere le tracce ( non è sufficiente disconnettersi).

Non posso verificarlo o confermarlo, ma supponendo che tu stia utilizzando ecryptfs(che è ciò che Ubuntu offre durante l'installazione, IIRC), i dati crittografati vengono archiviati in una cartella nascosta /home/.encryptfs/$USERe montati nella posizione della cartella principale effettiva utilizzando il ecryptfsdriver quando accedi nel.

Molto probabilmente, quindi, ciò che sta accadendo è che quando si effettua il logout non riesce a smontare automaticamente quella directory, quindi i file sono ancora accessibili. Ciò potrebbe essere causato da ...

• una configurazione errata (forse doveva essere configurato per smontare al logout ma non lo era)
• tipo di logout imprevisto (a volte queste soluzioni funzionano per l'accesso / disconnessione DM, ma in caso contrario non funzionano bene)
• se lo smontaggio è gestito da uno script di logout (non necessariamente il caso), qualcosa che precede il comando di smontaggio potrebbe non riuscire e causare la chiusura anticipata dello script.

Una cosa che può aiutarti a controllare questo sarebbe eseguire sudo mount | grep homeprima dell'accesso, dopo l'accesso e dopo il logout per vedere se homeè stato montato qualcosa che coinvolge . Puoi anche cercare /etc/fstabvoci pertinenti. Infine, c'è qualche configurazione /home/.ecryptfs/$USER/.ecryptfs/con le impostazioni pertinenti per il montaggio / smontaggio automatico.

Informazioni utili su ecryptfssono disponibili in questa risposta e nel sempre utile ArchWiki .

Modifica /etc/systemd/logind.confe impostaKillUserProcesses=yes

Si noti che questo rompe sfondo programmi, screen, tmux, e simili ...

Questa domanda qui viene approfondita in modo più dettagliato. Trovo superfluo definire un nuovo servizio di systemd (o più precisamente, non il comportamento desiderato, poiché è invocato come hook di arresto, non al termine della sessione utente).

/unix/251902/ecryptfs-auto-umount-does-not-work

Ho studiato questo problema per un po 'di tempo, vale a dire, il file system non crittografato rimane montato dopo il logout dell'utente.

Ho usato "ecryptfs-migrate-home -u user" per creare mount. ha seguito le indicazioni e tutto funziona tranne che per lo smontaggio automatico al logout.

Ho confrontato i file di configurazione nella /etc/pam.d/ con la documentazione di pam_ecryptfs e ho trovato alcune differenze. ecryptfs era in 4 dei file di configurazione pam.d mentre i documenti pam_ecryptfs indicano che solo 2 file necessitano / dovrebbero / supportano ecryptfs, ad es.

   /etc/pam.d/common-auth:
              auth    required        pam_ecryptfs.so unwrap
   /etc/pam.d/common-session:
              session optional        pam_ecryptfs.so unwrap

Quindi, ho commentato le altre 2 istanze, riavviato e tutto ha funzionato, si monta automaticamente al login e smonta automaticamente al logout sia per gli accessi grafici che per quelli della console. (Ho usato tty alternativi per verificare dall'account di root)

Questo è il 18.04 Lubuntu su laptop, desktop e guest virtualbox (host Windows).

Sono interessato all'esperienza altrui.

edit_1: testo migliorato. edit_2: aggiunti i risultati dei test desktop e VB.

Lo faccio con uno script in rclocal

#!/bin/sh
#

while true; do
    if [ ! -d /run/user/1000 ]; then
        if [ -f /home/momo/.mounted ]; then
            umount /home/harry
        fi      
    fi

    if [ ! -d /run/user/1001 ]; then
        if [ -f /home/vm/.mounted ]; then
            umount /home/maud
        fi
    fi

    sleep 10
done
exit 0

Se non hai bisogno di accedere da cron o ai lavori (attività non interattive) a QUALSIASI directory home, devi solo commentare la riga

session  optional        pam_ecryptfs.so unwrap

in /etc/pam.d/common-session-noninteractive.

Ciò farà smontare tutte le home directory crittografate quando l'utente si disconnette.