neprihlásený Sobota, 14. decembra 2024, dnes má meniny Branislava, Bronislava
Šifrovanie diskov v Linuxe sa výrazne zlepšuje, dostáva ochranu integrity

Značky: LinuxšifrovanieHDD

DSL.sk, 14.12.2017


Technológia šifrovania diskov LUKS podporovaná v Linuxe a využívaná mnohými linuxovými distribúciami dostáva výrazné vylepšenie v podobe vydania novej hlavnej verzie nástroja cryptsetup 2.0.0.

Pri šifrovaní diskov podporovanom v rozličných moderných operačných systémoch sa uložené dáta šifrujú symetrickými šiframi, najmä AES. Univerzálna podpora pre takéto šifrovanie ľubovoľného blokového zariadenia je priamo v linuxovom jadre v podobe modulu dm_crypt tzv. device mappera, táto podpora ale nezahŕňa manažment kľúčov a hesiel.

Tú práve zabezpečuje štandard LUKS, Linux Unified Key Setup, a jeho implementácia softvérom cryptsetup. V LUKS sa potrebné metadáta a zašifrovaný kľúč pre samotné symetrické šifrovanie ukladá typicky v hlavičke na začiatku disku. Kľúč je uložený zašifrovaný kľúčom vypočítavaným z hesla užívateľa.

Nový cryptsetup 2 prichádza s výraznými novinkami. Prichádza s novou verziou hlavičiek LUKS2 s novými možnosťami, s bezpečnejším šifrovaním samotného symetrického kľúča, hlavne s podporou ochrany integrity dát a ďalšími technickými vylepšeniami.

cryptsetup 2 podporuje konkrétne nové algoritmy pre odvodzovanie kľúča z hesla, ktorým je zašifrovaný hlavný symetrický šifrovací kľúč. Cryptsetup a LUKS1 podporovali PBKDF v2, ktorý umožňoval relatívne rýchle skúšanie možností na GPU. Cryptsetup 2 tak prichádza s podporou Argon2i a Argon2id, ktoré vyžadujú veľké množstvo pamäti a nie sú efektívne implementovateľné na GPU.

Z LUKS1 je možné vo väčšine štandardných konfigurácií prejsť na LUKS2 formát a využiť výhody bezpečnejšieho generovania kľúča, táto operácia je ale nebezpečná a vyžaduje predtým odzálohovanie hlavičky.

Veľkou novinkou je podpora ochrany integrity dát, ktorá ich chráni a umožňuje detekovať chyby hardvéru aj zámernú zmenu dát. Útočník u doterajších šifrovaných diskov samozrejme nevedel zmeniť uložené dáta na aké chcel bez znalosti kľúča, mohol ich ale zmeniť respektíve poškodiť bez detekcie užívateľa.

S novou podporou integrity umožňuje cryptsetup 2 uchovávať ku každému sektoru aj doplňujúce autentifikačné dáta, kontrolnú sumu sektora a niektorých ďalších informácií. Tá sa overuje pri každom čítaní sektora a pokiaľ prišlo k zmene, je detekovaná. Útočník bez znalosti kľúčov respektíve hesla už nemôže dáta zmeniť, s výnimkou ich výmeny za staršiu legitímnu podobu toho istého sektora znovupoužitím získanej staršej verzie zašifrovaných dát.

Šifrovanie s ochranou integrity je implementované pomocou šifier typu AEAD, Authenticated Encryption with Additional Data, doplňujúce autentifikačné dáta sa uchovávajú pomocou modulu dm-integrity. Ten ich uchováva prekladane na disku, keď podľa ich veľkosti vyhradí každý n-tý sektor pre metadáta predchádzajúcich sektorov.

Ochrana integrity je podporovaná vo viacerých moderných súborových systémoch vrátane linuxového Btrfs, nie ale v hlavnom štandardnom používanom súborovom systéme ext4. Navyše podpora v univerzálnom cryptsetup pre šifrovanie ľubovoľného blokového zariadenia poskytuje flexibilnejšie možnosti, keď aj samotné šifrovanie sa môže a rozlične flexibilne kombinuje napríklad s RAID a LVM a úroveň a poradie kde sa aplikuje šifrovanie sa dá zvoliť.

Okrem týchto hlavných noviniek formát LUKS2 zlepšuje ochranu svojich metadát a cryptsetup 2 má aj viacero ďalších technických vylepšení.

Hoci cryptsetup 2 je novou stabilnou verziou, u všetkých hlavných noviniek upozorňujú autori že ešte môžu obsahovať chyby, dôrazne upozorňujú aby neboli používané bez záloh alebo na produkčných systémoch s potrebou kompatibility so staršími systémami a špeciálne podporu integrity označujú za zatiaľ experimentálnu.


      Zdieľaj na Twitteri



Najnovšie články:

HDMI dostane čoskoro novú verziu, pre vyššie rozlíšenia a fps
Notebooky s procesormi Snapdragon zákazníci vo veľkom vracajú, tvrdí Intel
Apple má v budúcom roku začať používať aj vlastný WiFi čip
Sonda NASA sa na Vianoce dostane najbližšie k Slnku
K dispozícii beta Linux Mint 22.1
Ďalší významný výrobca končí s Blu-ray prehrávačmi
Google zlepšil v Androide ochranu proti sledovaniu Bluetooth značkami
NASA má vysvetlenie havárie helikoptéry na Marse, naďalej komunikuje
Let’s Encrypt začne budúci rok poskytovať certifikáty platné iba 6 dní
Zákazníci Orangu sa čoskoro nepripoja na TCP port 25, operátor ho začne blokovať


Diskusia:
                               
 

este keby mi instalacia ubuntu 17.10 nebrickla BIOS v Lenovo y50-70 tak by tie linuxi boli celkom fajn. Za ten nie kratky cas co robim IT som este odjebany bios operacnym systemom nevidel. Musel sa fyzicky vymenit cely chip :/

Takze Linux uz odporucat nikomu jednoducho nemozem.

PS: Mozte minuskovat :)
Odpovedať Známka: -6.2 Hodnotiť:
 

Nakolko experti vedia psychicky, odborna uroven dodavatela je priekazna.
PS: Zato platnost povolenia bez elektronickeho podpisu je nepriekazna.
Odpovedať Známka: -4.5 Hodnotiť:
 

Ten laptop mam aj ja a ma veru riadne vela problemov, od klaves, ktore sa polamu, ked sa na ne nepekne pozries, cez blbe odvadzanie tepla a u modelov so 4K obrazovkou priserne zobrazenie zltej farby. Ubuntu 17.10 na tom pouzivam a zatial mi BIOS drzi. Vedel by si okrem trapneho "linux je shit" povedat, co sa cca stalo?
Odpovedať Známka: 6.6 Hodnotiť:
 

Nainstaloval som si linux. To sa stalo. https:// bugs.launchpad.net/ ubuntu/+source/linux/+bug/1734147
Odpovedať Známka: 2.4 Hodnotiť:
 

To mas za to, ze si kupujes kokotiny.
Odpovedať Známka: 5.7 Hodnotiť:
 

Zaujímavé čítanie. Niektorí ľudia tam naznačujú, že ten HW nerešpektuje EFI špecifikáciu. Podľa mňa je nešťastné, že BIOS sa nechá rozdrbať softwarovo, ale to nám priniesol "pokrok" ;-/
Odpovedať Známka: 9.1 Hodnotiť:
 

dopice, na budúce by si mohol použiť dáky skracovač
Odpovedať Známka: 2.5 Hodnotiť:
 

Ja retard, to ma nenapadlo, prepac, dopice.
Odpovedať Hodnotiť:
 

Klavesy drzia, farby ok s FHD displejom. Chladenie katastrofa, cpu ide (od vyroby) len na zakladnom takte hned ako sa zapne grafika ..
Odpovedať Známka: 1.4 Hodnotiť:
 

Strucne zhrnutie: Lenovo nie je Apple.
Odpovedať Známka: 0.0 Hodnotiť:
 

To su Ideapady, nieco, co by mali pribalovat zadarmo k musli, nie predavat ako pocitace.

Thinkpady su ale uplne ina kategoria, to uz su seriozne pocitace.
Odpovedať Známka: 5.0 Hodnotiť:
 

Pri ponuke vyhradne produktov rovnakej urovne kvality je ale moznost narusenia jej integrity susednou priekazne nulova.
Odpovedať Známka: -3.3 Hodnotiť:
 

Dalsi problem, na ktory som natrafil - obcasne samovypnutie laptopu aj pod Win10 pri chode na baterku v okamihu vyssieho vytazenia GPU.
Odpovedať Známka: 10.0 Hodnotiť:
 

ty brďo fakt? ja som minule inšaloval Win10 na moje Lenovo Y580 lebo som chcel upgradnuť z Win7 na ktorom mi občas šumel displej a musel som po tom jebnuť aby to prestalo a počas inštalatacie mi čosi začalo iskriť vnútri až mi z toho vzblkla grafika a z vetráku vyšľahli plamene až som musel bežať do tatkovho auta vytiahnuť taký malý 1kg hasičák a celé som to vystriekal ešte aj veci na stole som mal obhorené to bolo fakt v riti teda ešteže spolužiak je IT špecialista taký heker čo robí cracky na hry a tak prišiel mi to napájkovať nanovo novú grafiku tak som tam potom už Windows neskúšal dávať a prešiel som rovno na Arch linux a nemôžem si vynachváliť mám nižšiu spotrebu aj všetko aj vyššie fps mám v Sims 3 a CS1.6 ani som nemusel kupovať novy notebook na Vijanoce každopádne vám čo máte Win7 fakt neodporúčam Win10 to už radčej Vistu
Odpovedať Známka: -0.3 Hodnotiť:
 

A mne MAC PC napadol vedla stojaci WIN PC a tak sa d.j.b.l. ze ich musel Linux PC z vedlajsej miestnosti ozivovat.
Odpovedať Známka: 6.0 Hodnotiť:
 

Ďalší nádejný "inžinier" sa tu prejavil...
Isto je to to najdôležitejšie na svete, nejaké pridrbané hry a koľko je čoho snímkov za sekundu...
Palček si už necumleš?
Odpovedať Známka: -6.7 Hodnotiť:
 

Dorbrý matroš. RADČEJ to neber, lebo budú VIJANOCE na ho...
Odpovedať Známka: 6.7 Hodnotiť:
 

its_a_bait.jpg
Odpovedať Hodnotiť:
 

its_a_bait.jpg
Odpovedať Hodnotiť:
 

sranda, brickovali sa blahej pamate este ibm thinkpady poniektore, ale to uz je nejaky rok, vyzera, ze sa vyrobcovia nepoucili
Odpovedať Hodnotiť:
 

lenovo y50? To tu asi niekto nečíta dopodrobna notebookcheck.net pred tým ako niečo kúpi :/
Odpovedať Známka: 10.0 Hodnotiť:
 

Priznam sa, necitam, no po hodeni ockom som si odtial odniesol dobry (klamlivy) dojem - 4 z 5 hviezdiciek.
Odpovedať Známka: 10.0 Hodnotiť:
 

Mal som nejaky budget obmedzeny zamestnavatelom. Za tie peniaze bol co do vykonu top.
Odpovedať Hodnotiť:
 

Jo aj ja som o tom rozmyslal, super HW na papieri. Ale nulova servisovatelnost/rozoberatelnost (co je dost dolezity faktor pri hi-perf notebookoch, kvoli zanasaniu sa prachom) z toho urobila pre mna nezaujimavy kus. V tomto ohlade radsej Clevo notebooky (komplet pristup k vnutornostiam po odsroubovani spodneho panelu, bez straty zaruky!!!).
Odpovedať Známka: 10.0 Hodnotiť:
 

Za tie peniaze sa nedal nejaky HP ProBook, alebo aspon Thinkpad social edition?

Osobne HP vobec nemusim, ale vyberat medzi Ideapadom a ProBookom, beriem ProBook. Alebo ukecam sefa, nech dohodi na Thinkpad alebo XPS.
Odpovedať Hodnotiť:
 

Za tie peniaze fakt ziadny iny notebook s 4c/8t i7, 8gb ram, FHD a GTX860M nebol...
Odpovedať Hodnotiť:
 

ach jaj... hracsky alebo prvy notebook?

Pokial sa nehras hry na notebooku (co je blbost, tak maximalne na intrak), tak Nvidia nema absolutny zmysel. Skor je to nevyhoda, lebo Optimus len vyraba problemy s drivermi.

Do pracovneho notebooku jedine Intel gpu. Zerie a hreje to vyrazne menej, ziadne problemy s drivermi, vykonovo to na pracu staci.

2c-4t mobilny i7/8GB/FHD/Intel HD by si v tej cene nasiel, dostal by si poriadne (pevne, odlahcene) sasi a normalnu zaruku k tomu.

Osobne mam z tej doby T-ckovy thinkpad, ktory je i7/16GB/SSD/1600x900/Intel GPU/3G a stal cca 200 eciek viac.
Odpovedať Hodnotiť:
 

Mam to prave na hranie... kupila mi to firma, budget bol aky bol.. kedze v robote na nom robim a doma sa hram, tak proste toto vyslo najlepsie. Predtym som mal Z500 s gtx640m a ta masina je u brata a sluzi uz 5ty rok.
Jasne ze iba na pracu su ine masiny, v druhej robote by som si ho predstavit nevedel. Tam mam superlahky a vykonny dell za 2k€. Ale nie je na hranie.
Odpovedať Hodnotiť:
 

To ale nie je chyba Linuxu. EFI/UEFI "Bios" obsahuje "bootloader" a jednotlive OS mozu mat priamo v nastaveniach uEFI priamu cestu k OS loaderu. Preco sa to bezne nepouziva netusim, Windows zapise jednu cestu k svojmu BOOTMGR a jednotlive varianty riesi cez BCD databazu, hoci uplne to iste poskytuje aj u/EFI. Vsetky Linuxove loadery to tiez riesili podobne cez LILO a podobne. Ubuntu 17.10 to zacal konecne robit tak ako sa to "ma" a za to, ze sa na Lenove UEFI sam pokazi, ked mu povies aby si doplnil riadok do svojho boot zoznamu, UBUNTU URCITE NEMOZE!
Co ale malo Ubuntu hned spravit, urobit novy obraz s varovanim, ked najdu danu verziu UEFI na pocitaci a ponukou pouzit legacy boot loader.
Chyba je jednoznacne na strane Lenova a ich postoj je len dalsim dôvodom, preco Lenovo nekupovat.
Odpovedať Známka: 10.0 Hodnotiť:
 

Jo jo. Sem-tam sa od lenova objavi nejaky velmi zaujimavy hardver (napr. K920 a.k.a. Z2 Pro, Y50 ...) s velmo zaujimavym vykonom a cenou, ale tam to zvycajne konci. Ziadny zalsi support (K920) alebo prehrievajuci sa a neservisovatelny notebook (y50) - inak od lenova neviem ci vobec existuje nejaky normalne rozobratelny a vycistitelny notebook.
Odpovedať Známka: 10.0 Hodnotiť:
 

Ano, existuje, Thinkpad :)

K nim su aj servisne manualy volne stiahnutelne.
Odpovedať Hodnotiť:
 

No mne toto iste urobil windows 10 pri update na Chuwi x86 tablete...
Takze to nie je vysada linuxu.
Objednaval som si potom koli tomu in circuit programator na winbond flash pamat biosu s redukciou na 1.8V chip (cca 16E). Ale aspon sa uz nemusim obavat zlyhaneho bios updatu ci uz na grafike alebo hociakej maticnej doske, kedze uz to viem na 99% zariadeni preprogramovat za 5 minut.
Odpovedať Hodnotiť:

Pridať komentár