Fedora での暗号化は、ユーザーのセキュリティ ソリューションとして意図されています。
数日前、GNOME ShellとPangoライブラリの作成者であり、Fedora Workstation開発ワーキンググループのメンバーでもあるオーウェン・テイラー氏が、 Fedora Workstationでシステムパーティションとユーザーホームディレクトリをデフォルトで暗号化する計画を発表したと発表されました。
暗号化をデフォルト設定にすることの利点としては、ノートパソコンの盗難時のデータ保護、放置されたデバイスへの攻撃からの保護、そして不必要な操作なしに機密性と完全性を維持できることなどが挙げられます。
かなり長い間、Workstations Working Group は、Fedora での暗号化の状態を改善すること、特にインストーラーがデフォルトでシステムを暗号化できるようにすることについてオープンな要求をしてきました。 前進するために、私は要件文書と計画案に取り組んでいます。
非常に簡単に要約すると、計画は次のとおりです。今後の btrfs fscrypt サポートを使用して、システムとホーム ディレクトリを暗号化します。 システムはデフォルトで、TPM に保存され、ブートローダー/カーネル/initrd の署名に使用される署名にリンクされた暗号化キーを使用して暗号化され、改ざんに対する保護を提供します。一方、ホーム ディレクトリはパスワード ユーザー ログインを使用して暗号化されます。
計画案によると、暗号化にはBtrfs fscryptを使用する予定だ。システムパーティションの場合、暗号化キーはTPMモジュールに保存され、デジタル署名と組み合わせてブートローダー、カーネル、initrdの整合性を検証するために使用される（つまり、システム起動時にユーザーはシステムパーティションを復号化するためにパスワードを入力する必要がない）。
ホーム ディレクトリを暗号化する場合、キーはユーザーのログインとパスワードに基づいて生成されるようにスケジュールされます (ユーザーがシステムにログインすると、暗号化されたホーム ディレクトリが接続されます)。
このイニシアチブの実施時期は、配布キットから統合カーネルイメージ（ UKI ）への移行に依存します。UKIは、UEFIからカーネルをロードするためのドライバ（UEFIブートスタブ）、Linuxカーネルイメージ、およびメモリにロードされたinitrdシステム環境を1つのファイルに統合したものです。
UKI のサポートがなければ、FS を復号化するためのキーが決定される initrd 環境のコンテンツの不変性を保証することは不可能です (たとえば、攻撃者は initrd を変更してパスワード要求をシミュレートし、これを回避することができます。 FS をマウントする前にチェーン全体をロードする必要があります)。
現在の形式では、Fedora インストーラーには、ユーザー アカウントに関連付けられていない別のパスフレーズを使用して、dm-crypt を使用してブロック レベルでパーティションを暗号化するオプションがあります。
この要求は、セキュア ブートを、私たちが多大な労力を費やしたものの実際にはあまり効果のないものから、ユーザーに追加のセキュリティ レイヤーを提供するために大きく依存するものへと大きくシフトしたことを表しています。
特に次のことを聞いてみたいと思います: * ドキュメントに含まれていない要件はありますか? * 他に対処すべき脅威はありますか? …
この修正は、マルチユーザー システムでの個別の暗号化の不適合、国際化のサポートの欠如、障害を持つ人々のためのツール、ブートローダーの代用による攻撃の可能性 (攻撃者によってインストールされたブートローダーが元のブートローダーのふりをすることができる) などの問題を指摘しています。および復号化パスワードを要求する)、パスワードを要求するために initrd でフレームバッファをサポートする必要があります。
最後に、これについてさらに詳しく知りたい場合は、以下のリンクから詳細をご覧いただけます。