Le chiffrement dans Fedora est conçu comme une solution de sécurité pour l'utilisateur
Il y a quelques jours, il a été annoncé qu'Owen Taylor, créateur de GNOME Shell et de la bibliothèque Pango, et membre du groupe de travail sur le développement de Fedora Workstation, avait présenté un plan visant à chiffrer par défaut les partitions système et les répertoires personnels des utilisateurs dans Fedora Workstation.
Les avantages du passage au chiffrement par défaut incluent la protection des données en cas de vol d'ordinateur portable, la protection contre les attaques sur les appareils sans surveillance et le maintien de la confidentialité et de l'intégrité sans manipulation inutile.
Depuis un certain temps, le groupe de travail sur les postes de travail a reçu des demandes ouvertes pour améliorer l'état du cryptage dans Fedora, et en particulier pour arriver au point où vous pouvez faire en sorte que le programme d'installation chiffre les systèmes par défaut. Afin d'aller de l'avant, j'ai travaillé sur un document d'exigences et un projet de plan.
En un très bref résumé, le plan est le suivant : utilisez le support à venir de btrfs fscrypt pour chiffrer les répertoires système et personnel. Le système sera chiffré par défaut avec une clé de chiffrement stockée dans le TPM et liée aux signatures utilisées pour signer le bootloader/kernel/initrd, offrant une protection contre la falsification, tandis que les répertoires personnels seront chiffrés à l'aide du mot de passe user login.
D'après le projet, le système de fichiers Btrfs fscrypt sera utilisé pour le chiffrement. Pour les partitions système, les clés de chiffrement seront stockées dans le module TPM et utilisées conjointement avec des signatures numériques afin de vérifier l'intégrité du chargeur de démarrage, du noyau et de l'initrd (ce qui signifie que lors du démarrage du système, l'utilisateur n'aura pas besoin de saisir de mot de passe pour déchiffrer les partitions système).
Lors du chiffrement des répertoires personnels, les clés sont programmées pour être générées en fonction du nom d'utilisateur et du mot de passe de l'utilisateur (le répertoire personnel chiffré sera connecté lorsque l'utilisateur se connectera au système).
Le calendrier de mise en œuvre de cette initiative dépend de la transition du kit de distribution vers l'image du noyau unifiée ( UKI ), qui combine le pilote de chargement du noyau à partir de l'UEFI (stub de démarrage UEFI), l'image du noyau Linux et l'environnement système initrd chargé en mémoire dans un seul fichier.
Sans support UKI, il est impossible de garantir l'invariance du contenu de l'environnement initrd, dans lequel les clés pour déchiffrer le FS sont déterminées (par exemple, un attaquant peut changer l'initrd et simuler une demande de mot de passe, pour éviter cela, vérifié il est nécessaire de charger toute la chaîne avant de monter le FS).
Dans sa forme actuelle, le programme d'installation de Fedora a la possibilité de chiffrer les partitions au niveau du bloc avec dm-crypt en utilisant une phrase de passe distincte qui n'est pas liée à un compte d'utilisateur.
Cette demande représente un grand changement, passant du démarrage sécurisé à quelque chose dans lequel nous déployons beaucoup d'efforts, mais qui ne fait pas grand-chose, à quelque chose sur lequel nous comptons fortement pour fournir une couche de sécurité supplémentaire à l'utilisateur.
Je serais intéressé d'entendre, entre autres : * Y a-t-il des exigences que le document ne capture pas ? * Y a-t-il d'autres menaces auxquelles nous devrions essayer de répondre ? …
Ce correctif signale des problèmes tels que l'inadéquation du chiffrement séparé sur les systèmes multi-utilisateurs, le manque de prise en charge de l'internationalisation et des outils pour les personnes handicapées, la possibilité d'attaques via la substitution du chargeur de démarrage (un chargeur de démarrage installé par un attaquant peut prétendre être le chargeur de démarrage d'origine et demander un mot de passe de déchiffrement), la nécessité de prendre en charge framebuffer dans initrd pour demander un mot de passe.
Enfin, si vous souhaitez en savoir plus à ce sujet , vous trouverez les détails en suivant ce lien.