Kann root meinen verschlüsselten / privaten Ordner sehen?

21

Ich frage mich nur, ob ich ecryptfs verwende, um meinen / home-Ordner zu verschlüsseln

sudo ecryptfs-migrate-home -u username

Kann ein anderer Benutzer mit Root-Rechten mein Passwort ändern und sich dann mit dem neuen Passwort bei meinem Konto anmelden, um meine verschlüsselte / Heimat zu sehen?

Wenn ich mein eigenes Passwort ändere, kann ich vermutlich immer noch auf mein verschlüsseltes Zuhause zugreifen. Wie unterscheidet es sich von root, wenn ich mein Passwort ändere und mich als ich anmelde?

permissions password encryption ecryptfs albertma789
quelle

Antworten:

28

Kurze Antwort: Ja und nein .

Kann root meinen verschlüsselten / privaten Ordner sehen?

Ja . Solange Sie angemeldet sind, können sowohl root als auch jeder sudo-Benutzer Ihre entschlüsselten Dateien sehen. Auch wenn Sie aus dem Schlaf aufwachen, werden Sie /homeimmer noch entschlüsselt.

Es gibt auch einen Fehler ecryptfs, der verhindert, dass der entschlüsselte /homeOrdner beim Abmelden abgemeldet wird. Sie sollten stattdessen den Computer herunterfahren oder neu starten oder die Bereitstellung des Ordners von einem anderen sudo / root-Benutzer manuell aufheben. Weitere Informationen finden Sie in dieser Frage .

Kann ein anderer Benutzer mit Root-Rechten mein Passwort ändern und sich dann mit dem neuen Passwort bei meinem Konto anmelden, um meine verschlüsselte / Heimat zu sehen?

Nein . Ihr /homeOrdner ist nicht mit Ihrem Passwort verschlüsselt, sondern mit einer Passphrase, die mit Ihrem Passwort verschlüsselt ist. Ein anderer Benutzer, der Ihr Passwort ändert, hat keinen Einfluss auf die Passphrase.

Bei der ersten Anmeldung nach einer Änderung des Administratorkennworts müssen Sie Ihr verschlüsseltes Zuhause manuell bereitstellen und die Passphrase neu schreiben. Für diese Aufgaben benötigen Sie Ihr altes und das neue Passwort

ecryptfs-mount-private
ecryptfs-rewrap-passphrase ~/.ecryptfs/wrapped-passphrase

Wenn Sie Ihr Kennwort ändern, wird die Passphrase für das Basisverzeichnis mit Ihrem neuen Kennwort erneut verschlüsselt, sodass Sie weiterhin mit dem neuen Kennwort auf Ihre Dateien zugreifen können sollten. Dies erfolgt über PAM (Pluggable Authentication Modules) ( via ).

Siehe diese verwandte Frage.

pLumo
quelle
10
Es gibt ein Problem mit ecryptfsund systemd. Sobald ein Benutzer angemeldet und der Basisordner entschlüsselt ist, bleibt dies so, unabhängig davon, ob der Benutzer angemeldet bleibt oder sich abmeldet. Die einzige Möglichkeit, den Basisordner neu zu verschlüsseln, besteht darin, das System neu zu starten. Dieser Fehler wurde noch nicht behoben.
Stormlord
@Stormlord Konnte nicht ein anderer Benutzer [root / sudo] nur umountdas von ihm ausgeloggte Haus des Benutzers verlassen? Mein Debian-System hat diesen Fehler nicht, deshalb kann ich ihn nicht testen, aber wenn ein mit eCryptfs verschlüsselter Privatbenutzer angemeldet ist, hat er einen zusätzlichen Mount "type ecryptfs", der nur umountausreichen sollte.
Xen2050
ja das reicht ja
pLumo
Das ist irreführend. Root kann alles tun, was sie wollen, einschließlich Tricks mit Hilfe von Aufforderungen im Trojaner-Stil, Aufzeichnen von allem usw. Siehe meine Antwort für Details.
John Hunt
Wahr. Jeder mit physischem Zugriff könnte dies auch tun, sofern Sie nicht über eine vollständige Festplattenverschlüsselung verfügen. Aber darum geht es imo nicht. Dies und ich wollte nicht von deiner noch gültigen Antwort kopieren
;-)
11

Die einzige Antwort: ja . Der Root-Benutzer eines Systems kann leicht einen Keylogger oder eine andere Software installieren, um Ihre Passphrase stillschweigend aufzuzeichnen. Er hat dann vollständigen Zugriff auf alle Ihre Dateien, ohne dass Sie wissen, ob er dies wünscht.

Der Root-Benutzer eines Systems kann auf diesem System alles ausführen. Sie besitzen im Wesentlichen auch alle damit verbundenen Daten. AUSSER Ihre Daten wurden auf einem anderen System verschlüsselt und dann übertragen und Sie haben sie nicht entschlüsselt, aber ich glaube nicht, dass wir darüber reden, dass wir es sind.

John Hunt
quelle
5
Sie könnten sogar die Verschlüsselungssoftware so modifizieren, dass sie den Schlüssel übergibt, oder entschlüsselte Dateien nach / root oder was auch immer kopieren. Ihre Möglichkeiten sind unbegrenzt.
John Hunt