Wie sicher ist eine verschlüsselte Partition?

Bei der Installation von Ubuntu 16.04 habe ich mich für die Verschlüsselung des Dateisystems entschieden und werde nun aufgefordert, ein Kennwort einzugeben, bevor Ubuntu gestartet wird.

Ich frage mich, wie sicher das meine Inhalte macht. Speziell:

• Ist alles auf dem Laufwerk verschlüsselt (einschließlich meiner Daten)?

• Wie stark ist diese Verschlüsselung? (Ich weiß, es ist eine Frage der Zeit und der Ressourcen und des Passworts, das ich gewählt habe, aber ich meine im praktischen Sinne ... jeder könnte durch meine Haustür schleichen, aber der durchschnittliche Dieb hat nicht die Ressourcen oder die Neigung, sich vor einem zu fürchten Haus). Muss ich mir zum Beispiel Sorgen machen, wenn ich meinen Laptop zur Reparatur sende oder wenn er verloren geht oder gestohlen wird, dass jemand ohne dringenden Grund versucht, ihn zu entschlüsseln, um einen einfachen Zugriff zu erhalten? (Ich weiß , dass hier eine ähnliche Frage gestellt wurde , aber das ist schon eine Weile her, also haben sich die Dinge vielleicht geändert?)

• Hält mich die Verschlüsselung auch davon ab, (a) die SSD mit dem verschlüsselten Dateisystem auf einem anderen Gerät zu installieren oder (b) eine vollständige Sicherung des Laufwerks durchzuführen (z. B. mit einer Live-Version von Ubuntu) und zu einem bestimmten Zeitpunkt diese Sicherung wiederherstellen?

• Auch wenn das gesamte Dateisystem verschlüsselt ist, gibt es einen Wert darin, auch meinen Home-Ordner in Ubuntu zu verschlüsseln?

• Wenn Sie das neue System über LUKS verschlüsseln, wird das gesamte System verschlüsselt. Dies beinhaltet Ihre Systemdateien, den Home-Ordner (und damit Ihre Daten) sowie die Swap-Partition. Dies bedeutet, dass Sie Suspend-to-Disk (auch Ruhezustand genannt) verwenden können und dennoch alle Vorteile der vollständigen Festplattenverschlüsselung nutzen können. Wie in den Kommentaren erwähnt, verwendet Ubuntu standardmäßig Suspend-to-RAM. Damit Ubuntu stattdessen Suspend-to-Disk verwendet, müssen Sie die Anweisungen auf help.ubuntu.com befolgen, die anscheinend nur für eine begrenzte Anzahl von Computern funktionieren.
• Die 256-Bit-AES-Verschlüsselung ist wahrscheinlich auf absehbare Zeit stark genug. Wie hier bei Cryptography Stack Exchange erläutert , würde das brachiale Erzwingen von AES-256 etwa das 100-fache des weltweiten BIP kosten - das Unmögliche, das Sie sich vorstellen können. Selbst wenn 128-Bit-AES-Verschlüsselung brachial erzwungen wird, ist dies ungefähr tausendmal so hoch wie das weltweite BIP.
• Der LUKS-Schlüssel wird nur durch den LUKS-Header (der Festplatte / SSD) und Ihre Passphrase (die sich in Ihrem Kopf befindet) gesperrt. Auf diese Weise können Sie (a) es auf jedem anderen Rechner verwenden, sofern dies auch mit einer unverschlüsselten Systemfestplatte möglich ist, dh bei gängigen Systemen sollte es einwandfrei funktionieren. Was (b) betrifft, so können Sie mit Backups der gesamten Festplatte dderstellen. Beachten Sie jedoch, dass diese Images nicht in nennenswertem Umfang komprimiert werden. Dies liegt daran, dass verschlüsselte Daten ohne die Passphrase nicht von zufälligen Daten unterschieden werden können.
• Dies hat nur einen akademischen Nutzen: Nachdem ein Angreifer die ersten Tredecillion-BIPs der Welt verbraucht hat, um die vollständige Festplattenverschlüsselung aufzuheben, benötigt er weitere Tredecillion-BIPs, um in den verschlüsselten Home-Ordner zu gelangen (unter der Annahme unterschiedlicher Passphrasen / Schlüssel). Dadurch wird Ihre Verschlüsselung von 256 Bit auf 257 Bit Schlüssellänge verbessert. Persönlich gesehen verwende ich sogar die automatische Anmeldung auf Computern mit vollständiger Festplattenverschlüsselung, da ich die Festplattenverschlüsselung für sicher genug halte, um nach dem Booten keine erneute Eingabe des Kennworts zu erfordern.

• Nicht alles auf Ihrem Laufwerk ist verschlüsselt, aber Ihre Daten sind verschlüsselt.

  Der Teil, der nicht verschlüsselt ist /boot, ist Ihr Bereich, wie er beim Start verwendet wird. Einige interessante Konsequenzen, die sich daraus ergeben, finden Sie hier .

• Sie können die Verschlüsselungsstärke Ihrer spezifischen Installation durch Ausführen von ermitteln

  ls /dev/mapper/ |grep crypt
  

  Die Ausgabe ist YOUR_CRYPT

  cryptsetup status YOUR_CRYPT
  

  Beispiel:

  ls /dev/mapper/ |grep crypt
  nvme0n1p4_crypt
  sudo cryptsetup status nvme0n1p4_crypt
  
  /dev/mapper/nvme0n1p4_crypt is active and is in use.   
  type:    LUKS1    
  cipher:  aes-xts-plain64   
  keysize: 512 bits   
  device:  /dev/nvme0n1p4     
  offset:  4096 sectors   
  size:    499410944 sectors   
  mode:   read/write   
  flags:   discards
  

  Ihr Verschlüsselungsgrad hängt davon ab, wann Sie Ubuntu installiert haben und welche Version Sie verwenden, aber auch ältere Setups sind ziemlich stark und können gelegentlichem Cracken standhalten. Eine gute Diskussion über die Ubuntu-Verschlüsselung auf Blockebene: Wie sicher ist die Ubuntu-Standardverschlüsselung für Festplatten?

• Das Booten Ihres verschlüsselten Laufwerks auf einer anderen Hardware ist kein Problem. Wenn Sie eine Bit-für-Bit-Kopie Ihres verschlüsselten Laufwerks erstellen, können Sie diese weiterhin wie gewohnt starten und sich mit Ihrem Kennwort anmelden. Der Kopiervorgang sollte "offline" erfolgen (nach dem Herunterfahren ist das Laufwerk nicht gemountet). Es ist unwahrscheinlich, dass eine Online-Datenerfassung funktioniert, aber ich bin nicht zu 100% sicher.

• Die Verschlüsselung für "Privatordner" basiert auf der Idee "Privatordner in einer Datei". Wenn das System nicht verschlüsselt und das Dateisystem eingehängt wäre, wäre das verschlüsselte Basisverzeichnis eine einzelne große Datei, die mit cryptsetup verschlüsselt wurde. Das Verschlüsseln Ihres privaten Ordners in einem verschlüsselten System würde die Schwierigkeit erhöhen, Ihre persönlichen Dateien zu erhalten. Es kann jedoch einen Performance-Kompromiss geben. Mehr zu verschlüsseltem Zuhause.

Kurze einfache Antworten:

1. Ist alles auf dem Laufwerk verschlüsselt (einschließlich meiner Daten)? :

   • Ja, alles ist verschlüsselt

2. Wie stark ist diese Verschlüsselung? :

   • Hör auf, stark wie das schwächste Glied, das du bist .

3. Hält mich die Verschlüsselung auch davon ab, (a) die SSD mit dem verschlüsselten Dateisystem auf einem anderen Gerät zu installieren oder (b) eine vollständige Sicherung des Laufwerks durchzuführen (z. B. mit einer Live-Version von Ubuntu) und zu einem bestimmten Zeitpunkt diese Sicherung wiederherstellen? :

   • Sie müssen es versuchen, um sich selbst zu überzeugen. Vergiss das Passwort und du hast keine Daten mehr. Wenn du jemanden kennst, der es in einer solchen Situation geknackt hat, lass es mich bitte wissen.

4. Auch, wenn das gesamte Dateisystem verschlüsselt ist, gibt es einen Wert, um auch meinen Home-Ordner in Ubuntu zu verschlüsseln? :

   • Zeitverschwendung, keine Notwendigkeit. Aber wenn Sie OK brauchen!

Mehr Informationen:

Von diesem Link, den du geteilt hast, zitiere ich einen Link, dem ich gefolgt bin:

Die Moral dieser Geschichte? Wenn Sie eine gemountete LUKS-Partition auf Ihrem Telefon haben, ist es für jemanden sehr einfach, den Hauptverschlüsselungsschlüssel zu erhalten. cryptsetup löscht den Schlüssel während eines luksClose-Vorgangs aus dem RAM. Daher empfehle ich, Ihr LUKS-Laufwerk nur dann zu mounten, wenn Sie es verwenden. Wenn Sie fertig sind, sollten Sie das Mounten und das luksClose-Verfahren beenden . Ansonsten wird es zu einer riesigen Sicherheitslücke. Fast so, als wäre Ihr Laufwerk überhaupt nicht verschlüsselt.

Es ist wahrscheinlich angebracht, hier zu erwähnen, dass LUKS auf Android nicht das einzige System ist, das für diese Art von Angriff anfällig ist. Nahezu alle Festplattenverschlüsselungssysteme speichern den Verschlüsselungsschlüssel im RAM. Die Princeton CITP-Gruppe hat diese Tatsache vor langer Zeit erkannt. Mein Punkt hier ist nur, dass ein Angriff wie dieser sehr einfach ist!

Beachten Sie den fett gedruckten Abschnitt, um mehr Informationen zu erhalten . Wie ich schon sagte Wenn Sie schwach oder nachlässig im Umgang mit Ihren Sachen sind, dann erwarten Sie Ärger. Er gab Ratschläge, immer abzusteigen oder zu schließen, wenn Sie es nicht benutzen.