Der verschlüsselte Basisordner ist nach dem Abmelden weiterhin verfügbar

Wenn Sie ein Konto mit einem verschlüsselten Basisordner haben, können Sie nicht auf die Nur-Text-Daten des Benutzers in seinem Basisordner zugreifen, wenn sich dieser Benutzer seit dem letzten Systemstart noch nicht angemeldet hat. Dies habe ich erwartet, da es eigentlich praktisch nicht machbar sein sollte, auf den Home-Ordner eines Benutzers zuzugreifen, ohne dessen Passwort einzugeben.

Ich habe jedoch festgestellt, dass, wenn sich ein Benutzer mit einem verschlüsselten Basisordner anmeldet und sich dann abmeldet, die Klartextdaten in seinem Basisordner weiterhin für andere Benutzer zugänglich sind. Natürlich sind ausreichende Zugriffsrechte erforderlich.

wlistet den Benutzer nicht auf und die Ausgabe von sudo pgrep -u <username>ist leer, was darauf hinweist, dass der Benutzer keine laufenden Prozesse hat.

Was ist der Grund für dieses Verhalten? Warum nicht einfach den Home-Ordner des Benutzers sperren, nachdem er sich abgemeldet hat?

Bekannter Fehler

Wenn ich das richtig verstehe, ist dies ein bekannter Fehler.

Siehe diesen Link: wiki.archlinux.org/index.php/ECryptfs

Scrollen Sie nach unten zum rosa Absatz

Warnung: Leider kann das automatische Abhängen mit systemd brechen und es werden Fehler dagegen gemeldet ...

Umgehen

So wie es jetzt ist, sollten Sie besser herunterfahren oder neu starten , um die Spuren zu entfernen (es reicht nicht aus, sich abzumelden).

Ich kann dies nicht testen oder bestätigen, aber unter der Annahme, dass Sie ecryptfs(was Ubuntu während der Installation anbietet, IIRC) verwenden, werden die verschlüsselten Daten in einem versteckten Ordner gespeichert /home/.encryptfs/$USERund ecryptfsbeim Protokollieren mithilfe des Treibers an den Speicherort Ihres tatsächlichen Basisordners angehängt im.

Am wahrscheinlichsten ist es also, dass beim Abmelden das Verzeichnis nicht automatisch ausgehängt wird, sodass auf die Dateien weiterhin zugegriffen werden kann. Dies könnte verursacht werden durch ...

• eine schlechte Konfiguration (vielleicht sollte sie so konfiguriert werden, dass sie beim Abmelden nicht gemountet wird, war es aber nicht)
• unerwarteter Abmeldetyp (manchmal funktionieren diese Lösungen für die DM-An- / Abmeldung, aber ansonsten nicht gut)
• Wenn das Aufheben der Bereitstellung von einem Abmeldeskript durchgeführt wird (was nicht unbedingt der Fall ist), kann etwas vor dem Befehl zum Aufheben der Bereitstellung fehlschlagen und dazu führen, dass das Skript vorzeitig beendet wird.

Eine Sache, die Ihnen dabei helfen kann, dies zu überprüfen, besteht darin, sudo mount | grep homevor dem Anmelden, nach dem Anmelden und nach dem Abmelden auszuführen , um festzustellen, ob etwas, homedas dies betrifft, bereitgestellt wird. Sie können auch nach /etc/fstabrelevanten Einträgen suchen . Schließlich gibt es einige Konfigurationen /home/.ecryptfs/$USER/.ecryptfs/mit relevanten Einstellungen für das automatische Ein- und Aushängen.

Nützliche Informationen ecryptfszu finden Sie in dieser Antwort und im stets hilfreichen ArchWiki .

Bearbeiten /etc/systemd/logind.confund einstellenKillUserProcesses=yes

Beachten Sie, dass diese Pausen Hintergrundprogramme, screen, tmux, und ähnlich ...

Diese Frage wird hier ausführlicher behandelt. Ich finde es unnötig, einen neuen systemd-Dienst zu definieren (oder genauer gesagt nicht das gewünschte Verhalten, da er als Shutdown-Hook aufgerufen wird, nicht wenn die Benutzersitzung beendet wird).

/unix/251902/ecryptfs-auto-umount-does-not-work

Ich habe dieses Problem schon seit einiger Zeit untersucht, dh das unverschlüsselte Dateisystem bleibt nach der Benutzerabmeldung gemountet.

Ich habe "ecryptfs-migrate-home -u user" verwendet, um mount zu erstellen. Befolgen Sie die Anweisungen und alles funktioniert, außer dass beim Abmelden kein automatisches Aufheben der Bereitstellung erfolgt.

Ich habe die Konfigurationsdateien in /etc/pam.d/ mit der Dokumentation zu pam_ecryptfs verglichen und einige Unterschiede festgestellt. ecryptfs befand sich in 4 der Konfigurationsdateien von pam.d, während die Dokumente von pam_ecryptfs angeben, dass nur 2 Dateien ecryptfs benötigen / sollten / unterstützen, z.

   /etc/pam.d/common-auth:
              auth    required        pam_ecryptfs.so unwrap
   /etc/pam.d/common-session:
              session optional        pam_ecryptfs.so unwrap

Also habe ich die beiden anderen Instanzen auskommentiert, neu gestartet und alles hat funktioniert: Automatische Bereitstellung beim Anmelden und automatische Bereitstellung beim Abmelden für grafische Anmeldungen und Konsolenanmeldungen. (Ich habe alternative tty's verwendet, um vom Root-Konto aus zu überprüfen)

Dies ist am 18.04 Lubuntu auf Laptop, Desktop und Virtualbox Gast (Windows Host).

Ich interessiere mich für andere Erfahrungen.

edit_1: verbesserter Wortlaut. edit_2: Desktop- und VB-Testergebnisse hinzugefügt.

Ich mache es mit einem Skript in rclocal

#!/bin/sh
#

while true; do
    if [ ! -d /run/user/1000 ]; then
        if [ -f /home/momo/.mounted ]; then
            umount /home/harry
        fi      
    fi

    if [ ! -d /run/user/1001 ]; then
        if [ -f /home/vm/.mounted ]; then
            umount /home/maud
        fi
    fi

    sleep 10
done
exit 0

Wenn Sie keinen Zugriff von cron oder bei Jobs (nicht interaktive Aufgaben) auf JEDE Home-Verzeichnisse benötigen, müssen Sie nur die Zeile auskommentieren

session  optional        pam_ecryptfs.so unwrap

in /etc/pam.d/common-session-noninteractive.

Dadurch werden alle verschlüsselten Home-Verzeichnisse abgemeldet, wenn sich der Benutzer abmeldet.