ハードドライブのロックを解除するために、パスフレーズの代わりに USB キーを使用して LUKS 暗号化を作成することを考えています。
しかし、認証に USB キーを使用すると、パスフレーズよりも安全性が低いと言われたことがあります。私の質問は、なぜ安全性が低いのかということです。また、私は、その USB キーを自分のデバイスでのみ使用するというシナリオを考えています。このシナリオでは、USB キーが盗まれることはありません。
さらに進んで 2 要素認証を設定することもできることはわかっていますが、私が尋ねているのはそれではありません。
答え1
それはあなたの視点によります。キーファイルは通常完全にランダムですが、パスフレーズは短くて弱い傾向があるため、より安全です。
一方、パスフレーズを解読するには、キーロガードングルや改造されたブートローダー/initramfs、あるいは悪名高いXKCD 復号化レンチ. キーファイルについても同様です。USB スティック上にキーファイルのみがあり、ブートローダ/initramfs が HDD 上で保護されていない場合も同様です。
一方、USB キーは、常に持ち歩くのではなく、差し込んだままにしておけば、誰でもアクセスできます。放置された USB スティックは誰でも、すばやく簡単にコピーできます...
私は両方をやっています... USB キーにはブートローダー、カーネル、LUKS で暗号化されたキーファイルを含む initramfs が含まれており、パスフレーズを入力するとアクセスできるようになります。つまり、ロックを解除するにはキーとパスフレーズの両方が必要です。これを 2 要素認証と呼べるかどうかはわかりませんが、実用性を保ちながら私が実行できる範囲の限界です。(起動可能な USB スティックは、12 枚の LiveCD を持ち運ぶのにも便利です)。
そもそもあなたの脅威モデルとは何ですか、それについて考えたことはありますか?
もし私があなたの家に入居することを許可されたら、私がほとんど手間をかけずにあなたのデータにアクセスできるようにしてほしいですか?
もしあなたが明日死んだら、あなたの親戚があなたのものを解読できるようにしたいですか?
パスフレーズを必要としない USB キーを使用すると、自分だけがコピーを持っている家族の写真などにはそれが可能であり、望ましいものになります...
起動時に（CPU、RAM、MAC アドレスなどのハードウェア フィンガープリントを使用して）自分自身を復号化するサーバーがあります。操作はまったく必要ありません...ここでの脅威モデルは、誰かがドライブを取り外して別の顧客のボックスに入れるなどする可能性があるというものです。