Wir lernen eCryptfs kennen (Ubuntu Server 10.04) und experimentieren damit. Wir versuchen, Benutzer auf unserem Server programmgesteuert mithilfe eines Bash-Skripts einzurichten, was wir tun können, einschließlich der Verschlüsselung ihres „/home“.
Wir möchten vermeiden, dass wir uns bei einem neuen Konto anmelden müssen, um die ecryptfs-Passphrase zu generieren. Sobald wir dies tun, können wir die Passphrase über Bash von einem anderen Konto aus wiederherstellen, hoffen aber, den „manuellen“ Anmeldeschritt zu vermeiden.
Wir sollten erwähnen, dass es sich um einen mit dem Internet verbundenen Server handelt und dass wir unser Bestes tun, ihn „abzusichern“, dass wir versuchen, Benutzer daran zu hindern, ihre Passwörter „willkürlich“ zu ändern und sie daher auffordern werden, eine Passwortänderungsanfrage zu stellen, und dass der Sinn der Verschlüsselung darin besteht, Benutzer von den Konten der anderen fernzuhalten (es gibt andere, vielleicht bessere Möglichkeiten, diesem Bedürfnis gerecht zu werden – einschließlich dem bloßen „Verstecken“ ihres /home, obwohl die Verschlüsselung zusätzlich zu SSH auch eine Anmeldung erzwingt).
Gibt es also eine Möglichkeit, ein Login zu skripten (wir haben Posts bei Google gesehen, dass das nicht möglich ist), das das manuelle ersetzt, sodass die Passphrase erstellt wird und wir sie dann mit ecryptfs-unwrap-passphrase erfassen und aufzeichnen können?
Antwort1
Ich kann nicht mit Sicherheit sagen, ob die aktuelle Implementierung der verschlüsselten Home-Setup-Skripte Ihnen das ermöglicht, was Sie versuchen. Dabei muss Ihnen jemand anderes helfen.
Ich möchte jedoch darauf hinweisen, dass Ihre Verwendung von eCryptfs etwas fehlgeleitet ist. eCryptfs ist nicht wirklich darauf ausgelegt, eine Form der erweiterten Zugriffskontrolle bereitzustellen, und sich dabei auf eCryptfs zu verlassen, ist mit einigen Problemen verbunden.
Wenn ein böswilliger Benutzer versucht, auf die Daten eines anderen Benutzers zuzugreifen und das verschlüsselte Home-Verzeichnis dieses Benutzers gemountet ist (was bedeutet, dass sich der Verschlüsselungsschlüssel im Kernel-Schlüsselring befindet), bietet eCryptfs eigentlich nichts weiter als normale DAC-Berechtigungen. Wenn der Angreifer DAC umgehen kann, verfügt er wahrscheinlich über eine Art Kernel-Exploit und eCryptfs bietet keinen Schutz, wenn die Verschlüsselungsschlüssel zu diesem Zeitpunkt bereits in den Kernel-Schlüsselring geladen sind.
Beachten Sie, dass es einen nützlichen Schutz für Benutzer gibt, deren Home-Verzeichnis zum Zeitpunkt des Angriffs nicht gemountet ist. Sie müssen jedoch ermitteln, ob es mehr oder weniger wahrscheinlich ist, dass Ihre Benutzer ihr Home-Verzeichnis zu einem bestimmten Zeitpunkt gemountet haben.
Beachten Sie auch, dass Sie, wenn Sie Backups der verschlüsselten Daten erstellen möchten, von der Verschlüsselung der Backups auf Benutzerbasis profitieren. Administratoren haben dann keinen einfachen Zugriff auf die Daten und Sie müssen sich weniger Sorgen über verlegte Bandlaufwerke machen.
Ich möchte Sie nicht von der Verwendung von eCryptfs abhalten, aber Sie sollten verstehen, was Sie im Gegenzug für die zusätzliche Komplexität und den leichten Leistungsverlust bei der Verwendung der Dateiverschlüsselung bekommen.