Estamos aprendiendo/experimentando con eCryptfs (Ubuntu Server 10.04). Estamos intentando configurar usuarios en nuestro servidor mediante programación usando un script bash que podemos hacer, incluido cifrar su "/home".
Estamos tratando de evitar tener que iniciar sesión en una cuenta nueva para generar la frase de contraseña de ecryptfs. Una vez que hagamos esto, podremos recuperar la frase de contraseña a través de bash desde otra cuenta, pero esperamos evitar el paso de inicio de sesión "manual".
Debemos mencionar que este es un servidor orientado a Internet, que estamos haciendo todo lo posible para "bloquearlo", que estamos tratando de evitar que los usuarios cambien sus contraseñas "que quieran o no", por lo que les exigiremos que realicen solicitudes de cambio de contraseña. , y que el objetivo del cifrado es mantener a los usuarios fuera de las cuentas de los demás (hay otras formas, quizás mejores, de abordar esta necesidad, incluido simplemente "ocultar" su /home, aunque el cifrado también obliga a iniciar sesión, además de ssh).
Entonces, ¿hay alguna manera de programar un inicio de sesión (hemos visto publicaciones en Google que indican que esto no es posible) que reemplace el manual para que se cree la frase de contraseña y podamos capturarla y registrarla usando ecryptfs-unwrap-passphrase? .
Respuesta1
No puedo decir con certeza si la implementación actual de los scripts cifrados de configuración del hogar le permite hacer lo que está intentando. Alguien más tendrá que ayudarte con eso.
Sin embargo, quiero señalar que su uso de eCryptfs es un poco equivocado. eCryptfs no está realmente diseñado para proporcionar una forma de control de acceso mejorado y confiar en él para hacerlo tiene algunos problemas.
Si un usuario malintencionado intenta acceder a los datos de otro usuario y el directorio de inicio cifrado de ese usuario está montado (lo que implica que la clave de cifrado está en el conjunto de claves del kernel), entonces eCryptfs en realidad no proporciona nada más que permisos DAC normales. Si el atacante puede eludir DAC, es probable que tenga algún tipo de vulnerabilidad del kernel y eCryptfs no proporciona protección si las claves de cifrado ya están cargadas en el conjunto de claves del kernel en ese momento.
Tenga en cuenta que existe cierta protección útil para los usuarios que no tienen su directorio personal montado en el momento del ataque, pero tendrá que determinar si es más o menos probable que sus usuarios tengan su directorio personal montado en cualquier tiempo dado.
También tenga en cuenta que si planea realizar copias de seguridad de los datos cifrados, obtendrá beneficios de que las copias de seguridad se cifren por usuario. A los administradores no les resultará fácil acceder a los datos y usted perderá menos sueño debido a unidades de cinta extraviadas.
No pretendo disuadirle de usar eCryptfs, pero sí quiero que comprenda lo que obtiene a cambio de la complejidad adicional y la ligera disminución del rendimiento al utilizar el cifrado de archivos.