eCryptfs(Ubuntu Server 10.04)에 대해 학습/실험 중입니다. 우리는 "/home" 암호화를 포함하여 우리가 할 수 있는 bash 스크립트를 사용하여 프로그래밍 방식으로 서버에서 사용자를 설정하려고 합니다.
우리는 ecryptfs 암호 문구를 생성하기 위해 새 계정에 로그인할 필요가 없도록 노력하고 있습니다. 이렇게 하면 다른 계정에서 bash를 통해 암호를 복구할 수 있지만 "수동" 로그인 단계는 피할 수 있기를 바랍니다.
우리는 이것이 인터넷에 연결된 서버라는 점을 언급해야 합니다. 우리는 "잠금"하기 위해 최선을 다하고 있으며 사용자가 암호를 "무의식적으로" 변경하는 것을 방지하려고 노력하고 있으므로 암호 변경 요청을 하도록 요구할 것입니다. , 그리고 암호화의 요점은 사용자를 서로의 계정에 접근하지 못하게 하는 것입니다(이 요구를 해결하는 다른 더 나은 방법이 있을 수 있습니다. 암호화는 로그인 외에도 로그인을 강제하지만 /home을 "숨기는" 것 포함). SSH).
따라서 암호 문구가 생성되고 ecryptfs-unwrap-passphrase를 사용하여 이를 캡처하고 기록할 수 있도록 수동 로그인을 대체하는 로그인 스크립트(Google에서 이것이 불가능하다는 게시물을 본 적이 있음)를 작성하는 방법이 있습니까? .
답변1
암호화된 홈 설정 스크립트의 현재 구현이 현재 수행 중인 작업을 수행할 수 있는지 확실하게 말할 수 없습니다. 다른 사람이 당신을 도와야 할 것입니다.
그러나 eCryptfs 사용이 약간 잘못되었다는 점을 지적하고 싶습니다. eCryptfs는 실제로 향상된 액세스 제어 형태를 제공하도록 설계되지 않았으며 이에 의존하는 데에는 몇 가지 문제가 있습니다.
악의적인 사용자가 다른 사용자의 데이터에 액세스하려고 시도하고 해당 사용자의 암호화된 홈 디렉터리가 마운트된 경우(암호화 키가 커널 키 링에 있음을 암시) eCryptfs는 실제로 일반 DAC 권한 이상의 것을 제공하지 않습니다. 공격자가 DAC를 우회할 수 있다면 그는 일종의 커널 악용을 시도했을 가능성이 높으며 해당 시점에 암호화 키가 이미 커널 키 링에 로드되어 있으면 eCryptfs는 보호 기능을 제공하지 않습니다.
공격 당시 홈 디렉터리가 마운트되지 않은 사용자를 위한 몇 가지 유용한 보호 기능이 있지만 사용자가 언제든지 홈 디렉터리를 마운트할 가능성이 어느 정도인지 결정해야 합니다. 주어진 시간.
또한 암호화된 데이터를 백업할 계획이라면 사용자별로 백업을 암호화하면 이점을 얻을 수 있습니다. 관리자는 데이터에 쉽게 액세스할 수 없으며 잘못 배치된 테이프 드라이브로 인해 잠을 덜 자게 됩니다.
eCryptfs 사용을 반대하려는 의도는 아니지만, 파일 암호화를 사용할 때 복잡성이 증가하고 성능이 약간 저하되는 대가로 어떤 결과를 얻게 되는지 이해하시기 바랍니다.