Должен ли владелец зашифрованного каталога быть зарегистрированным, чтобы система могла получить к нему доступ?
Если каталог пользователя зашифрован, т. е. другие каталоги, помимо этого каталога home, означает ли это, что ни один процесс в системе, включая запущенные с правами root, не сможет получить к нему доступ?
Должен ли пользователь физически входить в систему на компьютере, чтобы файлы были доступны? Например, я предполагаю, что пользователь не может войти в систему через SSH, используя аутентификацию по ключу, если файл authorized_keysнаходится в ~/.sshкаталоге, но должен войти в систему на терминале через удаленное spiceсоединение, чтобы включить доступ к каталогу, прежде чем входить в систему через SSH, если это необходимо.
Если у пользователя есть база данных или веб-приложение, хранящиеся в зашифрованном каталоге, я предполагаю, что они не смогут запуститься до физического входа в систему.
Это правильно, потому что это то, что мне нужно. Если в зашифрованном каталоге запущены какие-либо службы, будет ли система знать, что их нужно закрыть, если пользователь вышел из системы?
решение1
Да, если вы используете систему, которая шифрует домашние каталоги ваших пользователей по отдельности. Единственная реализация, которая имеет смысл, — это монтировать зашифрованный каталог во время входа в систему. Например, вы можете найти эту систему, предлагаемую в установщике Ubuntu с помощью ecryptfs. (ecryptfs также встроен как часть Chrome OS). Это другой подход, нежели «полное шифрование диска», где вся файловая система разблокируется паролем в начале процесса загрузки. Все ваши желания естественным образом следуют из ecryptfsили любой эквивалентной системы... за исключением последнего
Если в зашифрованном каталоге запущены какие-либо службы, будет ли система знать, что их нужно отключить, если пользователь выйдет из системы?
"Хороший вопрос" :). К сожалению, размонтирование, похоже, более подвержено ошибкам. (Я также видел ошибки при остановке процессов/служб, что действительно является предварительным условием для размонтирования. Я не уверен, есть ли у ecryptfs какая-либо дополнительная поддержка для завершения процессов).
https://www.google.co.uk/search?q=ecryptfs%20logout%20unmount%20OR%20umount
Поскольку этот вопрос оставил это для последнего предложения, и также является нереально неконкретным, вы можете задать отдельный вопрос. Например, "работает ли это на X версии Y. Пожалуйста, покажите, как вы знаете, что это работает, тогда я смогу проверить это на своей собственной системе".
Также было бы неплохо, если бы вы могли изложить причины, по которым вы вообще заинтересованы в выходе из системы. Это предполагает многопользовательскую систему. Это не очень распространено, так что если вы можете быть более конкретными, это, вероятно, было бы полезно.
решение2
И да, и нет. В обычной настройке, когда домашний каталог пользователя зашифрован (с помощью ecryptfs), в отличие от случая, когда зашифрован весь раздел (с помощью dmcrypt), расшифрованные файлы видны только тогда, когда пользователь вошел в систему. Однако нет прочной связи между видимостью файлов и входом пользователя в систему: это работает так: зашифрованная файловая система монтируется (делает файлы видимыми) на одном из этапов входа пользователя в систему, а зашифрованная файловая система размонтируется (делает файлы невидимыми) на одном из этапов выхода пользователя из системы.
Пользователь не должен быть физически зарегистрирован. Неважно, как пользователь входит в систему. Пользователю может быть сложно войти в систему через SSH, поскольку по умолчанию открытый ключ пользователя будет записан только внутри зашифрованной файловой системы, поэтому он не будет виден, когда пользователь попытается войти в систему, а зашифрованная файловая система не смонтирована. Однако пользователь может пройти аутентификацию другим способом, например, с помощью пароля (ввод пароля необходим для расшифровки файлов в любом случае), или может создать .ssh/authorized_keysв незашифрованном домашнем каталоге (этогромоздкийно выполнимо).
Если вам необходимо контролировать, когда будет завершено размонтирование, вам придется удалить его ~/.ecryptfs/auto-umountи вместо этого вызвать ecryptfs-umount-privateнапрямую в нужное время.