La modifica del file di chiavi di un volume LUKS dopo l'apertura aumenta la sicurezza della chiave?

Naviga le tue risposte
1

Supponendo che ci sia un volume LUKS che utilizza un file di chiavi e il file di chiavi viene generato automaticamente prima di aprire il volume e cancellato dopo l'uso, la modifica del file di chiavi impedisce che venga rubata dalla RAM in questo scenario?

Creazione del volume LUKS utilizzando un file di chiavi:

  1. Crea un file chiave utilizzando un algoritmo OTP, come HOTP con una chiave segreta e un contatore
  2. Salva il valore del contatore
  3. Crea il volume LUKS e assegna il file di chiavi
  4. Elimina in modo sicuro il file di chiavi

Uso del volume:

  1. Ricrea il file di chiavi usando il tasto segreto + contatore
  2. Apri il volume LUKS tramite: %codice%
  3. Incrementa il contatore
  4. Crea un nuovo file di chiavi con il nuovo valore del contatore
  5. Aggiungi il nuovo file di chiavi al volume LUKS tramite: %codice%
  6. Rimuovi la vecchia chiave dal contenitore tramite: %codice%
  7. Elimina in modo sicuro keyfile e newkeyfile

Quello che voglio sapere è che se la memoria di sistema è stata rilevata dopo il passo 7 e mentre il volume è ancora montato, sarebbe possibile recuperare il volume masterkey, o la chiave utilizzata per aprire il volume nel passaggio 2, o la nuova chiave assegnata al volume nel passaggio 5?

    
posta pwnd 02.12.2013 - 15:13
fonte

1 risposta

1

Poco meno

Se hai smarrito strongmente ram e hai cancellato in modo sicuro il tuo file di chiavi, sembra che non esistano modi per rivedere le chiavi precedenti **.

Anche se il passaggio 6 non è stato eseguito, sui metadati LUKS troverai solo hash di essi: la chiave non è archiviata in chiaro: 

cryptsetup  luksDump /dev/sde2

Mostrerà tutte le chiavi in forma dettagliata.

** (HOTP: Hack Only Transform the Problem)

Ma con questo metodo non sei più protetto dell'uso della password invariata: se una chiave usata è stata scoperta, (da keylogger, camere o direct vue sulla tastiera), la prossima volta che li colpisci, sarà facile per vedere dove sono le differenze e come le due chiavi differiscono.

h.o.t.p. ma il problema rimane lo stesso ...

Buon metodo

Ad ogni modo, la procedura sembra corretta.

Uso LUKS su partizioni live-persistent sulla mia chiave USB live Debian.

Nella mia mente, per avere una chiave così trasportabile, utilizzando la sicurezza strong . Genero un tasto luks con 10 passphrase forti , (per essere memorizzato nel mio potente cervello) e ogni volta che utilizzo un ambiente sospetto, elimino l'ultima chiave utilizzata, prima di continuare a utilizzare la sessione corrente.

Non importa la memoria, se la chiave viene eliminata dall'intestazione di luks, devo solo usare l'altra, la prossima volta.

Con 5 diverse passphrase segrete, potrei lavorare un sacco di tempo

  • Il mio desktop preferito resta il mio laptop.
  • Principalmente quando uso la mia chiave, è sull'hardware su cui lavoro (aperto e senza keylogger)
  • Ci sono operazioni estremamente rare che faccio in un ambiente davvero sospetto.

(Il prossimo 6 mesi, ho lasciato cadere solo 1 chiave, e non sono sicuro che fosse davvero necessario).

Ma la tua procedura potrebbe essere utile per operazioni forti contro l'intero elenco di chiavi ... forse.

    
risposta data 02.12.2013 - 18:49
fonte

Leggi altre domande sui tag

Noleggiare un server remoto con IPMI: è vulnerabile? Crittografia hardware per dati mobili