¿Qué tan segura es una partición encriptada?

Al instalar Ubuntu 16.04, elegí cifrar el sistema de archivos, y ahora se me solicita una contraseña antes de que Ubuntu se inicie.

Me pregunto qué tan seguro hace que mi contenido. Específicamente:

• ¿Está todo en la unidad cifrado (incluidos mis datos)?

• ¿Qué tan fuerte es este cifrado? (Lo sé, es una cuestión de tiempo y recursos y qué contraseña elegí, pero quiero decir, en un sentido práctico ... cualquiera podría atravesar mi puerta principal, pero el ladrón promedio no tiene los recursos o la inclinación para evitar un error casa). Por ejemplo, si envío mi computadora portátil para repararla, o si la pierdo o me la roban, ¿debo preocuparme por alguien sin una razón realmente apremiante para intentar descifrarlo y obtener acceso fácil? (Sé que se hizo una pregunta similar aquí , pero eso fue hace bastante tiempo, ¿quizás las cosas han cambiado?)

• Además, ¿el cifrado me impide (a) instalar la SSD con el sistema de archivos cifrados en un dispositivo diferente o (b) hacer una copia de seguridad completa de la unidad (usando una versión en vivo de Ubuntu, por ejemplo) y en algún momento restaurar esa copia de seguridad?

• Además, si todo el sistema de archivos está encriptado, ¿tiene algún valor también encriptar mi carpeta de inicio en Ubuntu?

• Si elige encriptar el nuevo sistema a través de LUKS, todo el sistema está encriptado. Esto incluye los archivos del sistema, la carpeta de inicio (y, por lo tanto, sus datos), así como la partición de intercambio. Esto significa que puede usar la suspensión en disco (también conocida como hibernación) y aún así obtener todos los beneficios del cifrado de disco completo. Como se señaló en los comentarios, Ubuntu utiliza suspender a RAM por defecto. Para que Ubuntu use suspender a disco en su lugar, debe seguir las instrucciones en help.ubuntu.com que aparentemente solo funcionan para un número limitado de máquinas.
• El cifrado AES de 256 bits es lo suficientemente fuerte para el futuro previsible. Como se discutió aquí en Cryptography Stack Exchange , la fuerza bruta AES-256 costaría alrededor de 100 trillones de veces el PIB mundial, lo más cercano a lo imposible que puedas imaginar. Incluso el cifrado AES de 128 bits con fuerza bruta toma alrededor de mil veces el PIB mundial.
• La clave LUKS no está bloqueada por nada más que el encabezado LUKS (que es uno HDD / SSD) y su frase de contraseña (que está en su cabeza). Esto le permite (a) usarlo en cualquier otra máquina, siempre que eso también sea posible con un disco de sistema no encriptado, es decir, para sistemas comunes debería funcionar sin problemas. En cuanto a (b), sí, puede hacer copias de seguridad de todo el disco dd, pero tenga en cuenta que estas imágenes no se comprimirán en una cantidad significativa. Esto se debe a que la naturaleza de los datos cifrados no se puede distinguir de los datos aleatorios sin la frase de contraseña.
• Esto solo tiene un beneficio académico, es decir, después de consumir el primer tredecillion del PIB mundial por romper el cifrado completo del disco, un atacante necesitaría otro tredecillion del PIB mundial para ingresar también a su carpeta de inicio encriptada (suponiendo diferentes frases / claves). Por lo tanto, en realidad fortalece su cifrado de 256 bits a 257 bits de longitud de clave. En una nota personal, incluso utilizo el inicio de sesión automático en máquinas de cifrado de disco completo, ya que considero que el cifrado de disco es lo suficientemente seguro como para no requerir que se vuelva a ingresar la contraseña después del arranque.

• No todo en su disco está encriptado, pero sus datos sí.

  La parte que no está encriptada es su /bootárea, ya que se usa durante el inicio. Algunas consecuencias interesantes que se derivan de eso se pueden encontrar aquí .

• Puede averiguar la potencia de cifrado de su instalación específica ejecutando

  ls /dev/mapper/ |grep crypt
  

  La salida será YOUR_CRYPT

  cryptsetup status YOUR_CRYPT
  

  Ejemplo:

  ls /dev/mapper/ |grep crypt
  nvme0n1p4_crypt
  sudo cryptsetup status nvme0n1p4_crypt
  
  /dev/mapper/nvme0n1p4_crypt is active and is in use.   
  type:    LUKS1    
  cipher:  aes-xts-plain64   
  keysize: 512 bits   
  device:  /dev/nvme0n1p4     
  offset:  4096 sectors   
  size:    499410944 sectors   
  mode:   read/write   
  flags:   discards
  

  Su grado de cifrado variará en función de cuándo instaló en Ubuntu y qué versión está utilizando, pero incluso la configuración anterior será bastante sólida y probablemente resistirá el crack casual. Una buena discusión sobre el cifrado de nivel de bloque de Ubuntu: ¿Qué tan seguro es el cifrado de disco completo predeterminado de Ubuntu?

• Arrancar su unidad encriptada en un hardware diferente no será un problema. Si hace una copia bit a bit de su unidad encriptada, aún puede iniciarla de manera normal e iniciar sesión con su contraseña. La operación de copia debe realizarse mientras está "fuera de línea" (con la unidad desmontada, después de un apagado). Es improbable que una captura de datos en línea funcione, pero no estoy 100% seguro.

• El cifrado de "carpeta de inicio" se basa en la idea de "carpeta de inicio en un archivo". Si el sistema no estuviera encriptado, y el sistema de archivos estaría montado, el directorio de inicio encriptado sería un único archivo grande, encriptado usando cryptsetup. Como tal, encriptar su carpeta de inicio dentro de un sistema encriptado aumentaría la dificultad de obtener sus archivos personales. Sin embargo, puede haber una compensación de rendimiento. Más información sobre el hogar encriptado.

Respuestas cortas y simples:

1. ¿Está todo en la unidad cifrado (incluidos mis datos)? :

   • Sí, todo está encriptado

2. ¿Qué tan fuerte es este cifrado? :

   • Salir fuerte tan fuerte como el eslabón más débil que .

3. Además, ¿el cifrado me impide (a) instalar la SSD con el sistema de archivos cifrados en un dispositivo diferente o (b) hacer una copia de seguridad completa de la unidad (usando una versión en vivo de Ubuntu, por ejemplo) y en algún momento restaurar esa copia de seguridad? :

   • Tienes que probarlo para convencerte. Olvide la contraseña y sus datos se han ido, si conoce a alguien que haya podido descifrarlo después de tal situación, avíseme.

4. Además, si todo el sistema de archivos está encriptado, ¿tiene algún valor también encriptar mi carpeta de inicio en Ubuntu? :

   • Pérdida de tiempo, no es necesario. Pero si necesitas aceptar!

Más información:

Desde ese enlace que compartiste, cito un enlace que seguí:

La moraleja de esta historia? Si tiene una partición LUKS montada en su teléfono, es muy fácil para alguien obtener la clave de cifrado maestra. cryptsetup elimina la clave de la memoria RAM durante una operación luksClose, por lo que mi recomendación es que solo monte su unidad LUKS cuando la esté usando y luego desmonte y luksClose cuando haya terminado . De lo contrario, se convierte en un gran agujero de seguridad. Casi como si tu disco no estuviera encriptado en primer lugar.

Probablemente sea apropiado mencionar aquí que LUKS en Android no es el único sistema susceptible a este tipo de ataque. Prácticamente todos los sistemas de cifrado de disco almacenan la clave de cifrado en ram. El grupo Princeton CITP identificó este hecho hace mucho tiempo. ¡Mi punto aquí es solo que un ataque como este es muy fácil de hacer!

Tenga en cuenta la sección en negrita más información . Como dije, si eres débil o descuidado en la forma en que manejas tus cosas, entonces espera problemas. Dio consejos siempre desmontar o cerrar cuando no lo usa.