web-dev-qa-db-ja.com

スワップパーティションを暗号化する理由

このサイトでは、多くのLinuxユーザーがスワップパーティションを暗号化することを見てきました。暗号化スワップの利点は何ですか？

encryptionswappartitions
11
Devyn Collier Johnson

スワップ領域の暗号化は、機密情報を保護するために使用されます。パスワードを扱うアプリケーションを検討してください。これらのパスワードが物理メモリに残っている限り、これらのパスワードはディスクに書き込まれず、再起動後にクリアされます。 OSがメモリページのスワップアウトを開始して他のアプリケーション用のスペースを解放すると、パスワードが暗号化されずにディスクプラッタに書き込まれる場合があります。スワップスペースの暗号化は、このシナリオの解決策になります。

スワップパーティションはデフォルトでは暗号化されないため、続行する前に機密データを消去する必要があります。

スワップパーティションは、暗号化されていない機密情報を大量に保持する可能性があり、コンピューターをシャットダウンした後も維持されるという事実が問題になる可能性があります。

SWAPを暗号化するには、 buntuの暗号化されたスワップパーティション を参照してください。

追加の読み取り： スワップ暗号化 、および buntu-スワップパーティションを暗号化する方法

出典：C。ブリュッファー

18
Mitch

これが、ずっと前にスワップパーティションも実際に暗号化することを確信した理由です

次のコマンドを試してください。
まずスワップデバイスを見つけてから、ユーザーパスワード（または重要な文字列）がスワップメモリ​​のどこかに保存されているかどうかを調べます。

  $ Sudo swapon --summary  
  Filename                                Type        ...  
  /dev/mapper/vg_ubu476-lv_swap           partition   ...  

   $ Sudo time strings < /dev/mapper/vg_ubu476-lv_swap | grep <any substring of your password>

パスワードが見つからない場合、コマンドは出力なしで終了します。私は4 GiBのスワップで40秒かかりました。
「| grep <...>」ではなく、「| more」で試してください。これは、暗号化する前に、ランダムなASCIIでディスクを最初から消去したかどうかを示します。

問題に注意してください：これらのコマンドの後、「パスワードのサブストリング」はbash履歴に書き込まれたままになり、消去する必要性を感じるかもしれません。 「パスワードのサブストリング」を使用すると、少なくとも完全なパスワードを取得できません。そして、その中を見ることができるのはrootだけです。

私の文字列コマンドは、OSの実行中にのみ存在するシステムの復号化されたレイヤーを調べました。

その下には、LVM、次に復号化されたLUKSコンテナー、最後に暗号化されたデバイス（大きなパーティション）があります。すべてを「文字列」でスキャンしてみてください。

「sudo su-」の代わりに「su-root」を使用していたため、最初に多くのルートパスワードを見つけたときに「文字列」を実行しました。さて、須藤では何も見つかりません。

パフォーマンス-Belive me：遅延を感じることなく、Thinkpad W520の3つのSSDで1,3テラバイトの暗号化されたもの（システム+大規模な写真データベース）を使用しています。ただし、少なくとも8 GiBメモリが多少役立つ可能性があります。

2
prometheos

ホームディレクトリまたはフルディスク暗号化インストールについて話していると仮定します。

スワップには（安価なため）永続ストレージのスペースが割り当てられ、オペレーティングシステムにより多くの仮想メモリが提供されます。すべてのアプリケーションは、操作用のすべての暗号化されていないデータを保持する仮想メモリで実行されます。ディスクで暗号化されたデータの一部がスワップストレージで暗号化されずに終了する可能性はかなり高くなります。また、暗号化キーなどの一時的なメモリ内のものを物理メモリから移動して、しばらくの間スワップすることもできます（カーネルが決定した場合）。単純な暗号化キーを使用すると、攻撃者は確実にハードドライブ全体を復号化できます。

さらに、物理メモリとは異なり、PCの電源をオフにしてもスワップは消去されません。

また、システムを休止状態にすると、すべての物理メモリがスワップに書き込まれることに注意してください。これにより、攻撃者にさらに大量のデータが提供されます。

要約すると、マシン上のデータの暗号化のコンテキストでは、セキュリティから暗号化されたファイルを処理する場合、スワップを暗号化することは非常に悪いことですnot立場。達成しようとしている完全なセキュリティに違反することさえあります。

2
gertvdijk

同じ理由で、メインメモリを暗号化します。プログラムには情報のクリアテキストコピーがあり、スケジューラによって時々ディスク（スワップパーティション）にスワップアウトされます。十分な動機と有効性があれば、その個人データのスワップをマイニングできます。

ただし、ルートディスクを暗号化していない場合、スワップの暗号化は重要ではありません。

暗号化は安価ではありません。パフォーマンスが大幅に低下することが予想されます。

私が知っている唯一の人々は、「すべてをやる」人が広範囲に旅行します。ただいじりたいだけなら、それを試してください。

追伸誰かがメインメモリを暗号化できないことについて賢明な判断を下す前に、 http://bluerisc.com/ にアクセスしてください。命令セットも暗号化されています。

1
ppetraki