Quão segura é uma partição criptografada?

Ao instalar o Ubuntu 16.04, eu escolhi criptografar o sistema de arquivos e agora sou solicitada uma senha antes que o Ubuntu seja inicializado.

Gostaria de saber o quão seguro isso torna meu conteúdo? Especificamente:

• Tudo na unidade está criptografado (incluindo meus dados)?

• Quão forte é essa criptografia? (Eu sei, é uma questão de tempo, recursos e qual senha eu escolhi, mas eu quero dizer no sentido prático ... qualquer um pode invadir minha porta da frente, mas o ladrão comum não tem os recursos ou a inclinação para dominar um casa). Por exemplo, se eu enviar meu laptop para reparos, ou se ele for perdido ou roubado, preciso me preocupar com alguém sem motivo realmente urgente para tentar descriptografá-lo para ter acesso fácil? (Eu sei que uma pergunta semelhante foi feita aqui , mas isso foi há um bom tempo, então talvez as coisas tenham mudado?)

• Além disso, a criptografia me impede de (a) instalar o SSD com o sistema de arquivos criptografado em um dispositivo diferente ou (b) fazer um backup completo da unidade (usando uma versão ao vivo do Ubuntu, por exemplo) e em algum momento restaurando esse backup?

• Além disso, se todo o sistema de arquivos estiver criptografado, existe algum valor em criptografar também minha pasta pessoal no Ubuntu?

• Se você optar por criptografar o novo sistema via LUKS, todo o sistema será criptografado. Isso inclui os arquivos do sistema, a pasta pessoal (e, portanto, os dados), bem como a partição de troca. Isso significa que você pode usar a suspensão em disco (também conhecida como hibernação) e ainda ter todos os benefícios da criptografia completa de disco. Como apontado nos comentários, o Ubuntu usa suspensão para RAM por padrão. Para que o Ubuntu use a suspensão em disco, siga as instruções em help.ubuntu.com, que aparentemente funcionam apenas para um número limitado de máquinas.
• A criptografia AES de 256 bits provavelmente é forte o suficiente para o futuro próximo. Como foi discutido aqui no Cryptography Stack Exchange , a força bruta do AES-256 custaria cerca de 100 tredilhões de vezes o PIB mundial - a coisa mais próxima do impossível que você pode imaginar. Até a força bruta de criptografia AES de 128 bits leva cerca de mil vezes o PIB mundial.
• A chave LUKS não está bloqueada por nada além do cabeçalho LUKS (que é o HDD / SSD) e sua senha (que está na sua cabeça). Isso permite (a) usá-lo em qualquer outra máquina, contanto que isso também seja possível com um disco do sistema não criptografado, ou seja, para sistemas comuns, deve funcionar perfeitamente. Quanto a (b), sim, você pode fazer backups completos do disco dd, mas lembre-se de que essas imagens não serão compactadas para uma quantidade significativa. Isso ocorre porque a natureza dos dados criptografados é indistinguível dos dados aleatórios sem a senha.
• Existe apenas um benefício acadêmico para isso, ou seja, depois de consumir o primeiro tredecilhão de PIBs mundiais para interromper sua criptografia de disco completa, um invasor precisaria de outro tredecilhão de PIBs mundiais para entrar na sua pasta inicial criptografada (assumindo diferentes senhas / chaves). Portanto, ele realmente reforça sua criptografia de 256 bits para 257 bits. Em uma observação pessoal, eu até uso o login automático em máquinas de criptografia de disco completo, pois considero a criptografia de disco segura o suficiente para não exigir que a senha seja inserida novamente após a inicialização.

• Nem tudo no seu disco é criptografado, mas seus dados são.

  A parte que não é criptografada é a sua /bootárea, pois é usada durante a inicialização. Algumas conseqüências interessantes que daí resultam podem ser encontradas aqui .

• Você pode descobrir a força de criptografia de sua instalação específica executando

  ls /dev/mapper/ |grep crypt
  

  A saída será YOUR_CRYPT

  cryptsetup status YOUR_CRYPT
  

  Exemplo:

  ls /dev/mapper/ |grep crypt
  nvme0n1p4_crypt
  sudo cryptsetup status nvme0n1p4_crypt
  
  /dev/mapper/nvme0n1p4_crypt is active and is in use.   
  type:    LUKS1    
  cipher:  aes-xts-plain64   
  keysize: 512 bits   
  device:  /dev/nvme0n1p4     
  offset:  4096 sectors   
  size:    499410944 sectors   
  mode:   read/write   
  flags:   discards
  

  Seu nível de criptografia variará com base na instalação do Ubuntu e em qual versão você está usando, mas uma configuração ainda mais antiga será bastante forte e provavelmente resistirá a rachaduras ocasionais. Uma boa discussão sobre criptografia no nível de bloco do Ubuntu: Quão segura é a criptografia de disco completo padrão do Ubuntu?

• Iniciar a unidade criptografada em hardware diferente não será um problema. Se você fizer uma cópia bit por bit da sua unidade criptografada, ainda poderá inicializá-la normalmente e fazer login nela usando sua senha. A operação de cópia deve ser feita enquanto "offline" (com a unidade desmontada, após um desligamento). É improvável que uma captura de dados on-line funcione, mas não tenho 100% de certeza.

• A criptografia "Pasta pessoal" baseia-se na idéia de "pasta doméstica em um arquivo". Se o sistema não estivesse criptografado e o sistema de arquivos fosse montado, o diretório inicial criptografado seria um único arquivo grande, criptografado usando o cryptsetup. Dessa forma, criptografar sua pasta pessoal em um sistema criptografado aumentaria a dificuldade de obter seus arquivos pessoais. No entanto, pode haver uma troca de desempenho. Mais sobre casa criptografada.

Respostas curtas e simples:

1. Tudo na unidade está criptografado (incluindo meus dados)? :

   • Sim, tudo está criptografado

2. Quão forte é essa criptografia? :

   • Saia forte tão forte quanto o elo mais fraco que você .

3. Além disso, a criptografia me impede de (a) instalar o SSD com o sistema de arquivos criptografado em um dispositivo diferente ou (b) fazer um backup completo da unidade (usando uma versão ao vivo do Ubuntu, por exemplo) e em algum momento restaurando esse backup? :

   • Você tem que tentar se convencer. Esqueça a senha e todos os seus dados desapareceram. Se você conhece alguém que conseguiu decifrá-la após essa situação, entre em contato.

4. Além disso, se todo o sistema de arquivos estiver criptografado, existe algum valor em criptografar também minha pasta pessoal no Ubuntu? :

   • Perda de tempo, não há necessidade. Mas se você precisar OK!

Mais Informações:

Nesse link que você compartilhou, cito um link que segui:

A moral desta história? Se você possui uma partição LUKS montada no telefone, é muito fácil alguém obter a chave de criptografia principal. O cryptsetup exclui a chave do ram durante uma operação luksClose, portanto , minha recomendação é montar apenas sua unidade LUKS quando você a estiver usando e desmontar e luksClose quando terminar . Caso contrário, torna-se um enorme buraco de segurança. Quase como se sua unidade não estivesse criptografada em primeiro lugar.

Provavelmente é apropriado mencionar aqui que o LUKS no Android não é o único sistema suscetível a esse tipo de ataque. Praticamente todos os sistemas de criptografia de disco armazenam a chave de criptografia em memória ram. O grupo CITP de Princeton identificou esse fato há muito tempo. Meu argumento aqui é apenas que um ataque como esse é muito fácil de fazer!

Observe a seção em negrito , mais informações . Como eu disse Se você é fraco ou descuidado na maneira como lida com suas coisas, então espere problemas. Ele dava sempre conselhos para desmontar ou fechar quando você não o usava.