วิธีการเข้ารหัส / home บน Ubuntu 18.04

ไม่พอใจที่เห็นว่าตัวติดตั้ง 18.04 ไม่มีตัวเลือกในการเข้ารหัสโฮมไดเรกทอรีอีกต่อไป ตามรายงานข้อผิดพลาดนี้อ้างถึงในตัวติดตั้งวิธีที่แนะนำสำหรับการเข้ารหัสในวันนี้คือดิสก์เต็มรูปแบบที่มี LUKS หรือ fscrypt สำหรับไดเรกทอรี การเข้ารหัสดิสก์แบบเต็มดูเหมือนว่าจะเกินความต้องการของฉันเล็กน้อยและข้อบกพร่องและข้อควรระวังทั้งหมดที่กล่าวถึงในWikiไม่ได้เป็นตัวเลือกที่น่าสนใจมาก ทั้งหมดที่ฉันต้องการคือการปกป้องไดเรกทอรีบ้านของฉันจากคนที่เข้าถึงเอกสารภาพถ่ายของฉันและอื่น ๆ ถ้าแล็ปท็อปของฉันถูกขโมยทำให้ fscrypt เป็นตัวเลือกสำหรับฉัน

fscrypt หน้า GitHubมีตัวอย่างบางส่วนในการที่จะตั้งขึ้น แต่ฉันไม่สามารถหาเอกสารใด ๆ ที่มุ่งการเข้ารหัสไดเรกทอรีบ้านบน Ubuntu เครื่องมือ ecryptfs เก่ายังคงใช้งานได้ แต่หลังจากตั้งค่า Ubuntu แล้วบางครั้งจะหยุดที่หน้าจอเข้าสู่ระบบ

ดังนั้นคำถามของฉันคือ: ฉันจะตั้งค่า fscrypt เพื่อเข้ารหัสไดเรกทอรี / home ของฉันและถอดรหัสเมื่อฉันเข้าสู่ระบบได้อย่างไร ฉันชอบวิธีที่ ecryptfs อนุญาตให้ถอดรหัสโฟลเดอร์ด้วยตนเอง (เช่นจากดิสก์อิมเมจ)

(คำถามที่คล้ายกันถูกโพสต์ที่นี่และโชคไม่ดีที่ปิดการรายงานข้อผิดพลาด "นอกหัวข้อ" เพื่อชี้แจงว่านี่ไม่ใช่รายงานบั๊กความจริงที่ว่าตัวเลือกการเข้ารหัสโฮมไดเรกทอรีถูกลบออกจากตัวติดตั้งนั้นมีเจตนาทั้งหมด ขอให้ที่นี่เป็นวิธีการติดตั้ง fscrypt.)

อัปเดต 2019-07

fscryptฉันทำงานบ้านเข้ารหัสหลายกับ ติดตั้งระบบของคุณโดยไม่มีการเข้ารหัสและใช้คู่มือนี้เพื่อนำไปใช้fscryptในบ้านของคุณ

ตรวจสอบให้แน่ใจที่chmod 700บ้านและ / หรือใช้umask 077เพราะ fscrypt ไม่ได้ตั้งค่าการอนุญาตโดยอัตโนมัติเหมือนที่ecryptfsเคยทำ

API ที่fscryptอาจมีการเปลี่ยนแปลงในอนาคตดังนั้นโปรดสำรองไฟล์สำคัญของคุณหากคุณพยายามอัพเกรดระบบ

(คุณสมบัตินี้ไม่ได้ใช้กันอย่างแพร่หลายในเดสก์ท็อปใช้ความเสี่ยงของคุณเอง)

อัปเดต 2018-11

TL: DR; คุณสามารถลองfscryptใน Ubuntu 18.10+ หรือ Linux Mint 19.1+

ดูเหมือนว่านี่จะได้รับการแก้ไขในที่สุด ต่อไปนี้เป็นคำแนะนำการจองล่วงหน้า: http://tlbdk.github.io/ubuntu/2018/10/22/fscrypt.html

ฉันไม่ได้พูดคำแนะนำที่นี่เพราะมันต้องมีการแฮ็กและคุณสามารถสูญเสียข้อมูลที่บ้านของคุณ

คำเตือน:คำเตือนจากผู้ใช้@dpg : "ระวัง: ฉันทำตามคำแนะนำจาก" คำแนะนำ pre-emptive "(ทำภายใต้ tty), และเข้าสู่ระบบวนรอบไม่สิ้นสุด"

พิจารณาคู่มือนี้เพื่อวัตถุประสงค์ทางการศึกษาเท่านั้น

ต่อไปคือคำตอบเดิมของฉัน:

คำตอบเดิม 2018-05

การเข้ารหัสบ้านคลาสสิกใช้กับ: DR; TL ลินุกซ์มิ้นท์ 19 ธารา

fscrypt สำหรับการเข้ารหัสที่บ้านยังคงใช้งานไม่ได้

ฉันจะติดตั้ง fscrypt เพื่อเข้ารหัส / home directory ของฉันและถอดรหัสเมื่อฉันเข้าสู่ระบบได้อย่างไร?

นี่คือสิ่งที่พวกเราหลายคนต้องการ ดูเหมือนว่าทีมอูบุนตูจะไม่ecryptfsสามารถทำงานได้อย่างไม่มีข้อผิดพลาดบน Ubuntu 18.04 และไม่สามารถแก้ไขข้อบกพร่องในfscryptตัวเลือกการเข้ารหัสที่บ้านได้ทันเวลาสำหรับ Ubuntu 18.04 ที่วางกำหนดการไว้เช่นกัน

สำหรับfscryptคืออย่างน้อยหนึ่งข้อบกพร่องที่สำคัญซึ่งทำให้ไม่สามารถใช้การเข้ารหัสที่บ้านได้ในขณะนี้:

• fscrypt / ปัญหา / 77

นอกจากนี้เราต้องการวิธีการตรวจสอบ / ปลดล็อกที่โปร่งใสก่อนที่จะเป็นทางเลือกที่เหมือนจริงกับการเข้ารหัสลับบ้านแบบ "เข้ารหัส" แบบ ecryptfs นี่คือการติดตามที่นี่:

• fscrypt / ปัญหา / 95

เมื่อเปิดปัญหาเหล่านี้คุณสามารถพิจารณาการเข้ารหัสที่บ้านได้ถึงจุดนี้ ด้วยสิ่งนั้นเพื่อนร่วมงานของฉันและฉันพิจารณา Ubuntu 18.04 18.04.1 ที่ยังไม่เสร็จในขณะนี้และหวังว่าการเข้ารหัสที่บ้านจะถูกนำกลับมา (ใช้วิธีการใหม่และดีกว่ามากfscrypt) ใน Ubuntu 18.04.1 18.04.2

ก่อนหน้านี้เรากำลังติดตั้ง Ubuntu 16.04 เราได้เปลี่ยนเครื่องของเราทุกคนที่จะลินุกซ์มิ้นท์ 19 ธาราecryptfsกับการเข้ารหัสบ้านคลาสสิกใช้ อ่านส่วน"ปัญหาที่ทราบ"ในบันทึกย่อประจำรุ่นสำหรับ Linux Mint 19 Taraเกี่ยวกับecryptfsข้อ จำกัด และดูว่านี่เป็นที่ยอมรับของคุณหรือไม่:

(... ) โปรดระวังว่าในมิ้นต์ 19 และรุ่นใหม่กว่าโฮมไดเร็กตอรี่ที่เข้ารหัสของคุณจะไม่ถูกถอดออกเมื่อออกจากระบบอีกต่อไป

หากคุณได้ลองfscryptแล้วพบว่ามันจะหักสำหรับการใช้งานของคุณคุณสามารถลงคะแนน"ข้อผิดพลาดนี้ส่งผลกระทบต่อฉันด้วย"ที่ข้อผิดพลาด launchpad ต่อไปนี้:

• อูบุนตู / fscrypt / + ข้อผิดพลาด / 1,768,340

โปรดทราบว่าfscrypt/ ext4-crypt(ในอนาคต "บ้านเข้ารหัส") เป็นตัวเลือกที่เร็วที่สุดและecryptfs(เก่า "บ้านเข้ารหัส") เป็นตัวเลือกที่ช้าที่สุด LUKS("เข้ารหัสทั้งไดรฟ์") อยู่ตรงกลาง

ด้วยเหตุนี้จึงแนะนำให้เข้ารหัสลับดิสก์ทั้งหมด เพราะถ้าคุณมีโครงการขนาดใหญ่มากที่มีไฟล์ขนาดเล็กจำนวนมากให้ใช้การจัดการการแก้ไขใหม่สร้างคอมไพล์ขนาดใหญ่และอื่น ๆ คุณจะพบว่า overkill ของการเข้ารหัสไดรฟ์ทั้งหมดของคุณนั้นคุ้มค่าจริง ๆ เมื่อเทียบกับความช้า การเข้ารหัสที่บ้าน

ในท้ายที่สุดการเข้ารหัสไดรฟ์ทั้งหมดมีข้อบกพร่องหลายประการ:

• บัญชี Guest
• แล็ปท็อปสำหรับครอบครัวที่มีบัญชีส่วนตัว
• การใช้ซอฟต์แวร์ป้องกันการโจรกรรมแบบ PREY

เป็นเรื่องที่น่าประหลาดใจที่ Canonical ตัดสินใจว่า"เราไม่ต้องการสิ่งนี้อีกต่อไป"ในเวอร์ชั่น LTS ซึ่งเป็นที่รู้จักกันดีในชื่อการกระจาย "จริงจัง" ของพวกเขา

จากคำตอบของ Panther ที่นี่การเข้ารหัสดิสก์เต็มรูปแบบจะเข้ารหัสทุกอย่างรวมถึง / home ในขณะที่เข้ารหัสเฉพาะ dir เฉพาะเช่น / home เท่านั้นที่จะถูกเข้ารหัสเมื่อคุณไม่ได้เข้าสู่ระบบ

ในการเข้ารหัสผู้ใช้ที่บ้านผู้ใช้เดิม:

ออกจากระบบครั้งแรกของบัญชีนั้นและเข้าสู่บัญชีผู้ดูแลระบบ:

ติดตั้งยูทิลิตี้การเข้ารหัสสำหรับงาน:

 sudo apt install ecryptfs-utils cryptsetup

จากlaunchpad bug ecryptfs-utils ขณะนี้อยู่ใน repo ของจักรวาล

โอนย้ายโฮมโฟลเดอร์ของผู้ใช้นั้น:

sudo ecryptfs-migrate-home -u <user>

ตามด้วยรหัสผ่านผู้ใช้ของบัญชีนั้น

จากนั้นออกจากระบบและลงชื่อเข้าใช้ในบัญชีผู้ใช้ที่เข้ารหัส - ก่อนรีบูต! เพื่อให้กระบวนการเข้ารหัสเสร็จสมบูรณ์

ภายในบัญชีพิมพ์และบันทึกข้อความรหัสผ่านการกู้คืน:

ecryptfs-unwrap-passphrase

ตอนนี้คุณสามารถรีบูตและเข้าสู่ระบบ เมื่อคุณพอใจแล้วคุณสามารถลบโฟลเดอร์สำรองบ้านได้

นอกจากนี้หากคุณต้องการสร้างผู้ใช้ใหม่ด้วยรหัสบ้านที่เข้ารหัส:

sudo adduser --encrypt-home <user>

สำหรับข้อมูลเพิ่มเติม: man ecryptfs-migrate-home ; ผู้ชาย ecryptfs-setup-private

โดยส่วนตัวแล้วฉันแทบจะไม่เคยแนะนำให้ใช้การเข้ารหัสระบบไฟล์ (FSE) กับใครสำหรับกรณีการใช้งานส่วนใหญ่ มีเหตุผลหลายประการไม่น้อยไปกว่าความจริงที่มีอยู่และทางเลือกที่มีประสิทธิภาพมากกว่า คุณทุกคนพูดว่ามีเพียงสองตัวเลือกคือ FSE หรือ FDE (การเข้ารหัสดิสก์เต็มรูปแบบ) อย่างไรก็ตามนั่นไม่ใช่กรณี ในความเป็นจริงมีสองตัวเลือกอื่น ๆ ซึ่งจะเป็นประโยชน์ต่อ OP ยิ่งใหญ่กว่านั้นคือการเข้ารหัสไฟล์คอนเทนเนอร์และการเข้ารหัสที่เก็บถาวร

การเข้ารหัสที่เก็บไฟล์เป็นซอฟต์แวร์ประเภทใดเช่น Veracrypt และ Truecrypt ที่หมดอายุในตอนนี้จะถูกเขียนขึ้นเพื่อ การเข้ารหัสคอนเทนเนอร์สร้างขึ้นในซอฟต์แวร์บีบอัดไฟล์ส่วนใหญ่เช่น Winzip และ 7zip เป็นตัวเลือกเมื่อสร้างไฟล์เก็บถาวร

ทั้งสองมีข้อได้เปรียบมากกว่า FSE สิ่งที่ชัดเจนที่สุดคือคุณไม่จำเป็นต้องทิ้งมันไว้ในขณะที่คุณไม่ได้ทำงานกับไฟล์ที่เข้ารหัสของคุณ ที่ป้องกันไม่ให้ใครก็ตามสามารถเข้าถึงผู้ที่สามารถแทนที่การป้องกันของคีย์โปรไฟล์ผู้ใช้และการล็อกหน้าจอ นอกจากนี้คุณอาจทำอะไรโง่ ๆ เช่นออกไปจากคอมพิวเตอร์ของคุณ แต่ลืมที่จะล็อคหน้าจอหรืออนุญาตให้บางคนใช้คอมพิวเตอร์และหวังว่าพวกเขาจะไม่ดูไดเรกทอรีที่ซ่อนอยู่ของคุณ นอกจากนี้คุณยังสามารถย้ายไฟล์จำนวนมากได้ตลอดเวลาโดยไม่จำเป็นต้องเข้ารหัสไฟล์ด้วยวิธีอื่นเนื่องจากคอนเทนเนอร์เป็นแบบพกพา

ข้อดีอย่างหนึ่งที่บรรจุภัณฑ์ของ Veracrypt นั้นมีประโยชน์ก็คือความจริงที่ว่าพวกเขาสามารถติดตั้งเป็นไดรฟ์และช่วยให้คุณสามารถจัดรูปแบบด้วยระบบไฟล์แยกต่างหากโดยเฉพาะอย่างยิ่งระบบไฟล์ที่ไม่ทำเจอร์นัลเช่น EXT2 หรือ FAT32 การทำเจอร์นัลระบบไฟล์อาจทำให้ข้อมูลรั่วไหลไปยังผู้โจมตีได้ อย่างไรก็ตามหากสิ่งที่คุณกำลังทำคือการซ่อนรูปภาพส่วนตัวของคุณสิ่งนี้อาจไม่เกี่ยวข้องกับคุณ ในทางกลับกันหากคุณมีความลับของรัฐหรือข้อมูลที่ได้รับการคุ้มครองตามกฎหมายอาจเป็นไปได้ นอกจากนี้คุณยังสามารถตั้งค่าให้เมาต์เมื่อบู๊ตเครื่องโดยอัตโนมัติหากใช้ไฟล์คีย์ อย่างไรก็ตามไม่แนะนำให้ใช้เนื่องจากไฟล์คีย์จะต้องถูกเก็บไว้ที่ใดที่หนึ่งที่ปลอดภัยน้อยกว่าที่ซึ่ง FSE เก็บคีย์โปรไฟล์ผู้ใช้

ทั้งสองมีความสามารถในการใช้การบีบอัดไฟล์ นอกจากนี้คุณยังสามารถซ่อนชื่อไฟล์ได้แม้ว่าจะไม่ได้เป็นตัวพิมพ์เล็กเสมอเมื่อใช้ไฟล์บีบอัดที่เก็บถาวร

โดยส่วนตัวแล้วฉันใช้การเข้ารหัสคอนเทนเนอร์สำหรับไฟล์ที่จะไม่ถูกย้ายและไฟล์เก็บถาวรที่เข้ารหัสสำหรับไฟล์ที่จะย้ายหรือจัดเก็บในระบบคลาวด์เนื่องจากเป็นไฟล์ที่มีขนาดเล็กกว่า

การเข้ารหัสโฮมไดเรกทอรียังคงเป็นไปได้ด้วยการเข้ารหัสคอนเทนเนอร์ อาจจะเก็บคีย์เข้ารหัสของคุณไว้ใน YubiKey?

อย่างไรก็ตามฉันแค่อยากจะเสนอทางเลือกทั้งหมดให้คุณซึ่งไม่ได้รับการกล่าวถึงจากผู้โพสต์คนอื่น รู้สึกอิสระที่จะเห็นด้วยหรือไม่เห็นด้วยกับสิ่งที่ฉันพูด

หากคุณเป็นเหมือนฉันกำลังติดตั้ง Ubuntu 18.04 ใหม่บน Ubuntu 16.04 และคุณได้เข้ารหัสไว้ก่อนหน้านี้/homeคุณจะเห็นว่าคุณไม่สามารถเข้าสู่ระบบได้หลังจากการติดตั้ง สิ่งที่คุณต้องทำคือติดตั้งแพ็กเกจที่เกี่ยวข้องกับ ecryptfs: sudo apt install ecryptfs-utils cryptsetupรีบูตและเข้าสู่ระบบ

ในการติดตั้งแพคเกจเหล่านั้นคุณสามารถเข้าสู่ระบบใน tty ว่างเมื่อ budgie ได้โหลด ( Cntrl+ Alt+ F1) หรือเข้าสู่โหมดการกู้คืน linux และติดตั้งจากที่นั่น