Quel est le niveau de sécurité d'une partition cryptée?

Question

Lors de l'installation d'Ubuntu 16.04, j'ai choisi de chiffrer le système de fichiers et on me demande maintenant un mot de passe avant le démarrage d'Ubuntu.

Je me demande à quel point cela sécurise mon contenu? Plus précisément:

Est-ce que tout sur le lecteur est crypté (y compris mes données)?
Quelle est la force de ce cryptage? (Je sais, c’est une question de temps, de ressources et de mot de passe que j’ai choisi, mais je veux dire dans un sens pratique ... tout le monde peut passer au bulldozer par la porte principale, mais le voleur moyen n’a pas les ressources ni le désir de craindre un maison). Par exemple, si j'envoie mon ordinateur en réparation ou si mon ordinateur est perdu ou volé, dois-je m'inquiéter de quelqu'un qui n'a aucune raison impérieuse d'essayer de le décrypter et d'obtenir un accès facile? (Je sais qu'une question similaire a été posée ici , mais c'était il y a assez longtemps alors peut-être que les choses ont changé?)
De plus, le cryptage m'empêche-t-il (a) d'installer le disque SSD avec le système de fichiers crypté sur un autre périphérique ou (b) d'effectuer une sauvegarde complète du lecteur (à l'aide d'une version live d'Ubuntu, par exemple) et à un moment donné? restaurer cette sauvegarde?
De plus, si le système de fichiers entier est crypté, y-a-t-il une quelconque valeur à chiffrer aussi mon dossier personnel dans Ubuntu?

hoe · Accepted Answer

Si vous avez choisi de chiffrer le nouveau système via LUKS, tout le système est chiffré. Cela inclut vos fichiers système, votre dossier de départ (et donc vos données), ainsi que la partition de swap. Cela signifie que vous pouvez utiliser une suspension sur disque (a.k.a. hibernate) tout en bénéficiant du chiffrement intégral du disque. Comme indiqué dans les commentaires, Ubuntu utilise par défaut la suspension de la RAM. Pour qu'Ubuntu utilise plutôt la suspension sur disque, vous devez suivre le instructions sur help.ubuntu.com qui ne fonctionne apparemment que pour un nombre limité de machines.
Le cryptage AES 256 bits est probablement suffisamment puissant pour un avenir prévisible. Comme cela a été discuté ici sur Cryptography Stack Exchange , forcer brutalement l'AES-256 coûterait environ 100 milliards de fois le PIB mondial - la chose la plus proche de l'impossible que vous puissiez imaginer. Même le forçage brutal du cryptage AES 128 bits prend environ mille fois le PIB mondial.
La clé LUKS n’est verrouillée que par l’en-tête de LUKS (qui est l’un des disques durs/disques durs) et votre phrase secrète (qui est dans votre tête). Cela vous permet (a) de l’utiliser sur n’importe quelle autre machine, à condition que cela soit également possible avec un disque système non chiffré, c’est-à-dire que les systèmes courants devraient fonctionner parfaitement. Pour ce qui est de (b), oui, vous pouvez effectuer des sauvegardes sur disque entier avec dd, mais sachez que ces images ne se compresseront pas de manière significative. Cela est dû au fait que les données cryptées ne peuvent pas être distinguées des données aléatoires sans mot de passe.
C’est un avantage académique, c’est-à-dire qu’après avoir consommé les premiers PIB mondiaux de Tredecillion pour vous avoir déchiffré le cryptage intégral du disque, un attaquant aurait besoin d’un autre PIB mondial de Tredecillion pour accéder également à votre dossier personnel chiffré (en supposant des mots de passe/clés différents). Cela renforce donc votre cryptage, qui passe de 256 bits à 257 bits. Sur une note personnelle, j’utilise même la connexion automatique sur des machines de chiffrement intégral du disque, car j’estime que le chiffrement de disque est suffisamment sûr pour ne pas exiger que le mot de passe soit saisi à nouveau après le démarrage.

sergtech · Answer

Tout ce qui se trouve sur votre lecteur n'est pas crypté, mais vos données le sont.

La partie qui n'est pas chiffrée est votre zone /boot, telle qu'elle est utilisée lors du démarrage. Certaines conséquences intéressantes qui en découlent peuvent être trouvées ici .
Vous pouvez connaître la résistance du chiffrement de votre installation spécifique en exécutant
```
ls /dev/mapper/ |grep crypt 
```
Le résultat sera YOUR_CRYPT
```
cryptsetup status YOUR_CRYPT 
```
Exemple:
```
ls /dev/mapper/ |grep crypt nvme0n1p4_crypt Sudo cryptsetup status nvme0n1p4_crypt /dev/mapper/nvme0n1p4_crypt is active and is in use. type: LUKS1 cipher: aes-xts-plain64 keysize: 512 bits device: /dev/nvme0n1p4 offset: 4096 sectors size: 499410944 sectors mode: read/write flags: discards 
```
Votre niveau de cryptage variera en fonction du moment de votre installation sur Ubuntu et de la version que vous utilisez, mais même une configuration plus ancienne sera assez puissante et résistera probablement à la fissuration occasionnelle. Une bonne discussion sur le chiffrement au niveau du bloc Ubuntu: Quel est le degré de sécurité du chiffrement intégral du disque par défaut d'Ubuntu?
Démarrer votre lecteur chiffré sur un matériel différent ne sera pas un problème. Si vous effectuez une copie bit à bit de votre lecteur chiffré, vous pouvez toujours démarrer normalement et vous y connecter à l'aide de votre mot de passe. L'opération de copie doit être effectuée en mode "hors ligne" (avec le lecteur démonté, après un arrêt). Il est peu probable qu'une capture de données en ligne fonctionne, mais je ne suis pas certain à 100%.
Le cryptage "Dossier personnel" est basé sur l'idée de "Dossier personnel dans un fichier". Si le système n'était pas chiffré et que le système de fichiers était monté, le répertoire de base chiffré serait un fichier volumineux unique, chiffré à l'aide de cryptsetup. En tant que tel, chiffrer votre dossier de départ dans un système chiffré augmenterait la difficulté d’obtenir vos fichiers personnels. Cependant, il peut y avoir un compromis sur les performances. Plus sur home crypté.

George Udosen · Answer

Réponses simples courtes:

Est-ce que tout sur le lecteur est crypté (y compris mes données)? :
- Oui tout est crypté
Quelle est la force de ce cryptage? :
- Quittez fort aussi fort que le maillon le plus faible vous.
De plus, le cryptage m'empêche-t-il (a) d'installer le disque SSD avec le système de fichiers crypté sur un autre périphérique ou (b) d'effectuer une sauvegarde complète du lecteur (à l'aide d'une version en direct de Ubuntu, par exemple) et à un moment donné la restauration de cette sauvegarde? :
- Vous devez l'essayer pour vous convaincre. Oubliez le mot de passe et vos données ont toutes disparu. Si vous en connaissez un qui a réussi à le déchiffrer après une telle situation, veuillez me le faire savoir.
En outre, si le système de fichiers entier est chiffré, le chiffrement de mon dossier de départ sous Ubuntu a-t-il une quelconque valeur? :
- Perte de temps, pas besoin. Mais si vous avez besoin de bien!

Plus d'information:

À partir de ce lien que vous avez partagé, je cite un lien que j'ai suivi:

La morale de cette histoire? Si vous avez une partition LUKS montée sur votre téléphone, il est très facile d'obtenir la clé de chiffrement principale. cryptsetup supprime la clé de la RAM pendant une opération luksClose, je vous recommande donc de ne monter votre lecteur LUKS que lorsque vous l'utilisez, puis de le démonter et de le fermer lorsque vous avez terminé. Sinon, cela devient un énorme trou de sécurité. Presque comme si votre disque n’était pas crypté en premier lieu.

Il est probablement approprié de mentionner ici que LUKS sur Android n'est pas le seul système susceptible de subir ce type d'attaque. Pratiquement tous les systèmes de chiffrement de disque stockent la clé de chiffrement dans la RAM. Le groupe CITP de Princeton a identifié ce fait il y a longtemps. Mon point ici est seulement qu'une attaque comme celle-ci est très facile à faire!

Notez la gras section le plus d'informations . Comme je l'ai dit. Si votre façon de gérer vos affaires est faible ou négligente, attendez-vous à des problèmes. Il a donné des conseils toujours démonter ou fermer lorsque vous ne l'utilisez pas.