Forum Debian Users Gang

mati75 napisał(-a):

Trafiłeś idealnie, to samo 10 minut temu na tym samym dysku robiłem :D

https://wiki.archlinux.org/index.php/Solid_State_Drives#TRIM

Tu jest opis.

Hah! :) I jak Ci poszło?

Rozumiem, że dodałeś opcję discard w crypttabie, lvm.conf i /etc/fstab lub skrypt fstrim+cron ew. poprzez systemd?

Tylko właśnie czytałem na wiki debiana, że w przypadku LUKS obniża to bezpieczeństwo szyfrowania.
Więc zastanawiam się czy nie ma innej drogi, ew olać to.

Ostatnio edytowany przez nmarx (2016-05-13 23:10:57)

przy czym, jeśli chodzi o LUKS obniża się wtedy bezpieczeństwo szyfrowania w jakimś tam sposób (nie wnikam).

Z tego co ja wiem, to "problem z bezpieczeństwem szyfrowania" dotyczy nagłówków, w których są klucze szyfrujące i zahashowane hasłą. Przykład: jeśli stworzysz nagłówek na dysku SSD i później przyjdzie ci zmienić klucz lub hasło do tego nagłówka, np. dodasz nowy slot albo wyczyścisz stary, to wtedy właśnie przez to równoważenie zużycia komórek, nowy nagłówek (lub tylko jego część) może zostać zapisana w innym miejscu, zostawiając tym samym stary nagłówek nietknięty. W efekcie może i zmieniłeś klucz czy hasło ale w dalszym ciągu na dysku są te stare dane i przy ich pomocy można otworzyć kontener. Czyli w przypadku, gdy ktoś poznał twoje hasło i ty je zmienisz na dysku SSD, to jest niemal pewne, że ten ktoś przy analizie dysku uzyska dostęp posługując się starym hasłem. xD

Można to fixnąć, przez utworzenie tylko jednego nagłówka i niewprowadzaniu do niego żadnych zmian. Wtedy będzie dobrze.

Ostatnio edytowany przez morfik (2016-05-14 10:42:34)

GRUB od jakiegoś czasu wspiera pełne szyfrowanie włącznie z /boot. Nie wiem jak na jessie, ale na testingu dziś się bawiłem i potwierdzam że jest w stanie postawić system z szyfrowanego /boot ;)

Nitki:
https://wiki.archlinux.org/index.php/Dm-crypt/Speci … oot_partition
http://dustymabe.com/2015/07/06/encrypting-more-boot-joins-the-party/

Zauważone wady rozwiązania:
1. Po wstukaniu hasła odszyfrowanie /boot zajęło mojemu i5-2520M jakieś 12 sekund, normalnie robi to w okolicach 5.
2. Po odszyfrowaniu /boot i wybraniu z menu systemu/jądra potrzeba podać ponownie hasło do dysku

To drugie da się obejść wrzucając na zaszyfrowany /boot plik z kluczem dodanym w LUKSie do odszyfrowania dysku, ale nie miałem niestety czasu się pobawić.

Nic nie trzeba ręcznie wyrównywać.