私はこの質問を長い間探していましたが、満足のいく答えが見つかりませんでした。
私のシナリオ：encfsを使用してホームフォルダの一部のディレクトリを暗号化します。簡単にアクセスできるように、gnomeキーリングに暗号化されたパスワードを保存するgnome-encfsを使用して自動マウントを設定しました。したがって、理論的には、私のユーザーパスワードデータは安全ではありません。
しかし、誰かが私のボックスを盗んで回復モードでrootとしてログインするとどうなりますか？彼は自分のアカウントのパスワードを変更してログインするだけで、暗号化されたすべてのフォルダがマウントされ復号化されます。
私の質問：これが起こらないようにするには、ルートパスワードを変更する必要がありますか？フォーラムの人々は、自分のコンピュータに物理的にアクセスできる人は誰でも欲しいものは何でもできると言い続けます。しかし、それが私が最初に暗号化を設定した理由です。暗号化されていないデータを読み取るかどうかは関係ありませんが、暗号化されたデータは安全であることを願っています。
編集：ルートパスワードの変更が推奨されない理由もわかりません。忘れても、通常のアカウントから何でも復元して新しいボックスを設定できます。
答え1
あなたのハードウェアに物理的にアクセスする人があなたのハードウェアにアクセスするのを防ぐ方法がないことは事実です。システム。ほとんどの場合、交換するだけで良いと思いますが、/etc/passwd今は壊れています。カーネル外のファイルシステム全体が暗号化されている場合、これはもう少し難しくなります。私はそれが可能だと信じていますが、まだやったことはありません。おそらく他の人が介入するでしょう。
ただし、システムへのルートアクセス権を取得しても必ずしも復号化できるわけではありません。
私はキーリングユーザーではありませんが、あなたが言ったように暗号化されたフォルダがマウントされて復号化された場合以下でログインしてください。、これらの観点からルートアクセス権を取得すると、メカニズムを迂回するため、これはまったく安全ではありません。
私は暗号化をします。残念ながら、プログラムで行うため、推奨されるエンドユーザーソフトウェアはありません。ただし、いくつかの概念を概略的に説明できます。 （ユーザーソフトウェアを見ると、この目的のためのエンドユーザーソフトウェアがあると確信しています。この情報は、その情報の用途と使用方法を理解するのに役立ちます。）高度に暗号化されたデータにはキーが必要です。これは非常に大きなパスワードに似ています。たとえば、以前にSSHキーを生成した場合（まったく同じ概念）、SSHキーは通常292文字のASCII文字である2048ビットです。これは、以下があることを意味します。
2^(2048) = 32317006071311007300714876688669951960444102669715484032130345427524655138867890893197201411522913463688717960921898019494119559150490921095088152386448283120630877367300996091750197750389652106796057638384067568276792218642619756161838094338476170470581645852036305042887575891541065808607552399123930385521914333389668342420684974786564569494856176035326322058077805659331026192708460314150258592864177116725943603718461857357598351152301645904403697613233287231227125684710820209725157101726931323469678542580656697935045997268352998638215525166389437335543602135433229604645318478604952148193555853611059596230656
そのようなキーが可能です。今部屋がいっぱいのコンピュータがあり、そのようなキーで暗号化された何かを毎秒1,000,000回無差別代入攻撃を試すことができるならばこれは1年に60*60*24*365=31536000秒になります。したがって、可能な最長の方法は次のとおりです。暗号化を破る方法は次のとおりです。
年度。もちろん、無差別代入よりも良い戦略があると確信していますが、時間を数十億回短縮しても息を止めないでください。
これは意図的なものです。これはハードコア暗号化アルゴリズムであり、その一部は米軍によって依頼されたものです。 彼らは事実上壊れません。、期間。戦争中に敵はあなたのハードウェアに物理的にアクセスできますが、あなたのデバイスは暗号化されていますあの人の鍵がない、彼らは閉じ込められていた。
したがって、ノートブック内の暗号化されたデータを盗まれないようにする明確で簡単な方法は、暗号化キーをノートブックに置かないことです。代わりにUSBスティックに入れることができます。
しかし、誰かがノートパソコンと鍵と一緒にいたものを持って行ったらどうでしょうか（なぜならノートブックはどこかになければならないのに覚えられないからです）。パスワードで鍵を暗号化します。ただし、16 文字の ASCII パスワードには 2^(7*16) = 5192296858534827628530496329220096 の可能性のみがあるため、チェーンに弱いリンクがあります。これは、毎秒1000000回の試行で最大無差別代入クラッキング時間が164646653302093722365年にすぎないことを意味します。クラックされたキーをテストするには暗号化されたデータに適用する必要があるため、1秒あたりの試行回数を減らす必要があると思います。
私が言いたいことは：復号化がユーザーに縛られている場合ログインはい、ハードウェアにアクセスできる人なら誰でも簡単にハッキングできます。これが実際にgnomeがやっていることかはわかりませんが、おそらくパスワードを取得できないからかもしれません（これは暗号化の一形態です。説明を参照）。可能であれば使用する方が賢いでしょう。だから今、誰かがパスワードを変更すると、あなたのログインでフォルダのパスワードを復号化することはできません。しかし、本当に保護する必要がある場合は、他のオプションがあります。 [電球：gnomeがすることは、おそらくスクランブルされたフォームを使用してログアウトするときに暗号化し（誰でも利用可能）、ログインするときに復号することです。これをテストする1つの方法は、ユーザーを完全にログアウトしてからrootとしてログインし、ユーザーパスワード変更を使用することですpasswd username。あるいは、ドワーフにこのような質問をすることもできます。 ]
メモ:一方向暗号化は元に戻すことはできませんが、常に同じ結果を生成する方法を示します。したがって、パスワードを入力して変換し、その変換結果を記録された内容（つまり記録された内容）と比較します。いいえあなたのパスワード！ ）。一致すれば本当に良いです。ただし、そうでない場合は、/etc/passwdログインした内容をパスワードで送信する方法はありません。これは「一方向」暗号化です。明らかに、この方法で暗号化されたものは何でも回復できないように失われるため、これはデータにとって悪いことです。しかし、これはパスワードを保存する標準的な方法です（実際にはもっとよく知っておくべきAppleのようないくつかの大企業がハッカーに捕まっていました。プレーンテキストで）。