Как шифровать / домой на Ubuntu 18.04?

Question 1

Я бы предпочел использовать 14.04. Он по-прежнему поддерживается, хотя это конец жизни - апрель следующего года. Когда придет время переключиться на более новую версию LTS, вы сможете сделать это относительно легко. Поэтому, если вас беспокоит новая версия, содержащая ошибки, выберите 14.04 и дайте ей несколько месяцев, чтобы эти ошибки были сглажены.

Question 2

Лично я почти никогда не рекомендую использовать шифрование файловой системы (FSE) для всех, для большинства случаев использования. Существует несколько причин, не последним из которых является факт существующих и более эффективных альтернатив. Вы все говорите так, как будто есть только два варианта: FSE или FDE (Full Disk Encryption). Однако это просто не так. На самом деле есть еще два варианта, которые принесли бы пользу OP намного большему, а именно Encryption Encainer Encryption и Encrypted Archives.

Шифрование файлового контейнера - это то, на что написано программное обеспечение, такое как Veracrypt, и теперь несуществующий Truecrypt. Контейнерное шифрование встроено в большинство архивных программ архивации файлов, таких как Winzip и 7zip, в качестве опции при создании такого архива.

Оба имеют много преимуществ перед FSE, наиболее очевидным является то, что вам не нужно оставлять их смонтированными, пока вы не работаете с вашими зашифрованными файлами. Это не позволяет кому-либо получить доступ к тому, кто может переопределить защиту ключа профиля пользователя и блокировку экрана. Кроме того, вы можете сделать что-то глупое, как шаг от компьютера, но забудьте заблокировать экран или позволить кому-то использовать компьютер и надеяться, что они не заглянут в ваши скрытые каталоги. Кроме того, вы можете легко перемещать большие объемы файлов за раз, не забирая их другим способом, поскольку контейнеры переносимы.

Одно преимущество, заключающееся в том, что контейнеры Veracrypt настолько полезны, так это то, что они могут быть смонтирован как диск, и это позволяет вам форматировать их с помощью отдельной файловой системы, предпочтительно файловой системы без журналов, например, EXT2 или FAT32. Система файлов журналов может потенциально передавать информацию злоумышленнику. Однако, если все, что вы делаете, пытается скрыть обнаженные фотографии няни от вашего супруга, это может быть не все, что имеет отношение к вам. Если, с другой стороны, няня бывает всего 15, то это может быть. Вы также можете настроить их для автоматического монтирования при загрузке, используя ключевой файл. Однако это не рекомендуется, так как ключевой файл нужно хранить где-то менее безопасным, чем где FSE хранит ключ профиля пользователя.

Оба предлагают возможность использовать сжатие файлов. Вы также можете скрыть имена файлов, хотя и не всегда в случае использования сжатых архивов, в зависимости от используемого алгоритма сжатия.

Лично я использую шифрование контейнера для файлов, которые не будут перемещены, и зашифрованные архивы для файлы, которые будут перемещены или сохранены в облаке, так как это меньший размер файла.

Шифрование домашнего каталога по-прежнему возможно с помощью шифрования контейнера. Может быть, вы сохраните свой ключ шифрования на YubiKey?

В любом случае, я просто хотел предложить вам все альтернативы, которые не получили упоминания другими плакатами. Не стесняйтесь соглашаться или не соглашаться ни с чем, что я сказал.

Question 3

Question 4

Из Ответ Panther здесь Шифрование полного диска шифрует все, включая / home, при шифровании только определенного dir, например / home, только encypted, когда вы не вошли в систему.

Для шифрования существующий пользовательский dir:

Сначала выйдите из этой учетной записи и войдите в учетную запись администратора:

установите утилит шифрования для задания:

 sudo apt install ecryptfs-utils cryptsetup

из этой ошибки запуска eciptfs-utils теперь находится в репозитории юниверса.

перенести домашнюю папку этого пользователя:

sudo ecryptfs-migrate-home -u <user>

, за которым следует пароль пользователя этой учетной записи

Затем выйдите из системы и войдите в зашифрованную учетную запись пользователя - перед перезагрузкой! для завершения процесса шифрования

Внутри учетной записи распечатайте и запишите кодовую фразу восстановления:

ecryptfs-unwrap-passphrase

Теперь вы можете перезагрузиться и войти в систему. Когда вы будете удовлетворены, вы можете удалить домашнюю папку резервного копирования.

Также, если вы хотите создать нового пользователя с зашифрованным домашним dir:

sudo adduser --encrypt-home <user>

Для получения дополнительной информации: man ecryptfs- мигрировать-дом; man ecryptfs-setup-private

Question 5

Как настроить fscrypt для шифрования моего / домашнего каталога и дешифрования при входе в систему?

Этого мы очень хотим. Похоже, команда Ubuntu не могла заставить ecryptfs работать без ошибок в Ubuntu 18.04 и не могла исправить ошибки в fscrypt для опции домашнего шифрования вовремя для запланированной версии Ubuntu 18.04.

Для fscrypt, по крайней мере, одна критическая ошибка, которая делает ее непригодной для домашнего шифрования на данный момент:

fscrypt / issues / 77

Кроме того, d требуется прозрачный способ аутентификации / разблокировки, прежде чем он станет реалистичной альтернативой домашнему шифрованию «старого» типа ecryptfs. Это отслежено здесь:

fscrypt / issues / 77

С открытием этих проблем вы можете считать, что домашнее шифрование сломано в данный момент. При этом мои коллеги и я считаем Ubuntu 18.04 незавершенным на данный момент и надеемся, что домашнее шифрование будет возвращено (используя новый и намного лучший метод fscrypt) в Ubuntu 18.04.1. До этого времени мы придерживаемся Ubuntu 16.04.

Если вы попробовали fscrypt и обнаружили, что он был сломан для вашего использования, вы можете проголосовать «эта ошибка влияет и на меня» на следующей панели запуска bug:

fscrypt / issues / 77

Обратите внимание, что fscrypt / ext4-crypt (будущий «зашифровать дом» ) является самым быстрым вариантом, а ecryptfs (старый «зашифрованный дом») является самым медленным вариантом. LUKS («зашифровать весь диск») находится посередине.

По этой причине рекомендуется «удобно» шифрование всего диска. Потому что, если у вас очень большие проекты со многими небольшими файлами, много используйте управление версиями, делайте большие компиляции и т. Д., Вы обнаружите, что избыток шифрования всего вашего диска на самом деле стоит того, по сравнению с медленностью старого типа ecryptfs

В конце концов, шифрование всего диска имеет несколько недостатков:

fscrypt / issues / 77 Семейный ноутбук с частными учетными записями Использование PREY-подобного противоугонного программного обеспечения

Непонятно, что Canonical решил, что «эта ошибка влияет и на меня» на их версию LTS, которая стала известна как их более «серьезное» распределение.

Question 6