Fájlrendszer-titkosítás, LUKS

A lap 2009. november 15., 19:20-kori változata

1 Bevezető

Adataink biztonságos kezelése mindig is nagyon fontos szerepet töltött be, mióta az informatika fejlődésnek indult. Háttértáron tárolt adatok biztonságát működés közben különféle jogosultság-beállításokkal szavatoljuk, ez a módszer nem elégséges, ha az adatokhoz valaki fizikailag hozzáfér. Ekkor a merevlemez (vagy más adattároló eszköz) tartalmát védő szoftvereket könnyű kikapcsolni (például egy másik gépbe helyezéssel), így a tartalom hozzáférhetővé válik. A merevlemez-titkosítás ezek ellen véd.

Biztonsági célok:

• A rejtett adat legyen titkos.
• Integritásvédelem, módosítás észrevehető legyen.
• Elérhető legyen
• Támadó ne tudjon vízjelezni, rejtett csatornát használni.
• Egyéb: legyen hatékony, ne foglaljon extra tárhelyet.

2 A megvalósítás módja

Szimmetrikus kulcsú titkosítást használunk, mert sokkal gyorsabb, mint az aszimmetrikus, ráadásul nincs szükség külön kódoláshoz használt és dekódoláshoz használt kulcsra, hanem elég egy kulcs.

2.1 Jelölések

• Kulcs: K
• Titkosítandó adat: P
• Titkosított adat: C.
• Kódoló függvény: C = E(P,K)
• Dekódoló függvény: P = D(C,K)

2.2 Blokktitkosító és üzemmódjai

A titkosításhoz blokktitkosítót használhatunk, mivel a merevlemezen úgyis blokkokban tárolódik az adat. A blokktitkosító egy blokknyi adatot vár bemenetként, és ezt a kulcs segítségével kódolja. Ezek az üzemmódok fontosak az alább tárgyalt kérdések tárgyalásakor:

2.2.1 ECB (Electronic Codebook)

A legegyszerűbb változat, mely egy blokknyi adatot vár bemenetként, és ezt a kulcs segítségével kódolja. Minden blokkhoz ugyanazt a kulcsot használja. Hátránya, hogy homogén adatok (például egy kép, melyen nagy egybefüggő területek vannak) a kódolás elenére felismerhetőek maradnak.

Képlet

Értelmezés sikertelen (PNG-vé alakítás sikertelen; ellenőrizd, hogy a latex és dvipng (vagy dvips + gs + convert) helyesen van-e telepítve): C_i = E_K(P_i)

2.2.2 CBC (Cipher Block Chaining)

A kódolt kimenetet hozzáadja a következő blokkhoz annak kódolása előtt, ezzel egy láncot hozva létre. Az első blokkhoz egy IV (inicializáló vektor) értéket adunk hozzá.

Képlet

Értelmezés sikertelen (lexikai hiba): C_i = E_K(P_i \oplus C_{i-1}) ==== Counter ==== : IV helyett egy számlálót használunk bemenetként, ezt titkosítjuk a kulccsal, majd XOR-oljuk a titkosítandó adattal. Blokkonként léptetjük a számlálót. : A blokktitkosítókat a merevlemez-titkosítás speciális esetére használva használhatjuk mindhárom említett üzemmódot. A CBC üzemmódhoz szükséges IV értékét származtathatjuk például szektorazonosítóból, vagy tehetjük minden szektor első blokkjába az IV értéket. Ezen kívül használhatunk CTR üzemmódot, ahol a szektoron belüli blokkazonosító lehet a szükséges számláló. == Elméleti támadások == ===Content leak attack === A nagy ciphertext-ből (több TB is lehet) következik, hogy valószínűleg vannak azonos értékek. Ha  : c_i = c_j , valamint tudjuk, hogy  : c_i = E_K(p_i \oplus c_{i-1}) : c_j = E_K(p_i \oplus c_{j-1}) , akkor a két egyenletet behelyettesítve és Ek-val egyszerűsítve : p_i \oplus c_{i-1} = p_j \oplus c_{j-1} . Ebből  : p_i \oplus p_j = c_{i-1} \oplus c_{j-1} adódik. Próbasejtést alkalmazva : p_j = 0 , így megkapjuk p_i-t.  : Egy alternatívát jelent, ha  : c_i = c_j , és c_{i+1} = c_{j+1} . Ekkor a fenti gondolatmenetet alkalmazva : p_{i+1} = p_{j+1} adódik. === Lavina támadás (adatmódosítási támadás) === Támadó célja, hogy megtalálja, hogy hova írt. Ezt úgy lehet megtenni, hogy másolatot készítünk a lemezről, majd kierőszakoljuk a változást az eredeti adatokon, aztán összehasonlítjuk a régi és az új adatot. Így megtaláljuk, honnan módosul a szektor. === Watermarking támadás === : Feltételezés: CBC módot használó titkosítás, IV minden szektor 0. blokkjában, IV generáló algoritmus ismert a támadó előtt. Ha c_{i,1} = c_{j,1} i. és j. szektorban,  : E(p_{i,1} \oplus c_{i,0}) = E(p_{j,1} \oplus c_{j,0}) : p_{i,1} = p_{j,1} \oplus IV_i \oplus IV_j , ebből IV-k ismertek, így p_{i,1} és p_{j,1} közötti összefüggés ismert. Ha pedig p_{j,1} -t a támadó állította elő, ezzel megtudja p_{i,1} -t is.  : A watermarking támadás különösen más támadásokkal ötvözve hasznos. === Cut and paste (vagy copy-paste) támadás === : Néhány blokk átrendezésével lehetséges olyan támadást intézni a titkosítás ellen, hogy a visszafejtés során a helyes adatokat kapjuk, a blokkok kicserélésének megfelelő sorrendben. Fontos adatot tartalmazó blokkokat helyettesít a támadó előkészített blokkjaival, így egyrészt felülírhatja a fontos adatokat általa megadottal, másrészt az eredeti adatokat átmásolva elérhető helyre (például /etc/shadow fájlt a home könyvtárába) elérhetővé teheti a védett adatokat. A támadás CBC vagy EBC üzemmódú titkosítás esetén működhet. == Titkosító szoftverek == === [http://www.pgpi.org/products/pgpdisk/ PGPdisk] === * windows-os titkosító, fizetős és ingyenes változata is létezik. === [http://loop-aes.sourceforge.net/loop-AES.README loop-AES] === * AES algoritmust használja, 128-192-256 bites kulcsokkal * 2.0.x kernel verziótól működik. * CBC módot használ, 512 byte-os chain egységekkel * három működési mód van: ** single-key: egy kulcsot használ titkosításra, egyszerűen szektor IV-vel. ** multi-key-v2 és v3: 64 különböző kulcsot használ, szektoronként különbözőt. MD5 IV-t használ, mely az inicializáló vektort titkosítja. Multi-key-v3 üzemmódban egy 65. kulcsot használ az MD5 IV bemeneteként. * érdekesség: 20 ! karakteres jelszót ajánlanak elég biztonságosnak === [http://tldp.org/HOWTO/Cryptoloop-HOWTO/ cryptoloop] === * a linux kernel része, nem szükséges patch-et használni * watermarking támadás alkalmazható rajta, ezért nem ajánlott === [http://www.saout.de/misc/dm-crypt/ dmcrypt] === * a hivatalos kernel része * a 2.6.4-es kernel óta ez az alapértelmezett titkosítási mechanizmus * ugyanúgy, mint a cryptoloop, a Crypto API által elérhető algoritmusokat használja * device mapperrel használható, így [[RAID]], [[LVM]], partíciók vagy akár fájlok titkosítására is alkalmazható * dmsetup és cryptsetup (inkább felhasználóbarát) programokkal használható * a cryptsetup ezeket a műveleteket támogatja: create, remove, status, reload, resize * dm-crypt adattábla, ilyen formában tárol metaadatokat a titkosított adatokról: <pre> 0 <sector count> crypt <sector format> <key> <IV offset> <real device> <sector offset> </pre> * nagy hiányosság: felhasználói jelszó cseréje csak a TELJES tartalom dekódolásával és az új jelszóval való kódolással lehetséges (enyhíti a fájdalmat, hogy ez menet közben is lehetséges a szerző szerint) === LUKS (Linux Unified Key Setup) platformfüggetlen formátum === * létrejöttét az azonos algoritmusokon alapuló, de különféle titkosítóprogramok (vagy programok különböző verzióinak) inkompatibilitása motiválta * segítségével szabványos, platformfüggetlen leírást adhatunk meg a partíció fejrészében * az adatok mozgatása, más rendszerbe integrálása problémamentesen végbevihető * biztonságos keretek között kezel több felhasználóhoz tartozó jelszavakat/kulcsokat is * a LUKS csak egy formátumot ír le, a dm-crypt cryptsetup programjában megvalósított működése tekinthető referenciának (másik megvalósítás Windows alatt a [http://www.freeotfe.org/ FreeOTFE] programban) * „entropy weak” felhasználói jelszavak védelme szótáralapú brute-force támadás ellen * megvalósítja a TKS1 biztonságos kulcskezelési eljárás-ajánlást * adatformátum: <pre> |LUKS partíció fejrész |KM1 | KM2 |… | KM8 | nagy mennyiségű titkosított adat | </pre> LUKS partíció fejrész információi: verziószám, használt titkosító algoritmus, blokktitkosító üzemmódja, kulcs hossza, hash függvény salt és iterációs paraméter, partíció id, master key ellenőrző összeg. ** támogatott algoritmusok: aes , twofish , serpent, cast5, cast6 ** támogatott üzemmódok: ebc, cbc-plain, cbc-essiv (sha-256-ot használ az IV-k előállítására) ** támogatott hash függvények: sha-1, sha-256, sha-512, ripemd160 ** A KMx kulcsmezők a master key-t tartalmazzák különböző felhasználói jelszavak által titkosítva. Metaadat-mező formátuma egy kulcsmezőre: aktív/passzív, iterációs paraméter, salt. ==== LUKS használata [http://code.google.com/p/cryptsetup cryptsetup] programmal ==== * A cryptsetup LUKS kiegészítéssel ellátva a következő akciókat képes még végrehajtani: ** luksFormat <eszköz> <kulcs-fájl> – inicializál egy LUKS partíciót ** luksOpen <eszköz> <név> [ --key-file, –readonly ] – megnyit egy partíciót ** luksClose <név> - ugyanaz, mint az eredeti remove ** luksAddKey <eszköz> [<új kulcs fájl>] – új jelszót ad hozzá ** luksDelKey <szám> - töröl egy jelszót ** luksUUID <eszköz> - kiírja az id-t. ** isLuks <eszköz> - igaz, ha a megadott eszköz LUKS partíció ** luksDump <eszköz> - lementi a teljes fejrészt * Érdekes probléma a luksDelKey használata. Ha ugyanis kitöröljük az összes kulcsot, nem férhetünk hozzá többet az adatokhoz. Bár egy adatromboló támadás egyszerűbben végrehatható a dd paranccsal. == Hivatkozások == <references/> http://cryptsetup.googlecode.com/svn-history/r42/wiki/LUKS-standard/on-disk-format.pdf http://www.saout.de/tikiwiki/tiki-index.php?page=LUKS Előző szerint és die.net-en talált hivatalos, de most nem érhető el: http://luks.endorphin.org/ Clemens Fruhwirth (2004. július 15.). „TKS1 – An anti-forensic, two level, and iterated key setup scheme http://clemens.endorphin.org/TKS1-draft.pdf Clemens Fruhwirth. New methods in hard disk encryption. http://clemens.endorphin.org/nmihde/nmihde-A4-os.pdf, 2005