其他人安装的加密（dm-crypt 和 LUKS）Ubuntu 12.04 的安全性？

Question

假设我想要一个带有全盘加密的 Ubuntu 设置（让它成为 12.04）。Ubuntu 在安装过程中提供了这个选项。

还假设我有其他人（例如我的供应商）为我设置了这个，并且我只得到了包含预定义加密密码（当然还有所有其他密码）的完整系统。

即使我更改了加密密码（以及可能的其他密码），此人是否可以通过任何方式可靠地保留对设备上加密数据的访问权限？

（请注意，我不是在谈论普通的后门，例如安装 SSH 密钥或 root shell 或修补某些守护程序以接收来自外部的命令。我专门谈论针对全盘加密的后门，并且可能无法关闭而不必重新安装或重新加密整个系统。）

例如，使用 TrueCrypt 可以（或曾经）保存加密硬盘的第一个扇区，因为它只使用密码来加密主密钥（然后用于加密数据） - 如果您替换两个密码并通过在密码更改后替换这些扇区来加密主密钥，您实际上可以撤消加密密码更改。

使用 dm-crypt/LUKS 可以实现类似的功能吗？如果没有，有什么类似的吗？

Answer 1

是的当然。供应商可以只保留主密钥。LUKS 标头的备份。由于即使您更改密码，此密钥也不会更改，因此它允许完全访问所有数据。所以你在这里完全依赖信任。后门和其他一切都在此之上。

除了联机帮助页之外，Cryptsetup 常见问题解答也很不错：

http://code.google.com/p/cryptsetup/wiki/FrequentlyAskedQuestions

它涵盖了各种漏洞。您的问题也在6.7 中回答了备份是否会损害安全性？

我不是供应商，但在这种情况下，我会考虑保留主密钥的备份作为服务。如果我卖给不精通计算机的人，他们可能会忘记密码，然后来找我寻求帮助。拥有主密钥是在这种情况下提供帮助的唯一方法，除了暴力破解 LUKS，这只有在您可以将其缩小到几百万种可能性时才有可能（即，如果您或多或少知道您的密码，但不知道是哪个）变体正是您使用的）。当然，如果你这样做，你应该诚实。

如果你想信任一个系统，你总是必须自己设置它。这包括数据中心的映像安装服务和所有其他类型的东西。