Zaszyfrowana przestrzeń wymiany SWAP

Spis treści

Opisując mechanizm szyfrowania katalogu domowego przy pomocy narzędzia encfs , wspomniałem o problemie jaki powstaje przy jednoczesnym braku szyfrowania przestrzeni wymiany SWAP. Oczywiście, jeśli posiadamy w systemie dużą ilość pamięci RAM, to raczej nie potrzebna nam jest przestrzeń wymiany. Podobnie sprawa ma się w przypadku, gdy nie korzystamy z hibernacji. Natomiast, jeśli jedna z naszych partycji jest sformatowana jako SWAP i aktywnie z niej korzystamy, to niepełne szyfrowanie dysku, jakie zapewnia encfs może doprowadzić do skompromitowania zaszyfrowanych danych.

Problematyczna przestrzeń wymiany

Wrażliwe dane, takie jak klucze szyfrujące, czy też hasła do tych kluczy, są przechowywane w pamięci operacyjnej RAM. W przypadku gdy ilość obecnej w systemie pamięci nie pokrywa w pełni jego potrzeb, kernel broni się przed powieszeniem przez zrzucanie danych do SWAP. Te wszystkie newralgiczne dane mogą być w ten sposób złapane przez SWAP i zapisane na dysku w formie niezaszyfrowanej. Podobnie sprawa wygląda w przypadku hibernacji, gdzie system zrzuca całą pamięć na dysk.

Tworzenie szyfrowanego kontenera pod przestrzeń wymiany

Oczywistym zatem jest, że jeśli przestrzeń wymiany jest obecna w systemie i wykorzystujemy jakiś mechanizm szyfrujący, musimy zatroszczyć się ten SWAP i zaszyfrować go. W ten sposób dane, które do niego trafią, będą również szyfrowane. Tworzymy zatem partycję, np. w gparted i robimy szyfrowany kontener wydając w terminalu to poniższe polecenie:

# cryptsetup --cipher aes-xts-plain64 --key-size 512 --hash sha512 --iter-time 5000 --use-random --verify-passphrase --verbose luksFormat /dev/sda3

Następnie otwieramy kontener:

# cryptsetup luksOpen /dev/sda3 swap
Enter passphrase for /dev/sda3:

Tworzenie SWAP

Przestrzeń wymiany SWAP tworzymy korzystając ze standardowego narzędzia mkswap . Ważne jest by operować na urządzeniach w katalogu /dev/mapper/ :

# mkswap /dev/mapper/swap

Konfiguracja fstab i cryptab

Zwykle UUID tak utworzonego SWAP zostanie nam podane chwilę po wydaniu powyższego polecenia. Jeśli jednak z jakichś powodów przeoczyliśmy ten numerek, możemy go odczytać z wyjścia lsblk :

# lsblk -o name,mountpoint,uuid /dev/sda
NAME            MOUNTPOINT UUID
sda
...
├─sda3                     95f1f54d-a1d6-4e02-8ee6-7f79d7558ebd
│ └─swap (dm-0)            22614608-5406-4562-8532-9e8203a7721d
...

Mając UUID, trzeba uzupełnić odpowiednie pliki.

Plik /etc/fstab :

UUID=22614608-5406-4562-8532-9e8203a7721d            swap    swap              0       0

Plik /etc/crypttab :

swap   UUID=95f1f54d-a1d6-4e02-8ee6-7f79d7558ebd none  luks

Obsługa hibernacji

By hibernacja była możliwa, system musi wiedzieć, z jakiego miejsca ma zacząć wczytywać dane po uruchomieniu komputera. Musimy zatem dodać poniższy wpis do pliku /etc/initramfs-tools/conf.d/resume :

RESUME=UUID=22614608-5406-4562-8532-9e8203a7721d

Oraz przeładować initramfs:

# update-initramfs -u -k all

Te kilka powyższych kroków znacznie zwiększa bezpieczeństwo danych, które są przechowane w takim systemie. Dlatego też zawsze pamiętajmy o tym by zaszyfrować SWAP.