注销后仍可访问加密的主文件夹

我有一个带有加密主文件夹的帐户，如果自系统上次启动以来，该用户尚未登录，则无法访问该用户的主文件夹中的纯文本数据。这是我所期望的，因为实际上在没有输入密码的情况下访问用户的主文件夹实际上不可行。

但是，我发现当具有加密主文件夹的用户登录然后注销时，其他用户仍然可以访问其主文件夹中的纯文本数据。当然，需要足够的访问权限。

w不会列出用户，并且的输出sudo pgrep -u <username>为空，表示该用户没有任何正在运行的进程。

这种行为的原因是什么？为什么在用户注销后不只是锁定用户的主文件夹？

已知错误

如果我正确理解，这是一个已知的错误。

看到这个链接：wiki.archlinux.org/index.php/ECryptfs

向下滚动到粉红色段落

警告：不幸的是，自动卸载很容易被systemd破坏，并且存在针对它的错误...

解决方法

因为它是现在，你最好关机或重新启动，以消除痕迹（这是不足够的注销）。

我无法测试或确认这一点，但是假设您正在使用ecryptfs（这是Ubuntu在安装过程中提供的IIRC），则加密的数据存储在一个隐藏文件夹中，/home/.encryptfs/$USER并ecryptfs在您登录时使用驱动程序安装到实际主文件夹的位置。在。

因此，最有可能的是，当您注销时，它无法自动卸载该目录，因此仍可访问文件。这可能是由于...

• 错误的配置（也许应该配置为在注销时卸载但不是）
• 意外的注销类型（有时这些解决方案适用于DM登录/注销，但在其他情况下效果不佳）
• 如果卸载是由注销脚本处理的（不一定是这种情况），则unmount命令之前的操作可能会失败并导致脚本提前退出。

可以帮助您检查这一点的一件事是sudo mount | grep home，在登录之前，登录之后和注销之后运行，以查看是否home已挂载任何相关内容。您也可以查找/etc/fstab相关条目。最后，还有一些配置/home/.ecryptfs/$USER/.ecryptfs/与自动安装/卸载有关。

有关有用的信息ecryptfs中可以找到这个答案，并在不断有帮助ArchWiki。

编辑/etc/systemd/logind.conf并设定KillUserProcesses=yes

请注意，这会破坏后台程序，screen和tmux，等等。

这个问题在这里更详细地讨论。我发现没有必要定义新的systemd服务（或更准确地说，不是所需的行为，因为它是作为关闭挂钩调用的，而不是在用户会话终止时调用的）。

/unix/251902/ecryptfs-auto-umount-does-not-work

我已经研究了很长时间了，例如，用户注销后仍保持未加密文件系统的状态。

我使用“ ecryptfs-migrate-home -u用户”创建安装。按照说明进行操作，除了注销时没有自动卸载外，所有工作均有效。

我将/etc/pam.d/中的配置文件与pam_ecryptfs文档进行了比较，发现了一些区别。ecryptfs位于pam.d配置文件中的4个中，而pam_ecryptfs文档表明仅2个文件需要/应该/支持ecryptfs，例如，

   /etc/pam.d/common-auth:
              auth    required        pam_ecryptfs.so unwrap
   /etc/pam.d/common-session:
              session optional        pam_ecryptfs.so unwrap

因此，我注释掉了其他两个实例，重新启动后都可以正常工作，即在登录时自动挂载，并且在图形和控制台登录时在注销时自动卸载。（我使用备用tty从根帐户进行验证）

这是在笔记本电脑，台式机和virtualbox guest（Windows主机）上的18.04 Lubuntu上。

我对其他经验感兴趣。

edit_1：改进了措辞。edit_2：添加了桌面和VB测试结果。

我用rclocal中的脚本来做

#!/bin/sh
#

while true; do
    if [ ! -d /run/user/1000 ]; then
        if [ -f /home/momo/.mounted ]; then
            umount /home/harry
        fi      
    fi

    if [ ! -d /run/user/1001 ]; then
        if [ -f /home/vm/.mounted ]; then
            umount /home/maud
        fi
    fi

    sleep 10
done
exit 0

如果您不需要从cron或作业（非交互式任务）访问任何主目录，则只需注释掉该行

session  optional        pam_ecryptfs.so unwrap

在中/etc/pam.d/common-session-noninteractive。

当用户注销时，这将导致卸载所有加密的主目录。