挂起RAM和加密分区

通常，我不会再关闭笔记本计算机，而赞成使用RAM暂挂。缺点是恢复后无需输入密码即可完全访问我的加密主分区。如果有人偷了你的笔记本，那是个坏主意。

查看cryptsetup的联机帮助页。我了解到LUKS现在支持luksSuspendand luksResume命令。已经luksSuspend与luksResume被整合在脚本执行挂起到内存和简历？

相关的LP错误。锁定屏幕是防止“常规”人群的简单方法。它不能保护您免受知道密码（或可以猜测密码），滥用错误以访问会话或从内存中读取密码的人的

— 侵害

Answers:

当前问题

当使用Ubuntu Full Disk Encryption（基于带有LUKS的dm-crypt）来设置完整的系统加密时，挂起系统时，加密密钥会保留在内存中。如果您经常随身携带悬浮的笔记本电脑，则此缺点会破坏加密的目的。可以使用cryptsetup luksSuspend命令冻结所有I / O并从内存中清除密钥。

解

ubuntu-luks-suspend 尝试更改默认的挂起机制。基本思想是更改为加密根fs之外的chroot，然后将其锁定（withcryptsetup luksSuspend）

— 普林兹
source

在相关问题“ 如何使Ubuntu在睡眠/休眠期间使用LUKSsuspend挂起计算机”中讨论了此尝试（尚不起作用）。

— 乔纳斯·马拉科

这里是另一个例子的14.04 cryptsetup陆氏暂停/恢复根分区的ubuntu “几乎工程” :-)

它对arch起作用而对ubuntu起作用的原因之一可能是ubuntu内核

  Linux system 3.19.0-25-generic #26~14.04.1-Ubuntu SMP Fri Jul 24 21:16:20 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux

仍然“太旧”：尚不存在以下补丁：

将sync（）设置为挂起到RAM

因此任何pm-utils或user code发出任何形式的 清除键和睡眠请求，例如：

  cryptsetup luksSuspend root
  echo -n "mem" >/sys/power/state

将导致内核调用sys_sync()，进而导致死锁dm-crypt（根据设计，在luks挂起后）

— 安德烈·波佐洛汀（Andrei Pozolotin）
source

-2

实际上，您只需要确保从挂起状态恢复时需要屏幕保护密码，就可以安全了。

这样可以确保使某人从暂停状态恢复到笔记本电脑状态时必须先输入密码，然后他们才能进入计算机。

在此处输入图片说明

— 达斯汀·柯克兰
source

这真的使用luksSuspend / luksResume吗？

— Stefan Armbruster '02

不，它可以确保要求恢复笔记本电脑的人在简历上输入密码。如果您已尽力加密数据，那么这是至关重要的。

— 达斯汀·柯克兰

呃，这还不够……只是一个屏幕保护程序密码。它应该完全挂起，以便您需要再次输入LUKS密码才能返回GUI

— BenAlabaster 2013年

究竟。除非使用luksSuspend / luksResume，否则LUKS的解密密钥仍将在RAM中。有没有办法用Ubuntu做到这一点？

— jzila 2014年

如果足够的话，这个问题将不存在。是的，这将在99％的现实生活场景中保护您的数据，但是如上所述，即使启用了恢复时密码保护功能，在挂起过程中密码仍会缓存在RAM中。精通技术的敌人（例如NSA）将能够执行“冷启动攻击”并恢复密码，然后解密所有数据。

— Chev_603，2015年