Názory k článku
Fedora se připravuje na plné šifrování s Btrfs a klíči v TPM

Dobrá správa,... šifrovanie disku / partícií, je jedna z vecí, ktorá mi príde v Linuxu veľmi nešikovne urobená. Mať šifrované partície, vrátane SWAPu a kľúč v TPM, a pri tom mať funkčnú hibernáciu, je niečo čo chcem ale žiaľ sa mi to úplne bez problémov či improvizovania zatiaľ nepodarilo, furt funguje len jedno alebo len druhé.

Nevím, jestli zrovna tohle vyřeší hibernaci. Tam je problém při bootování. Jinak největší problém s FDE v Linuxu je ten, že na rozdíl od Bitlockeru ve Windows není možné snadno zašifrovat už instalovaný systém, a nevím, jestli fscrypt v tomhle přinese pokrok.

Ako nehovorím že to vyrieši, ale je dobrá správa že celkovo na šifrovaní pracujú, a možno sa dostanú k tomu aj opraviť práce hibernaci.

To bude spousta zoufalých "Odešla mi základní deska/TMP chip. Jak se dostanu k datům?" dotazů na fórech... a smutných odpovědí na ně.

Postup je stejný jako u bitlockeru, při zašifrování disku lze zadat vlastní heslo pro odemčení, nebo je vygenerováno automaticky. Jen blázen by si ho někam neuložil.
Takhle to už nějaký rok provozuju na svém notebooku na Arch Linuxu. Při bootu se načte klíč z TMP, pokud potřebuji, tak mám k disku heslo a můžu si ho rozšifrovat kdekoli. Na okraj jen přidám, aby tohle bylo možné je třeba mít aktivní SecureBoot a tudíž podepsané jádro/zavaděč. Mám řešené svým vlastním klíčem. Vše od SecureBoot s použitím vlastního až po zašifrovaní celého disku, včetně swapu a odemykaní skrze klíc v TMP je popsáno na Arch Wiki. Samotné nasazení je opravdu trifka a při instalaci to zabere pár minut navíc. Všechno další je automatizováno a po aktualizaci na novější jádra se automaticky vytvoří bundle z jádra a initramdisku, ten se podepíše vlastním klíčem a takto se dá na jedinou nešifrovanou část disku - efi partition. Je ale podepsaný, tak není narušena bezpečnost, protože nabootovat lze jen podepsaný image a soukromé klíče mám jen já v šifrované části disku. Jednoduché funkční a naprosto dostačující řešení.

Kdo nezalohuje si nic jineho nezaslouzi.

Jenže to na věci nic nemění.

Asi tak, stejný jako když dnes uživatel 256GB iPhonu 7 hořekuje nad tím, že mu umřel 6 let starý telefon a s ním i 100 tisíc fotek. Kdo nezálohuje, musí se smířit s případnými následky svého rizikového chování.

Preco by sa musel? Pre mna je napriklad sifrovanie uplne zbytocne, kazdy si moze pozriet uplne vsetky videa a obrazky co mam na telefone. Radsej ozeliem sifrovanie a riziko odhalenia udajov za cenu ze mozem obnovit fotky z odideneho disku/telefonu.

No ja mám šifrovanie a viem obnoviť fotky bez problémov aj tak....

... a telefonní čísla, maily, tokeny do kecálků a já nevím čeho, možná hesla v prohlížeči, v telefonu je hodně zajímavě využitelných věcí.

I kdyby tam nic takového nebylo, chcíplá flashová úložiště opravdu nejsou něco, co by šlo snadno obnovit po té co se poroučí. Spoléháte na něco, co je totálně bez záruky a stálo by více než hromádka zálohovacích harddisků nebo SSD.

Udelame pokus? Nasdilis vsechny fotky a videa z telefonu a uvidime co jde zneuzit?

Popravdě, už vidím jak z toho telefonu odpájíte memory chip a píchnete ho někam :-)
Jinak záleží na použití -- já třeba mám v mobilu e-maily, klíče k VPNkám, přístupové údaje (bitwarden). Tam bych si to opravdu bez šifrování nejlaznul. Pokud někdo má mobil jen na fotky přírody, tak proč ne... Ale i tam hrozí riziko že máte fotky které nechcete aby unikly.

Nebylo by lepší všechny ty soubory radši někam zálohovat?