Статья Безопасность данных в LUKS при аварийном завершении работы

[devqp]

Процедура настройки LUKS-шифрования:
Для добавления нового физического диска и настройки шифрования LUKS выполните следующие шаги:
1. Определите имя нового диска с помощью

lsblk

(обычно /dev/sdX).
2. Создайте LUKS-контейнер:

cryptsetup luksFormat --type luks2 /dev/sdb

3. Откройте контейнер:

cryptsetup luksOpen /dev/sdb safe_data

4. Заполните нулями:

dd if=/dev/zero of=/dev/mapper/safe_data status=progress

5. Отформатируйте в ext4:

mkfs.ext4 /dev/mapper/safe_data

6. Смонтируйте:

mount /dev/mapper/safe_data /home/safe_data

Вопрос безопасности:
Рассмотрим сценарий, когда сервер завершает работу (например, из-за сбоя питания) без выполнения

cryptsetup luksClose safe_data

. Возникает вопрос: можно ли получить доступ к данным без пароля в таких условиях? Особенно интересны следующие аспекты:
- Физический доступ к диску: возможность извлечь диск и проанализировать его содержимое.
- Анализ дампа оперативной памяти: если злоумышленник может получить доступ к RAM до выключения.
- Использование ПО для восстановления данных.
- Атаки во время выполнения: если злоумышленник имеет доступ к серверу, но не имеет учетных данных для входа в систему.