Security

Что такое LUKS?

Также известно как: Linux Unified Key Setup, LUKS2

Определение

LUKS is the standard Linux full-disk encryption format, storing key material in a header on the encrypted volume itself. On a VPS it protects data at rest against physical seizure and disk decommissioning. It does not protect against an attacker with access to the running hypervisor, because the key is in memory while the machine runs.

Почему LUKS важен

На VPS он защищает данные в состоянии покоя от физического изъятия и вывода дисков из эксплуатации. Он не защищает от злоумышленника, имеющего доступ к работающему гипервизору, поскольку ключ находится в памяти, пока машина работает.

LUKS на практике

При использовании LUKS на сервере заголовок — это первое, что нужно проверить: он содержит ключевой материал и находится на самом томе. Вы столкнетесь с ним при первоначальной настройке, где вы выбираете пароль и шифр. Смена пароля позже означает перешифровку заголовка. Ошибка с заголовком — потеря или повреждение — делает данные невосстановимыми, что бы вы ни пытались. Это стоит вам доступности и, если вы небрежны с резервными копиями, всего.

Что люди часто понимают неправильно в отношении LUKS

Люди путают LUKS с шифрованием, защищающим работающую систему. Это не так. Как только том разблокирован, ключ находится в памяти, и любой, у кого есть доступ к гипервизору — как на VPS — может прочитать его. Заблуждение: LUKS — это щит для ваших данных в состоянии покоя, а не стена вокруг живого процесса.

LUKS — частые вопросы

Можно ли изменить пароль LUKS на работающем сервере?

Да. LUKS хранит несколько слотов ключей в заголовке, и вы можете добавлять или удалять ключи, пока том разблокирован. Операция перезаписывает заголовок, а не данные. Запустите cryptsetup luksAddKey или luksRemoveKey, и изменение применится немедленно.

Замедляет ли LUKS дисковый I/O на VPS?

Есть накладные расходы на шифрование и дешифрование каждого блока. Современные процессоры обрабатывают инструкции AES-NI, поэтому влияние невелико — часто несколько процентов. Но на менее мощных планах вы можете это заметить. Проведите бенчмарк, прежде чем решаться на компромисс по производительности.

Где встречается LUKS

Больше из раздела «security»

DDoS: DDoS-атака перегружает цель трафиком или ресурсоемкими запросами одновременно из многих источников, чтобы исчерпать пропускную способность, состояние соединений или вычислительные мощности.
Очистка трафика: Очистка направляет трафик через фильтрующую инфраструктуру, которая отбрасывает пакеты атак и пропускает легитимные.
Null-маршрут: Null-маршрут отбрасывает весь трафик к IP-адресу, защищая более широкую сеть, делая цель полностью недостижимой.
fail2ban: fail2ban отслеживает файлы журналов на предмет повторяющихся сбоев аутентификации и временно блокирует атакующие адреса межсетевым экраном.