Просмотр исходного текста страницы Некоторые механизмы безопасности ALT Mobile (Андрей Савченко, OSSDEVCONF-2025)

;{{SpeakerInfo}}: {{Speaker|Андрей Савченко}}
<blockquote>
В докладе рассказывается о ряде механизмов безопасности ALT Mobile, в частности, полнодисковом шифровании на основе LUKS и механизме тревожных паролей на основе PAM.
</blockquote>

{{VideoSection}}
{{vimeoembed|1168583982|800|450}}
{{youtubelink|1URviXHrvSI}}
{{SlidesSection}}
[[File:Некоторые механизмы безопасности ALT Mobile (Андрей Савченко, OSSDEVCONF-2025).pdf|left|page=-|300px]]

{{----}}

== Thesis ==
Ключевые слова: ALT Mobile, безопасность, LUKS, PAM, СПО.

=== Введение ===
Развитие Linux на мобильных устройствах в рамках проекта ALT Mobile<ref>ALT Mobile, https://altmobile.org</ref> привело к необходимости внедрения новых механизмов безопасности, которые ранее были не столь актуальны для десктопных и серверных систем, либо внедрение которых потребовало новых технических средств.

=== Полнодисковое шифрование ===

Многие дистрибутивы ограничиваются шифрованием домашнего каталога пользователя, однако этого не достаточно: чувствительные данные могут оседать в системных журналах, файлах конфигурации, кешах и файле подкачки — поэтому мы решили реализовать полнодисковое шифрование на базе надёжной и проверенной технологии LUKS<ref>Руководство по использованию полнодискового шифрования в ALT Mobile, https://altmobile.org/installations/luks</ref>.

Что здесь нового? Возникло два основных технических вызова:

* Ввод пароля с экранной клавиатуры в initrd
* Автоматизация установки образа с LUKS

Проблема экранной клавиатуры была решена с помощью unl0kr<ref>Unl0kr, https://gitlab.com/postmarketOS/buffybox/-/tree/master/unl0kr</ref> — инструмента разблокировки диска в initramfs на базе LVGL<ref>LVGL, https://lvgl.io</ref>. Применение LVGL позволяет выполнять рендеринг непосредственно во фреймбуфер ядра и поэтому не зависит от аппаратного ускорения GPU, которое непросто инициализировать на этапе initramfs.

Также был доработан механизм make-initrd<ref>make-initrd, https://github.com/osboot/make-initrd</ref> для поддержки unl0kr, обеспечения загрузки нужных модулей для работы сенсорного экрана и поддержки файловой системы f2fs.

С целью автоматизации установки образов был доработан инструмент alt-rootfs-installer<ref>ALT RootFS Installer, https://git.altlinux.org/people/antohami/packages/alt-rootfs-installer.git</ref>, куда была добавлена поддержка LUKS и f2fs.

=== Тревожные пароли ===

У пользователя может возникнуть ситуация, когда нужно авторизоваться под внешним давлением. В таком случае можно ввести особый пароль, который активирует тревожную кнопку или выполнит любое другое программируемое действие.

Данная задача была реализована с помощью специального модуля PAM: <code>pam_fabo</code><ref>PAM FABO, https://git.altlinux.org/people/ved/packages/pam_fabo.git</ref>. FABO пароль не гарантирует успешный логин в систему: это зависит от настроек, можно как разрешить, так и запретить логин с заданным специальным паролем.

Использование осуществляется путём встраивания <code>pam_fabo</code> в интересующую цепочку модулей PAM, при этом сами хеши паролей и скрипты действий можно хранить где угодно (расположение задаётся через конфигурационные файлы).

В ходе работ выяснилось, что ряд действий сделать не так уж просто, например полностью заменить <code>$HOME</code> на другой: потому что на этапе входа в оболочку <code>$HOME</code> уже используется оболочкой, а если использовать <code>killall</code>, то процесс входа будет прекращён.

=== Итоги ===

Разработанные механизмы оказались универсальными и пригодными не только для мобильных дистрибутивов. Например, полнодисковое шифрование уже интегрировано в ALT Workstation.


{{----}}
[[File:{{#setmainimage:Некоторые механизмы безопасности ALT Mobile (Андрей Савченко, OSSDEVCONF-2025)!.jpg}}|center|640px]]
{{LinksSection}}
<!-- <blockquote>[©]</blockquote> -->

<references/>
* https://www.altlinux.org/ALT_Mobile

[[Категория:OSSDEVCONF-2025]]
[[Категория:ALT Mobile]]
[[Категория:Информационная безопасность]]