Некоторые механизмы безопасности ALT Mobile (Андрей Савченко, OSSDEVCONF-2025)

Ссылки сюда (1) →

Короткая ссылка: 20251005D

Докладчик

Андрей Савченко

В докладе рассказывается о ряде механизмов безопасности ALT Mobile, в частности, полнодисковом шифровании на основе LUKS и механизме тревожных паролей на основе PAM.

Презентация

Thesis

Ключевые слова: ALT Mobile, безопасность, LUKS, PAM, СПО.

Введение

Развитие Linux на мобильных устройствах в рамках проекта ALT Mobile привело к необходимости внедрения новых механизмов безопасности, которые ранее были не столь актуальны для десктопных и серверных систем, либо внедрение которых потребовало новых технических средств.

Полнодисковое шифрование

Многие дистрибутивы ограничиваются шифрованием домашнего каталога пользователя, однако этого не достаточно: чувствительные данные могут оседать в системных журналах, файлах конфигурации, кешах и файле подкачки — поэтому мы решили реализовать полнодисковое шифрование на базе надёжной и проверенной технологии LUKS.

Что здесь нового? Возникло два основных технических вызова:

• Ввод пароля с экранной клавиатуры в initrd
• Автоматизация установки образа с LUKS

Проблема экранной клавиатуры была решена с помощью unl0kr — инструмента разблокировки диска в initramfs на базе LVGL. Применение LVGL позволяет выполнять рендеринг непосредственно во фреймбуфер ядра и поэтому не зависит от аппаратного ускорения GPU, которое непросто инициализировать на этапе initramfs.

Также был доработан механизм make-initrd для поддержки unl0kr, обеспечения загрузки нужных модулей для работы сенсорного экрана и поддержки файловой системы f2fs.

С целью автоматизации установки образов был доработан инструмент alt-rootfs-installer, куда была добавлена поддержка LUKS и f2fs.

Тревожные пароли

У пользователя может возникнуть ситуация, когда нужно авторизоваться под внешним давлением. В таком случае можно ввести особый пароль, который активирует тревожную кнопку или выполнит любое другое программируемое действие.

Данная задача была реализована с помощью специального модуля PAM: pam_fabo. FABO пароль не гарантирует успешный логин в систему: это зависит от настроек, можно как разрешить, так и запретить логин с заданным специальным паролем.

Использование осуществляется путём встраивания pam_fabo в интересующую цепочку модулей PAM, при этом сами хеши паролей и скрипты действий можно хранить где угодно (расположение задаётся через конфигурационные файлы).

В ходе работ выяснилось, что ряд действий сделать не так уж просто, например полностью заменить $HOME на другой: потому что на этапе входа в оболочку $HOME уже используется оболочкой, а если использовать killall, то процесс входа будет прекращён.

Итоги

Разработанные механизмы оказались универсальными и пригодными не только для мобильных дистрибутивов. Например, полнодисковое шифрование уже интегрировано в ALT Workstation.

Примечания и ссылки

• https://www.altlinux.org/ALT_Mobile