LUKS

Симметричное шифрование массива данных одним ключом в случае необходимости смены этого ключа (например, при его компрометации) предполагает обязательную перешифровку всего объёма данных новым ключом. Во многих случаях это неприемлемо долгая операция, которую трудно выполнить в реальном времени без прерывания работы системы[5][3].

Применение иерархии ключей призвано решить эту проблему. В такой системе используются ключи разных уровней: мастер-ключ, используемый непосредственно для шифрования данных и остающийся фиксированным весь цикл жизни зашифрованного раздела, и пользовательские ключи, используемые для шифрования мастер-ключа. Содержимое мастер-ключа всегда хранится будучи зашифрованным каждым из пользовательских ключей. Поскольку размер мастер-ключа невелик и обычно не зависит от объёма основных данных, его перешифровка может производиться за короткое фиксированное время[5][3].

Добавление нового пользовательского ключа производится путём восстановления мастер-ключа одним из уже используемых пользовательских ключей и шифрования новым. Смена пользовательского ключа происходит аналогично, но зашифрованная старым ключом копия мастер-ключа перезаписывается. Удаление пользовательского ключа не требует ввода каких-либо ключей и состоит из уничтожения зашифрованной этим ключом копии мастер-ключа. Таким образом, каждый из пользовательских ключей обеспечивает доступ к зашифрованным данным, при этом любой ключ может быть отозван или сменён без необходимости перешифровки всего массива данных. Следует отметить, что эта схема требует постоянного хранения хотя бы одной копии мастер-ключа, зашифрованной известным пользовательским ключом[5][3][6].

На практике может возникнуть задача реализации доступа к зашифрованным данным при условии обладания субъекта одновременно несколькими пользователькими ключами. Для такого сценария в TKS1 используется схема Шамира с использованием пороговой схемы[7].

Многие физические накопители данных — в частности, жёсткие магнитные диски — обладают свойством удерживать следы удалённой с них информации даже при полной её перезаписи, в достаточной мере для наличия риска нежелательного восстановления. Некоторые особенности конструкции накопителей — например, переназначение резервных секторов — делают этот риск особенно критичным в условиях использования иерархии ключей в силу малого размера шифруемого мастер-ключа, зачастую помещающегося в один сектор[5][8].

Задача минимизации вероятности восстановления массива данных (например, скомпрометированной копии мастер-ключа) после попытки его уничтожения сводится к построению особой «хрупкой» структуры данных, то есть такой, необратимое уничтожение любой малой части которой сильно снизит шансы на восстановление всех исходных данных[5].

Пусть ${\displaystyle D}$ — информация, для которой требуется возможность необратимого уничтожения, ${\displaystyle S}$ — структура данных, состоящая из ${\displaystyle n}$ блоков ${\displaystyle s_{1},\ldots ,s_{i},\ldots ,s_{n}}$. Пусть ${\displaystyle D}$ принимает значения из ${\displaystyle \mathbb {D} }$, ${\displaystyle s_{i}}$ — из ${\displaystyle \mathbb {S} }$ для всех ${\displaystyle i\in 1,\ldots ,n}$. Тогда должна существовать функция ${\displaystyle {\mathfrak {S}}}$, ${\displaystyle \mathbb {D} \to \mathbb {S} ^{n}}$, строящая ${\displaystyle S}$ по ${\displaystyle D}$, и функция ${\displaystyle {\mathfrak {D}}}$, ${\displaystyle \mathbb {S} ^{n}\to \mathbb {D} }$, восстанавливающая ${\displaystyle D}$. Тогда требуется, чтобы восстановить ${\displaystyle D}$ было невозможно при порче хотя бы одного ${\displaystyle s_{i}}$ из составляющих ${\displaystyle S}$, иными словами,

$${\displaystyle P[{\mathfrak {D}}(s_{1},\ldots ,s_{i-1},x,s_{i+1},\ldots ,s_{n})=D]={\frac {1}{|\mathbb {D} |}}}$$

для всех ${\displaystyle s_{1},\ldots ,s_{i-1},s_{i+1},\ldots \in \mathbb {S} }$ и всех ${\displaystyle i\in 1,\ldots ,n}$. Любое ${\displaystyle D}$ может быть получено с одинаковой вероятностью, когда хотя бы одного ${\displaystyle s_{i}}$ не хватает. Проще говоря, ${\displaystyle D}$ сильно зависит от каждого аргумента ${\displaystyle {\mathfrak {D}}}$.

При намеренной перезаписи всех блоков такой структуры экспоненциально растёт шанс, что хотя бы один из них будет уничтожен невосстановимо, и, как следствие, всю исходную информацию восстановить будет невозможно[5][8].

Простая схема создания подобной зависимости может быть такой: для структуры данных ${\displaystyle S=s_{1},s_{2},\ldots ,s_{n}}$ сгенерировать блоки ${\displaystyle s_{1},\ldots ,s_{n-1}}$ случайных данных и вычислить ${\displaystyle s_{n}=s_{1}\oplus \cdots \oplus s_{n-1}\oplus D}$. Тогда восстановление можно произвести как ${\displaystyle D=\bigoplus _{i=1}^{n}s_{i}}$ При этом невосстановимое уничтожение хотя бы одного блока приводит к невосстановимости исходной информации. Эту конструкцию можно рассматривать как вариант схемы Шамира, за тем исключением, что все части секрета хранятся в одном месте.[7]

Улучшить эту схему можно внеся элемент побитовой диффузии в цепь XOR-ов. Тогда даже частичная порча любого элемента ${\displaystyle s_{i}}$ в объёме одного или нескольких бит значительно повлияет на результат восстановления. Для этого можно использовать некоторую криптографическую хеш-функцию ${\displaystyle H}$. Пусть ${\displaystyle s_{1},\ldots ,s_{n-1}}$ — блоки случайных данных, тогда нужно вычислить цепь хеш-значений: ${\displaystyle q_{1}=s_{1}}$, ${\displaystyle q_{i}=H(q_{i-1})\oplus s_{i}}$, а ${\displaystyle s_{n}}$ вычислить как ${\displaystyle s_{n}=q_{n-1}\oplus D}$. Cоответственно, для восстановления ${\displaystyle D}$ снова высчитывается цепь хеш-значений и ${\displaystyle D=q_{n-1}\oplus s_{n}}$

Этот алгоритм хранения данных называется AFSplitter и используется в криптосхеме TKS1 для хранения зашифрованных пользовательскими ключами копий мастер-ключа[5][8].

Как часть защиты от brute force атак на пароли, сгенерированные пользователем и, как правило, обладающие низкой энтропией, в схеме TKS1 для получения пользовательского ключа из пароля используется стандарт PBKDF2, позволяющий увеличить затраты на перебор, не снижая производительности при обычном использовании[5][8][9].

Итоговая последовательность действий, выполняемая по схеме TKS1, чтобы получить доступ к зашифрованному носителю[5]:

• Из хранилища ключей считываются параметры PBKDF2: соль, количество итераций;
• Оттуда же считывается обработанный AFSplitter’ом ключ, представляющий собой зашифрованный пользовательским ключом мастер-ключ. Он помещается в память после обработки обратным алгоритмом AFMerge;
• Запрашивается пароль у пользователя;
• С помощью пароля и считанных ранее параметров с помощью PBKDF2 выводится ключ шифрования мастер-ключа;
• Мастер-ключ расшифровывается полученным ключом и помещается в память;
• Инициализируется потоковый шифр с помощью мастер-ключа для осуществления доступа к данным;
• Копия незашифрованного мастер-ключа стирается из памяти.

TKS2 аналогична TKS1 во всех отношениях, кроме того, что хранимая копия мастер-ключа сначала обрабатывается AFSplitter-ом, а затем шифруется пользовательским ключом. Таким образом при расшифровке сначала полученым из PBKDF2 ключом расшифровывается хранимая структура данных, затем обрабатывается AFMerge для получения итогового пользовательского ключа. Такая схема лучше подходит для реализации прозрачного шифрования, и именно она легла в основу стандарта LUKS 1.0.[5][3].

Раздел LUKS1 состоит из следующих частей[1]:

• Заголовок LUKS;
• Хранилища содержимого ключей KM1 — KM8;
• Зашифрованные данные.

+-------------+-------+-------+-------+-------+-----------------+
|  LUKS phdr  |  KM1  |  KM2  |  ...  |  KM8  |    bulk data    |
+-------------+-------+-------+-------+-------+-----------------+

Заголовок LUKS вместе с содержимым секции ключа KM представляют собой всю необходимую информацию для доступа к зашифрованному разделу. В заголовке содержатся следующие данные[1]:

Заголовок и секции содержимого ключей можно хранить на другом физическом носителе, чем сами зашифрованные данные. При утрате заголовка или секций содержимого ключей получить доступ к зашифрованным данным становится невозможно[5].

Каждый из 8 слотов ключей в phdr соответствует одной секции содержимого ключа и содержит следующую информацию[1]: