Уязвимость CVE-2016-4484 в cryptsetup

пароль рута, по-твоему, уже не надо спрашивать для него?

но если пароль рута хранится в passwd^W shadow на зашифрованном разделе, то как мы сможет проверить его в initrd? :-)

И не будет ли его дублирование снижением безопасности? Тогда лучше иметь специально какой-нибудь rescue-пароль для входа в initramfs-шелл который отделен от пароля рута(может совпадать с ним, но это исключительно на совести того, кто его ставит).

Упс, ты меня опередил :-)

Эх, я старею. Потребовалось две минуты(без гугла, это не спортивно), чтобы понять, откуда цитата

Эх, я старею. Потребовалось две минуты(без гугла, это не спортивно), чтобы понять, откуда цитата

Ты нам точно не врёшь? ;)

единственный реально необходимый юзкейс — шифрование диска на ноутах, чтоб при утере/краже никто их хоумпорн не смотрел.

Если вечером в метро перехватить админа крупного банка, к утру многие его клиенты с тобой не согласятся.

Это если админ кладёт болт на требования службы безопасности.

Учитывая что «Алиса в стране чудес» - одна из моих любимых книжек в детстве, не вру. Цитата вроде из нее, а не из «Алисы в Зазеркалье».

А, хотя дошло... Откуда его ещё брать этот пароль, если диски не подмонтированы.

Может: копировать запись из shadow в образ initramfs или использовать отдельный пароль, по аналогии с grub. Как ты верно подметил.

Ну можно же отдельно пароль задавать для initramfs. Для груба, syslinux и lilo так можно делать, почему тут низя? Да и не обязательно это быть тому же самому паролю, что и в системе, это и система-то, по сути, другая, просто пользователь с UID 0 :-)

Нужно больше паролей богу паролей!

Оминь.

политики в области physical security

Как раз в этом случае и могут быть «пострадавшие», положившиеся на то, что поставив пароль на BIOS, GRUB, и засунув компьютер в сейф, они обезопасят нешифрованный загрузочный раздел.