暗号化前のディスクの上書き

もしあなたなら欲しくないディスクの以前のコンテンツを上書きすると、古い情報は上書きされるまで一般的な（ソフトウェアのみ）読み取り可能な形式で保持されます。

もしあなたならするディスクの前の内容を上書きするゼロディスクにLUKSデータ構造を作成する前に、ディスクから古いデータを読み取る可能性をほとんど削除しました（ソフトウェアを使用することは確かに重要な作業ですが、可能これは特別なハードウェア、多くの時間、お金で行うことができますが、長さに関係なくすべてのデータがゼロで暗号化される可能性は無視できるため、ディスクのどの部分に実際の暗号化データが格納されているかを簡単に確認できます。データ。したがって、決断力のある攻撃者は、実際にデータを保持しているディスク部分に集中する可能性があります。

もしあなたならするディスクの前の内容を上書きするランダムデータ今後ディスクにLUKSデータ構造を作成すると、ディスクのどの領域に実際のデータが含まれていて、どの領域が単純にノイズであるかを判断するのが難しい場合があります。なぜなら、すべて基本的に同じように見えるからです。 （キーがなければ適切に暗号化されたデータはノイズと区別できません。）攻撃者は独自のデータ構造に基づいてLUKSデータコンテナがあるかどうかを知ることができますが、ディスクのどの部分が暗号化攻撃を受ける可能性があるかはわかりません。

もしあなたならする暗号化されたコンテナをゼロまたは任意のデータで埋めると、そのコンテナの外側のすべてのアイテムはまだデータを保持し、ディスクの内容を上書きしていないのと同じリスクにさらされる可能性があります。ディスク全体を覆う暗号化されたコンテナを使用すると、これはわずかですがまだゼロではないデータ量です。

これらのうち、お客様に適しているのはリスク分析の問題です。すべてのアプリケーションには時間がかかりますが、ゼロで覆うものと擬似乱数データで覆うものとの間の時間差は比較的小さい。

ディスクの上書きには追加の利点があります。ディスクの物理的な領域全体を使用するため、ドライブが重要な内容を書き込む前に破損した領域を特定して再配置することができます。暗号化された（圧縮されているように）データの単一エラーは急速に合計されるため、潜在的な利点はかなりあり、コストは比較的少なくなります。

もちろん、ディスク全体をランダムなデータで上書きします。今後このアプローチの利点はコストよりも大きいと思われるので、これをLUKSデバイスに初期化します（コストは主に新しいドライブを初めて使用するのにかかる時間です）。

ディスク全体を上書きする場合（次の方法を使用してdd if=/dev/urandom of=/dev/sdb bs=1M-警告する、このコマンドを実行しないでくださいあなたがその仕事をする理由を正確に知らない限り！ ）、暗号化されたLUKSパーティションはランダムに見えるため、個別に上書きする必要はありません。

もちろん、必須のXKCD参照もあります。彼に薬を与え、彼が私たちにパスワードを知らせるまで、5ドルのレンチで殴ってください。しかし、ご存知のように、ディスク全体の暗号化も万能歯磨き粉ではありません。