Zaszyfrowany folder domowy jest nadal dostępny po wylogowaniu

Jeśli masz konto z zaszyfrowanym folderem domowym, nie możesz uzyskać dostępu do danych tekstowych użytkownika w jego folderze domowym, jeśli ten użytkownik jeszcze się nie zalogował od czasu ostatniego uruchomienia systemu. Tego się spodziewałem, ponieważ w rzeczywistości dostęp do folderu domowego użytkownika powinien być praktycznie niemożliwy bez podania hasła.

Odkryłem jednak, że kiedy użytkownik z zaszyfrowanym folderem domowym loguje się, a następnie wylogowuje, dane w postaci zwykłego tekstu w folderze domowym są nadal dostępne dla innych użytkowników. Oczywiście wymagane są wystarczające uprawnienia dostępu.

wnie wyświetla użytkownika, a wynik działania sudo pgrep -u <username>jest pusty, co wskazuje, że użytkownik nie ma uruchomionych procesów.

Jaki jest powód tego zachowania? Dlaczego nie zablokować folderu domowego użytkownika po wylogowaniu?

Znany błąd

Jeśli dobrze rozumiem, jest to znany błąd.

Zobacz ten link: wiki.archlinux.org/index.php/ECryptfs

Przewiń w dół do różowego akapitu

Ostrzeżenie: Niestety automatyczne odmontowywanie jest podatne na zerwanie z systemd i zgłaszane są do niego błędy ...

Obejść

W tej chwili lepiej zamknąć lub uruchomić ponownie , aby usunąć ślady ( nie wystarczy się wylogować).

Nie mogę tego przetestować ani potwierdzić, ale przy założeniu, że korzystasz ecryptfs(co Ubuntu oferuje podczas instalacji, IIRC), zaszyfrowane dane są przechowywane w ukrytym folderze /home/.encryptfs/$USERi montowane w rzeczywistej lokalizacji folderu domowego za pomocą ecryptfssterownika podczas logowania w.

Najprawdopodobniej dzieje się tak, że po wylogowaniu nie można automatycznie odmontować tego katalogu, więc pliki są nadal dostępne. Może to być spowodowane ...

• zła konfiguracja (być może miał być skonfigurowany do odmontowania podczas wylogowywania, ale nie był)
• nieoczekiwany typ wylogowania (czasami te rozwiązania działają przy logowaniu / wylogowaniu DM, ale w przeciwnym razie nie działają dobrze)
• jeśli odmontowanie jest obsługiwane przez skrypt wylogowania (niekoniecznie tak jest), coś poprzedzającego polecenie odmontowania może się nie powieść i spowodować wcześniejsze zakończenie skryptu.

Jedną z rzeczy, które mogą pomóc Ci to sprawdzić, jest uruchomienie sudo mount | grep homeprzed zalogowaniem, po zalogowaniu i po wylogowaniu, aby sprawdzić, czy coś związanego z tym homejest montowane. Możesz także poszukać /etc/fstabodpowiednich wpisów. Wreszcie, istnieje pewna konfiguracja /home/.ecryptfs/$USER/.ecryptfs/z odpowiednimi ustawieniami do automatycznego montowania / odmontowywania.

Przydatne informacje na temat ecryptfsmożna znaleźć w tej odpowiedzi oraz w zawsze pomocnym ArchWiki .

Edytuj /etc/systemd/logind.confi ustawKillUserProcesses=yes

Zauważ, że to przerwy w tle programy screen, tmuxi podobne ...

To pytanie jest bardziej szczegółowe. Uważam, że zdefiniowanie nowej usługi systemowej jest niepotrzebne (a ściślej nie pożądane zachowanie, ponieważ jest wywoływane jako hak zamykania, a nie po zakończeniu sesji użytkownika).

/unix/251902/ecryptfs-auto-umount-does-not-work

Badam ten problem od dłuższego czasu, tj. Niezaszyfrowany system plików pozostaje zamontowany po wylogowaniu użytkownika.

Użyłem „ecryptfs-migrate-home -u user”, aby utworzyć mount. postępował zgodnie ze wskazówkami i wszystkie prace oprócz automatycznego odmontowania podczas wylogowywania.

Porównałem pliki konfiguracyjne w /etc/pam.d/ z dokumentacją pam_ecryptfs i znalazłem pewne różnice. ecryptfs był w 4 plikach konfiguracyjnych pam.d, podczas gdy dokumenty pam_ecryptfs wskazują, że tylko 2 pliki potrzebują / powinny / obsługiwać ecryptfs, np.

   /etc/pam.d/common-auth:
              auth    required        pam_ecryptfs.so unwrap
   /etc/pam.d/common-session:
              session optional        pam_ecryptfs.so unwrap

Tak więc skomentowałem pozostałe 2 instancje, uruchomiłem ponownie i wszystko działało, automatycznie montuje się przy logowaniu i automatycznie odmontowuje podczas wylogowania dla logowania graficznego i konsoli. (Użyłem alternatywnych tty do weryfikacji z konta root)

Jest to 18.04 Lubuntu na laptopie, komputerze stacjonarnym i gościu virtualbox (host Windows).

Interesuje mnie doświadczenie innych.

edit_1: poprawione brzmienie. edit_2: dodano wyniki testu pulpitu i VB.

Robię to za pomocą skryptu w rclocal

#!/bin/sh
#

while true; do
    if [ ! -d /run/user/1000 ]; then
        if [ -f /home/momo/.mounted ]; then
            umount /home/harry
        fi      
    fi

    if [ ! -d /run/user/1001 ]; then
        if [ -f /home/vm/.mounted ]; then
            umount /home/maud
        fi
    fi

    sleep 10
done
exit 0

Jeśli nie potrzebujesz dostępu z crona lub w zadaniach (zadania nieinteraktywne) do DOWOLNYCH katalogów domowych, musisz po prostu skomentować linię

session  optional        pam_ecryptfs.so unwrap

w /etc/pam.d/common-session-noninteractive.

Spowoduje to odmontowanie wszystkich zaszyfrowanych katalogów domowych po wylogowaniu użytkownika.