19.17. Swap зайг шифрлэх

19.17.1. Swap яагаад шифрлэгдэх ёстой вэ?

Дискний хуваалтуудын шифрлэлтийн нэгэн адил swap зайн шифрлэлт нь эмзэг мэдээллийг хамгаалахын тулд хийгддэг. Нууц үгстэй ажилладаг програм байлаа гэж бодъё. Эдгээр нууц үгс нь физик санах ойд байгаа үед бүгд зүгээр байна. Гэхдээ хэрэв үйлдлийн систем нь бусад програмуудад зориулж зайг чөлөөлөхийн тулд санах ойн хуудаснуудыг swap хийж эхэлбэл нууц үгс нь дискний хавтгай дээр шифрлэгдэлгүй бичигдэж болох бөгөөд энэ нь өрсөлдөгчийн хувьд олж авахад амархан болох юм. Swap зайг шифрлэх нь энэ тохиолдолд шийдэл болж болох юм.

19.17.2. Бэлтгэл

Энэ хүртэл swap нь шифрлэгдээгүй байгаа билээ. Аль хэдийн нууц үгс эсвэл бусад эмзэг өгөгдөл дискний хавтгайнууд дээр цэвэр текстээр байж болзошгүй юм. Үүнийг засварлахын тулд swap хуваалт дээрх өгөгдлийг санамсаргүй хаягдлаар дарж бичих хэрэгтэй:

# dd if=/dev/random of=/dev/ad0s1b bs=1m

19.17.3. gbde(8) ашиглан swap шифрлэлт хийх

.bde дагаварыг /etc/fstab-ийн тохирох swap мөр дэх төхөөрөмжид нэмэх шаардлагатай:

# Device                Mountpoint      FStype  Options         Dump    Pass#
/dev/ad0s1b.bde         none            swap    sw              0       0

19.17.4. geli(8) ашиглан swap шифрлэлт хийх

Өөрөөр, swap шифрлэлтэд зориулж geli(8)-г ашиглах процедур нь gbde(8) ашиглахтай төстэй. .eli дагаварыг /etc/fstab-ийн тохирох swap мөр дэх төхөөрөмжид нэмэх шаардлагатай:

# Device                Mountpoint      FStype  Options         Dump    Pass#
/dev/ad0s1b.eli         none            swap    sw              0       0

geli(8) нь AES алгоритмийг анхдагчаар 128 битийн урттай түлхүүртэй ашигладаг.

Мөн эдгээр анхдагчуудыг /etc/rc.conf файлд geli_swap_flags тохируулгыг ашиглан өөрчилж болно. Дараах мөр нь encswap rc.d скриптийг “detach on last close” тохируулгыг зааж 4 килобайтын секторын хэмжээтэй, 128 бит түлхүүрийн урттайгаар Blowfish алгоритм ашиглан geli(8) swap хуваалт үүсгэ гэж хэлж байна:

geli_swap_flags="-e blowfish -l 128 -s 4096 -d"

geli(8) гарын авлагын хуудсан дахь onetime тушаалын тайлбараас боломжит тохируулгуудын жагсаалтыг лавлана уу.

19.17.5. Ажиллаж байгаа эсэхийг шалгах

Систем дахин ачаалагдсаны дараа шифрлэгдсэн swap-ийн зөв үйлдлийг swapinfo тушаал ашиглан шалгаж болно.

Хэрэв gbde(8) ашиглагдаж байвал:

% swapinfo
Device          1K-blocks     Used    Avail Capacity
/dev/ad0s1b.bde    542720        0   542720     0%

Хэрэв geli(8) ашиглагдаж байвал:

% swapinfo
Device          1K-blocks     Used    Avail Capacity
/dev/ad0s1b.eli    542720        0   542720     0%