Dossier de départ chiffré toujours accessible après la déconnexion

Si vous avez un compte avec un dossier personnel chiffré, vous ne pouvez pas accéder aux données en texte brut de l'utilisateur dans son dossier personnel si cet utilisateur ne s'est pas encore connecté depuis le dernier démarrage du système. C'est ce à quoi je m'attendais car il ne devrait en fait pas être possible d'accéder au dossier de départ d'un utilisateur sans avoir entré son mot de passe.

Cependant, j'ai constaté que lorsqu'un utilisateur avec un dossier de départ chiffré se connecte puis se déconnecte, les données en texte brut dans son dossier de départ sont toujours accessibles aux autres utilisateurs. Naturellement, des privilèges d'accès suffisants sont requis.

wne répertorie pas l'utilisateur et la sortie de sudo pgrep -u <username>est vide, indiquant que l'utilisateur n'a aucun processus en cours d'exécution.

Quelle est la raison de ce comportement? Pourquoi ne pas simplement verrouiller le dossier de départ de l'utilisateur après sa déconnexion?

Bug connu

Si je comprends bien, c'est un bug connu.

Voir ce lien: wiki.archlinux.org/index.php/ECryptfs

Faites défiler jusqu'au paragraphe rose

Attention: Malheureusement, le démontage automatique est susceptible de rompre avec systemd et des bugs sont déposés contre lui ...

Solution de contournement

Comme c'est le cas maintenant, vous feriez mieux d' arrêter ou de redémarrer afin de supprimer les traces (il ne suffit pas de vous déconnecter).

Je ne peux pas tester ou confirmer cela, mais en supposant que vous utilisez ecryptfs(ce que propose Ubuntu lors de l'installation, IIRC), les données chiffrées sont stockées dans un dossier caché /home/.encryptfs/$USERet montées à l'emplacement de votre dossier personnel à l'aide du ecryptfspilote lorsque vous vous connectez dans.

Il est donc très probable que lorsque vous vous déconnectez, il ne parvienne pas à démonter automatiquement ce répertoire, de sorte que les fichiers sont toujours accessibles. Cela pourrait être causé par ...

• une mauvaise configuration (peut-être était-elle censée être configurée pour se démonter à la déconnexion mais ne l'était pas)
• type de déconnexion inattendu (parfois ces solutions fonctionnent pour la connexion / déconnexion DM mais ne fonctionnent pas bien sinon)
• si le démontage est géré par un script de déconnexion (pas nécessairement le cas), quelque chose qui précède la commande de démontage peut échouer et entraîner la fermeture anticipée du script.

Une chose qui peut vous aider à vérifier cela serait d'exécuter sudo mount | grep homeavant la connexion, après la connexion et après la déconnexion pour voir si quelque chose impliquant homeest en cours de montage. Vous pouvez également rechercher /etc/fstabdes entrées pertinentes. Enfin, il y a une configuration /home/.ecryptfs/$USER/.ecryptfs/avec des paramètres pertinents pour le montage / démontage automatique.

Des informations utiles sur ecryptfspeuvent être trouvées dans cette réponse et dans l' ArchWiki toujours utile .

Modifier /etc/systemd/logind.confet définirKillUserProcesses=yes

Notez que ces pauses programmes d'arrière - plan, screen, tmuxet même ...

Cette question va ici plus en détail. Je trouve la définition d'un nouveau service systemd inutile (ou plus précisément, pas le comportement souhaité, car il est appelé en tant que hook d'arrêt, pas à la fin de la session utilisateur).

/unix/251902/ecryptfs-auto-umount-does-not-work

Je fais des recherches sur ce problème depuis un certain temps, c'est-à-dire que le système de fichiers non crypté reste monté après la déconnexion de l'utilisateur.

J'ai utilisé "ecryptfs-migrate-home -u user" pour créer le montage. suivi les instructions et tous les travaux, sauf pas de démontage automatique à la déconnexion.

J'ai comparé les fichiers de configuration dans /etc/pam.d/ à la documentation de pam_ecryptfs et j'ai trouvé quelques différences. ecryptfs était dans 4 des fichiers de configuration pam.d alors que les documents pam_ecryptfs indiquent que seulement 2 fichiers ont besoin / devraient / prendre en charge ecryptfs, par exemple,

   /etc/pam.d/common-auth:
              auth    required        pam_ecryptfs.so unwrap
   /etc/pam.d/common-session:
              session optional        pam_ecryptfs.so unwrap

J'ai donc commenté les 2 autres instances, redémarré et tout a fonctionné, les montages automatiques à la connexion et les démontages automatiques à la déconnexion pour les connexions graphiques et console. (J'ai utilisé des tty alternatifs pour vérifier à partir du compte root)

C'est le 18.04 Lubuntu sur un ordinateur portable, un ordinateur de bureau et un invité virtualbox (hôte Windows).

Je suis intéressé par l'expérience des autres.

edit_1: formulation améliorée. edit_2: ajout des résultats des tests de bureau et VB.

Je le fais avec un script dans rclocal

#!/bin/sh
#

while true; do
    if [ ! -d /run/user/1000 ]; then
        if [ -f /home/momo/.mounted ]; then
            umount /home/harry
        fi      
    fi

    if [ ! -d /run/user/1001 ]; then
        if [ -f /home/vm/.mounted ]; then
            umount /home/maud
        fi
    fi

    sleep 10
done
exit 0

Si vous n'avez pas besoin d'accéder depuis cron ou à des tâches (tâches non interactives) à N'IMPORTE QUEL répertoire personnel, il vous suffit de commenter la ligne

session  optional        pam_ecryptfs.so unwrap

dans /etc/pam.d/common-session-noninteractive.

Cela entraînera le démontage de tous les répertoires personnels chiffrés lorsque l'utilisateur se déconnectera.