Jump to...
redirecting...

Log for Ubuntu 台灣社群

Linux 核心 6.9 起,LUKS 暫停流程不再從記憶體清除磁碟加密金鑰 (★ 109 分)

這則 Mastodon 貼文指向一個 Linux 磁碟加密的安全退化:自 Linux 核心 6.9 起,LUKS (Linux Unified Key Setup,Linux 常見磁碟加密規格) 的暫停流程不再如預期把磁碟加密金鑰從記憶體中清除。作者補充說,Debian 曾提供選用的 cryptsetup-suspend 附加工具,會在系統進入睡眠時呼叫 luksSuspend,理應清除核心記憶體中的 master key(主金鑰),並在恢復時要求使用者重新輸入密語;這個流程在 Linux 6.8 以前正常,從 6.9 開始則悄悄失效。

原始 Mastodon 快取頁只顯示需啟用 JavaScript 才能使用網頁應用程式;技術脈絡主要來自作者在後續討論中的說明。討論指出,多數一般 Linux 發行版在 suspend-to-RAM(暫停到 RAM,讓記憶體持續供電以快速恢復)時,本來就會保留整個 RAM 狀態,包含核心中的磁碟加密主金鑰。因此,如果筆電從睡眠喚醒後不需要重新輸入開機解密密語,通常就表示金鑰仍留在記憶體裡;cryptsetup-suspend 的特殊價值正在於讓睡眠模式也能更接近「清除金鑰後再恢復」的安全語意。

留言者也區分 sleep 與 hibernate(休眠到磁碟):前者保留 RAM 供電,可能讓冷開機攻擊或實體記憶體攻擊有機會取得殘留金鑰;後者會把 RAM 映像寫入磁碟並關閉電源,在磁碟加密與休眠流程設定正確時,恢復需先解密休眠映像。討論也延伸到 Windows 的對照,有人指出 VeraCrypt 並非企業 Windows 環境的主流磁碟加密方案,BitLocker(Microsoft 內建磁碟加密)才更常見,顯示不同平台對睡眠、休眠與金鑰管理的預設安全假設並不相同。

更廣泛的爭論集中在 Linux 生態的複雜性。一些留言把這起退化歸因於 Linux 由核心、systemd、發行版工具與不同版本組合而成,責任邊界容易模糊;其他人反駁說,任何大型作業系統都會因長期演進與多人維護而累積複雜度,BSD、macOS 或 Windows 若達到同等規模也會面臨類似問題。開放原始碼一方的觀點是,這類安全缺陷至少能被外界檢視與修補;相對地,封閉原始碼系統的錯誤與潛在後門較難由使用者獨立驗證。

👥 23 則討論、評論 💬
https://news.ycombinator.com/item?id=48763035
GitHub 隆重宣布:你現在可以取得自己公開儲存庫 (repo) 的 CD-ROM 版了 (★ 76 分)

GitHub 推出一項限量活動,讓開發者可以把自己的公開 GitHub repo(repository,程式碼儲存庫)燒錄成一張實體 CD(compact disc,光碟)。申請者需提供 GitHub 使用者名稱、想燒錄的公開儲存庫,並確認自己擁有該儲存庫、授權 GitHub 製作成光碟。活動期間為 2026 年 7 月 2 日至 7 月 6 日,限量 1,000 份,每人限申請一次,能否寄送也取決於國家或地區。

表單要求填寫收件姓名、電子郵件、國家、地址與電話,其中電話用於配送,特別是跨國寄送。GitHub 表示,這些個人資料只會用於寄送 CD,不會分享或挪作他用,並會在寄出後刪除;表單也說明不會自動收集姓名或電子郵件,除非申請者自行提供。整體看來,這是一個帶有惡搞與懷舊色彩的實體媒體活動,而非正式長期產品。

Hacker News 討論很快聚焦在這個活動是否可信。許多人覺得 Microsoft Forms 表單網址看起來像 phishing(網路釣魚),因為任何人都能建立公開表單,表面上不容易判斷是否真的來自 GitHub。後續有留言指出 GitHub 官方社群帳號確實發布了相關消息,也有人提到較正式的短網址 gh.io/cd,因此多數人傾向認為活動是真的,但批評 GitHub 用這種表單收集姓名、地址、電話與 GitHub 帳號的做法,容易訓練使用者忽略基本資安警覺。

不少留言認為這是 Microsoft / GitHub 對 Sony 的玩笑回應:Sony 近期宣布 PlayStation 未來新遊戲將停止生產實體光碟,GitHub 則反向宣稱可以把程式碼放上 CD。也有人指出,若 Microsoft 之後讓 Xbox 放棄實體媒體,這個笑話可能反噬;而活動只限 1,000 份、數天內結束,也被拿來揶揄成「比 Sony 更快放棄實體媒體」。

討論中也出現許多懷舊與技術層面的延伸。有人聯想到早年 Ubuntu 免費寄送安裝光碟、OpenBSD 曾經販售原始碼 CD、甚至要求 floppy disk(磁碟片)、Windows 95 磁片版或 Blu-ray。也有人提醒,GitHub 過去做過 Arctic Vault(北極程式碼保存計畫)等實體媒體封存,但這次是燒錄 CD,不是壓製光碟,保存年限可能只有約十年;大型儲存庫也可能超過 CD 容量。另有少數人質疑授權問題,擔心公開程式碼被第三方複製與商業宣傳使用時,是否充分尊重授權條款。整體氣氛偏向覺得這是有趣、古怪、帶有老網路時代精神的行銷,但也伴隨明顯的隱私與資安疑慮。

👥 53 則討論、評論 💬
https://news.ycombinator.com/item?id=48768997
全球一千份真棒