Дешифриране на LUKS контейнера по време на стартиране на системата

На всички приятен ден, вечер! Тази публикация ще бъде полезна за тези, които използват LUKS криптиране на данни и искат да извършват декриптиране на дискове под Linux (Debian, Ubuntu) на етапа на разшифровка на root дяла. И такава информация в интернет не успях да намеря.

Съвсем наскоро, с увеличаването на броя на дисковете на рафтовете, се сблъсках с проблема на декриптиране на дискове, използвайки добре известния метод през /etc/crypttab. Лично аз изтъквам няколко проблема при използването на този метод, а именно, че файлът се чете само след зареждането (монтирането) на root дяла, което негативно влияе на импорта на ZFS, по-специално ако те са били сглобени от дялове на *_crypt устройство, или mdadm рейдове, сглобени също от дялове. Вие също знаете, че можете да използвате parted на LUKS контейнери? Също така и проблемът с ранния старт на други услуги, когато масивите все още ги няма, а използваме вече е нужно нещо (аз работя с клъстериран Proxmox VE 5.x и ZFS над iSCSI).

Няколко думи за ZFSoverISCSIiSCSI работи при мен чрез LIO, и всъщност когато стартира iscsi-таргет и не вижда ZVOL устройства, просто ги изтрива от конфигурацията, което пречи на гостуващите системи да се зареждат. Оттук или възстановяване на json файла от резервно копие, или ръчно добавяне на устройства с идентификаторите на всяка VM, което е просто ужасно, когато такива машини са десетки и в конфигурацията на всяка има повече от 1 диск.

И вторият въпрос, който ще разгледам, е с какво да извършим разшифровката (това е ключовият момент на статията). И за това ще говорим по-долу, влизайте под кат!

Най-често в интернет се използва ключов файл (естествено добавен преди това в слота с командата — cryptsetup luksAddKey), или в редки изключения (в рускоязичния интернет информацията е много оскъдна) — скрипт decrypt_derived, намиращ се в /lib/cryptsetup/script/ (разбира се, има и други начини, но аз използвах именно тези два, които легнаха в основата на статията). Освен това, целях пълно автономно включване след презареждане, без каквито и да е допълнителни команди в конзолата, за да може всичко да "взлети" веднага. Затова, защо да чакаме? —

Приступваме!

Предполагаме система, например Debian, инсталирана на криптирания дял sda3_crypt и десет диска, готови за криптиране и създаване на каквото душата пожелае. Имаме ключова фраза (passphrase) за отключване на sda3_crypt и именно от този дял ще вземем „хеш“ от паролата на стартираната (разкриптирана) система и ще добавим на останалите дискове. Всичко е елементарно, в конзолата изпълняваме:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

където X — това са нашите дискове, раздели и т.н.

След като криптираме дисковете с „хеша“ от нашата ключова фраза, е необходимо да разберем UUID или ID — в зависимост от това, кой каквото предпочита. Вземаме данни от /dev/disk/by-uuid и by-id съответно.

Следващият етап е подготовка на файлове и мини-скриптове за необходимите функции, започваме:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

по-нататък

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

Съдържание .. /decrypt

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

по-нататък

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

Съдържание .. /partcopy

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

още малко

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

Съдържание .. /partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

и накрая, преди update-initramfs, трябва да редактираме файла /etc/initramfs-tools/scripts/local-top/cryptroot, започвайки от ред ~360, следващият код

Оригинал

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

и го представяме в такъв вид

Редактирано

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

Обърнете внимание, че тук можете да използвате или UUID, или ID. Най-важното е необходимите драйвери за устройствата HDD/SSD да бъдат добавени в /etc/initramfs-tools/modules. Можете да разберете кой драйвер се използва с командата udevadm info -a -n /dev/sdX | egrep 'looking|DRIVER'.

Сега, когато приключихме и всички файлове са на мястото си, стартираме update-initramfs -u -k all -v, в логването не трябва да има грешки в изпълнението на нашите скриптове. Рестартираме, въвеждаме ключовата фраза и малко чакаме, в зависимост от броя на дисковете. След това системата ще стартира и на финалния етап на стартиране, именно след „маунтинга“ на root-дела, ще бъде изпълнена командата partprobe — тя ще намери и свърже всички създадени дялове на LUKS устройствата и всякакви масиви, независимо дали са ZFS или mdadm, ще се съберат без проблеми! И всичко това преди зареждането на основните услуги и сервизи, на които са нужни тези дискове/масиви.

update1: Как забеляза AEP, този метод работи само за LUKS1.

Източник: habr.com