Дешифриране на LUKS контейнер по време на зареждане на системата

Лек ден и нощ на всички! Тази публикация ще бъде полезна за тези, които използват LUKS криптиране на данни и искат да дешифрират дискове под Linux (Debian, Ubuntu) на етапи на дешифриране на основния дял. И не можах да намеря такава информация в интернет.

Съвсем наскоро, с увеличаването на броя на дисковете в рафтовете, се натъкнах на проблема с дешифрирането на дискове, използвайки повече от добре познатия метод чрез /etc/crypttab. Лично аз подчертавам няколко проблема с използването на този метод, а именно, че файлът се чете само след зареждане (монтиране) на основния дял, което се отразява негативно върху импортиранията на ZFS, особено ако са изградени от дялове на *_crypt устройство, или mdadm нападения, също изградени от дялове. Всички знаем, че можете да използвате parted on LUKS контейнери, нали? А също и проблемът с ранното стартиране на други услуги, когато все още няма масиви, но да се използва Вече имам нужда от нещо (работя с клъстър Proxmox VE 5.x и ZFS през iSCSI).

Малко за ZFSoverISCSIiSCSI ми работи през LIO и всъщност, когато целта на iscsi стартира и не вижда ZVOL устройствата, просто ги премахва от конфигурацията, което не позволява системите за гости да се зареждат. Следователно или възстановяване на резервно копие на json файл, или ръчно добавяне на устройства с идентификатори за всяка виртуална машина, което е просто ужасно, когато има десетки такива машини и всяка конфигурация има повече от 1 диск.

И вторият въпрос, който ще разгледам, е как да дешифрирам (това е ключовата точка на статията). И ще говорим за това по-долу, отидете под разреза!

Най-често в интернет се използва ключов файл (самодобавен към слота преди това чрез командата - cryptsetup luksAddKey) или в редки изключения (в рускоезичния интернет има много малко информация) - скриптът decrypt_derived намиращ се в /lib/cryptsetup/script/ (разбира се, има и други начини, но аз използвах тези два, които са в основата на статията). Също така се стремях към пълно автономно включване след рестартиране, без никакви допълнителни команди в конзолата, така че всичко да "излети" за мен наведнъж. Следователно, защо да чакаме? —

Да започнем!

Да приемем система, като Debian, инсталирана на sda3_crypt крипто дял и дузина дискове, готови да бъдат криптирани и създадени до насита. Имаме парола (passphrase) за отключване на sda3_crypt и именно от този дял ще премахнем „хеш“ от паролата на работещата (дешифрирана) система и ще я добавим към останалите дискове. Всичко е елементарно, в конзолата изпълняваме:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

където X са нашите дискове, дялове и т.н.

След криптиране на дисковете с "хеш" от нашата парола, трябва да разберете UUID или ID - в зависимост от това кой с какво и какво е свикнал. Ние вземаме данни съответно от /dev/disk/by-uuid и by-id.

Следващата стъпка е подготовката на файлове и мини-скриптове за функциите, от които се нуждаем, нека продължим:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

далее

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

Съдържание на ../decrypt

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

далее

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

Съдържанието на ../partcopy

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

малко повече

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

Съдържание ../partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

и последно, преди update-initramfs, трябва да редактирате файла /etc/initramfs-tools/scripts/local-top/cryptroot, започвайки от ред ~360, кодов фрагмент по-долу

Оригинал

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

и го донесете до тази форма

Редактирано

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

Обърнете внимание, че тук може да се използва UUID или ID. Основното е, че необходимите драйвери за HDD / SSD устройства се добавят към /etc/initramfs-tools/modules. Можете да разберете кой драйвер се използва с командата udevadm информация -a -n /dev/sdX | egrep 'търся | ШОФЬОР'.

След като сме готови и всички файлове са на мястото си, стартирайте актуализация-initramfs -u -k всички -v, в сеч не трябва да бъде грешки при изпълнение на нашите скриптове. Рестартираме, въвеждаме паролата и изчакваме малко, в зависимост от броя на дисковете. След това системата ще стартира и на последния етап от стартирането, а именно след „монтирането“ на основния дял, ще бъде изпълнена командата partprobe - тя ще намери и вземе всички създадени дялове на LUKS устройства и всякакви масиви, било то ZFS или mdadm, ще се сглоби без проблеми! И всичко това преди зареждане основни услуги и услуги, които се нуждаят от тези дискове/масиви.

актуализация1: Като забелязани AEP, този метод работи само за LUKS1.

Източник: www.habr.com