{"id":35652,"date":"2019-10-31T22:05:33","date_gmt":"2019-10-31T19:05:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy\/"},"modified":"2019-10-31T22:05:33","modified_gmt":"2019-10-31T19:05:33","slug":"rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","title":{"rendered":"Entschl\u00fcsselung des LUKS-Containers beim Systemstart","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Allen einen guten Tag, Abend! Dieser Beitrag wird f\u00fcr diejenigen n\u00fctzlich sein, die die LUKS-Datenschutztechnologie nutzen und die Entschl\u00fcsselung von Festplatten unter Linux (Debian, Ubuntu) vornehmen m\u00f6chten in der Phase der Entschl\u00fcsselung des Root-Partitions<\/b>. Und solche Informationen konnte ich im Internet nicht finden.<\/p>\n

Ganz k\u00fcrzlich, als die Anzahl der Festplatten in den Regalen zunahm, stie\u00df ich auf das Problem der Entschl\u00fcsselung von Festplatten mit der allgemein bekannten Methode \u00fcber \/etc\/crypttab. Ich pers\u00f6nlich sehe mehrere Probleme bei der Verwendung dieser Methode, n\u00e4mlich dass die Datei nur nach dem Laden (mount) der Root-Partition gelesen wird<\/b>, was sich negativ auf den Import von ZFS auswirkt, insbesondere wenn sie aus Partitionen auf einem *_crypt-Ger\u00e4t erstellt wurden, oder bei mdadm-RAIDs, die ebenfalls aus Partitionen erstellt wurden. Wir wissen doch alle, dass man parted auf LUKS-Containern verwenden kann?<\/i> Und es gibt auch das Problem des fr\u00fchen Starts anderer Dienste, wenn die Arrays noch nicht vorhanden sind und man bereits etwas braucht (ich arbeite mit dem clusterf\u00e4higen Proxmox VE 5.x und ZFS \u00fcber iSCSI).<\/b> Ein wenig \u00fcber ZFS\u00fcberISCSI<\/p>\n

iSCSI funktioniert bei mir \u00fcber LIO, und wenn das iscsi-Ziel startet und die ZVOL-Ger\u00e4te nicht sieht, entfernt es sie einfach aus der Konfiguration, was es den Gastbetriebssystemen unm\u00f6glich macht, zu booten. Daher entweder eine Wiederherstellung der Backup-JSON-Datei oder das manuelle Hinzuf\u00fcgen von Ger\u00e4ten mit den Identifikatoren jeder VM, was einfach schrecklich ist, wenn es Dutzende solcher Maschinen gibt und in der Konfiguration jeder mehr als 1 Festplatte.<\/b>Und die zweite Frage, die ich behandeln werde, ist, womit die Entschl\u00fcsselung durchgef\u00fchrt werden soll (das ist der entscheidende Punkt des Artikels). Dar\u00fcber werden wir weiter unten sprechen, also bleibt dran!<\/p>\n

Im Internet wird meistens eine Schl\u00fcsseldatei verwendet (selbstverst\u00e4ndlich vorher mit dem Befehl \u2014 cryptsetup luksAddKey hinzugef\u00fcgt), oder in seltenen Ausnahmen (im russischsprachigen Internet gibt es sehr sp\u00e4rliche Informationen) \u2014 das Skript decrypt_derived, das in \/lib\/cryptsetup\/script\/ liegt (nat\u00fcrlich gibt es noch andere Methoden, aber ich habe genau diese beiden verwendet, die die Grundlage des Artikels bildeten). Ich strebte auch eine vollst\u00e4ndige autonome Aktivierung nach Neustarts an, ohne zus\u00e4tzliche Befehle in der Konsole, damit alles sofort \u201efunktioniert\u201c. Warum also warten? \u2014
\n<\/a><\/noindex>
\nLass uns anfangen! <\/p>\n

Wir fangen an!<\/p>\n

Wir nehmen an, dass das System beispielsweise Debian ist, installiert auf der Krypto-Partition sda3_crypt und einem Dutzend Festplatten, bereit zur Verschl\u00fcsselung und zur Erstellung von was auch immer gew\u00fcnscht wird. Wir haben einen Schl\u00fcsselphrase (Passphrase) zum Entsperren von sda3_crypt und von dieser Partition aus werden wir auf dem laufenden (entschl\u00fcsselten) System den \u201eHash\u201c des Passworts abziehen und auf die anderen Platten hinzuf\u00fcgen. Alles ist einfach, wir f\u00fchren in der Konsole aus:<\/p>\n

\/lib\/cryptsetup\/scripts\/decrypt_derived sda3_crypt | cryptsetup luksFormat \/dev\/sdX<\/code><\/pre>\n
\nwobei X unsere Festplatten, Partitionen usw. ist.<\/p>\n
Nachdem die Festplatten mit dem \u201eHash\u201c unserer Schl\u00fcsselphrase verschl\u00fcsselt wurden, m\u00fcssen wir die UUID oder die ID herausfinden \u2013 je nachdem, was man gewohnt ist. Wir nehmen die Daten aus \/dev\/disk\/by-uuid und by-id entsprechend.<\/p>\n
Der n\u00e4chste Schritt besteht darin, Dateien und Mini-Skripte f\u00fcr die ben\u00f6tigten Funktionen vorzubereiten, wir beginnen:<\/p>\n
cp -p \/usr\/share\/initramfs-tools\/hooks\/cryptroot \/etc\/initramfs-tools\/hooks\/\ncp -p \/usr\/share\/initramfs-tools\/scripts\/local-top\/cryptroot \/etc\/initramfs-tools\/scripts\/local-top\/<\/code><\/pre>\n
\nweiter<\/p>\n
touch \/etc\/initramfs-tools\/hooks\/decrypt && chmod +x \/etc\/initramfs-tools\/hooks\/decrypt<\/code><\/pre>\n
\nInhalt von ..\/decrypt<\/b><\/p>\n
#!\/bin\/sh\n\ncp -p \/lib\/cryptsetup\/scripts\/decrypt_derived \"$DESTDIR\/bin\/decrypt_derived\"<\/code><\/pre>\n
weiter<\/p>\n
touch \/etc\/initramfs-tools\/hooks\/partcopy && chmod +x \/etc\/initramfs-tools\/hooks\/partcopy<\/code><\/pre>\n
\nInhalt von ..\/partcopy<\/b><\/p>\n
#!\/bin\/sh\n\ncp -p \/sbin\/partprobe \"$DESTDIR\/bin\/partprobe\"\ncp -p \/lib\/x86_64-linux-gnu\/libparted.so.2 \"$DESTDIR\/lib\/x86_64-linux-gnu\/libparted.so.2\"\ncp -p \/lib\/x86_64-linux-gnu\/libreadline.so.7 \"$DESTDIR\/lib\/x86_64-linux-gnu\/libreadline.so.7\"<\/code><\/pre>\n
noch ein wenig<\/p>\n
touch \/etc\/initramfs-tools\/scripts\/local-bottom\/partprobe && chmod +x \/etc\/initramfs-tools\/scripts\/local-bottom\/partprobe<\/code><\/pre>\n
\nInhalt von ..\/partprobe<\/b><\/p>\n
#!\/bin\/sh\n\n$DESTDIR\/bin\/partprobe<\/code><\/pre>\n
und zuletzt, bevor wir update-initramfs ausf\u00fchren, muss die Datei \/etc\/initramfs-tools\/scripts\/local-top\/cryptroot bearbeitet werden, beginnend mit der Zeile ~360, folgendes Codest\u00fcck<\/p>\n
Original<\/b><\/p>\n
\n                # decrease $count by 1, apparently last try was successful.\n                count=$(( $count - 1 ))\n                \n                message \"cryptsetup ($crypttarget): set up successfully\"\n                break\n<\/code><\/pre>\n
und bringen es in diese Form<\/p>\n
Bearbeitet<\/b><\/p>\n
\n                # decrease $count by 1, apparently last try was successful.\n                count=$(( $count - 1 ))\n                \n\n                \/bin\/decrypt_derived $crypttarget | cryptsetup luksOpen \/dev\/disk\/by-uuid\/ *CRYPT_MAP*\n                \/bin\/decrypt_derived $crypttarget | cryptsetup luksOpen \/dev\/disk\/by-id\/ *CRYPT_MAP*\n\n                message \"cryptsetup ($crypttarget): set up successfully\"\n                break<\/code><\/pre>\n
Bitte beachten Sie, dass hier entweder UUID oder ID verwendet werden kann. Wichtig ist, dass die ben\u00f6tigten Treiber f\u00fcr die HDD\/SSD-Ger\u00e4te in \/etc\/initramfs-tools\/modules hinzugef\u00fcgt wurden. Den verwendeten Treiber kann man mit dem Befehl herausfinden udevadm info -a -n \/dev\/sdX | egrep 'looking|DRIVER'<\/i>.<\/p>\n
Jetzt, da wir fertig sind und alle Dateien an ihrem Platz sind, f\u00fchren wir aus update-initramfs -u -k all -v<\/i>, im Loggen sollte es keine<\/b> Fehler in der Ausf\u00fchrung unserer Skripte geben. Wir starten neu, geben die Schl\u00fcsselphrase ein und warten ein wenig, je nach Anzahl der Festplatten. Dann wird das System gestartet und in der Endphase des Bootvorgangs, n\u00e4mlich nach dem \u201eMounten\u201c der Root-Partition, wird der Befehl partprobe ausgef\u00fchrt \u2013 er wird alle erstellten Partitionen auf den LUKS-Ger\u00e4ten finden und anlegen, und alle Arrays, sei es ZFS oder mdadm, werden problemlos erstellt! Und das alles vor dem Booten<\/b> der Hauptdienste und -services, die diese Festplatten\/Arrays ben\u00f6tigen.<\/p>\n
update1<\/b>: Wie beobachtet<\/a><\/noindex> AEP<\/a><\/noindex>, funktioniert diese Methode nur f\u00fcr LUKS1.
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0441\u0435\u043c \u0434\u043e\u0431\u0440\u043e\u0433\u043e \u0434\u043d\u044f, \u043d\u043e\u0447\u0438! \u042d\u0442\u043e\u0442 \u043f\u043e\u0441\u0442 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0442\u0435\u043c, \u043a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 LUKS \u0438 \u0445\u043e\u0447\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c decrypt\u0434\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0434\u0438\u0441\u043a\u043e\u0432 \u043f\u043e\u0434 Linux (Debian, Ubuntu) \u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 root \u0440\u0430\u0437\u0434\u0435\u043b\u0430. \u0418 \u0442\u0430\u043a\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u044f \u043d\u0430\u0439\u0442\u0438 \u043d\u0435 \u0441\u043c\u043e\u0433. \u0421\u043e\u0432\u0441\u0435\u043c \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0441 \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0434\u0438\u0441\u043a\u043e\u0432 \u0432 \u043f\u043e\u043b\u043a\u0430\u0445, \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0441\u044f \u0441 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043e\u0439 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0434\u0438\u0441\u043a\u043e\u0432 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-35652","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Entschl\u00fcsselung des LUKS-Containers beim Systemstart | ProHoster","description":"Einen guten Tag oder Nacht allerseits! Dieser Beitrag wird f\u00fcr diejenigen n\u00fctzlich sein, die die LUKS-Datenverschl\u00fcsselung verwenden und die Entschl\u00fcsselung von Festplatten unter Linux (Debian, Ubuntu) w\u00e4hrend der Entschl\u00fcsselung der Root-Partition durchf\u00fchren m\u00f6chten.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 LUKS \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b | ProHoster","og:description":"\u0412\u0441\u0435\u043c \u0434\u043e\u0431\u0440\u043e\u0433\u043e \u0434\u043d\u044f, \u043d\u043e\u0447\u0438! \u042d\u0442\u043e\u0442 \u043f\u043e\u0441\u0442 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0442\u0435\u043c, \u043a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 LUKS \u0438 \u0445\u043e\u0447\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c decrypt\u0434\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0434\u0438\u0441\u043a\u043e\u0432 \u043f\u043e\u0434 Linux (Debian, Ubuntu) \u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 root \u0440\u0430\u0437\u0434\u0435\u043b\u0430.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:05:33+00:00","article:modified_time":"2019-10-31T19:05:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"35652","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-22 00:12:43","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:58:29","updated":"2026-01-22 00:12:43","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/35652","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=35652"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/35652\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=35652"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=35652"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=35652"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}