{"id":35652,"date":"2019-10-31T22:05:33","date_gmt":"2019-10-31T19:05:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy\/"},"modified":"2019-10-31T22:05:33","modified_gmt":"2019-10-31T19:05:33","slug":"rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","title":{"rendered":"Entschl\u00fcsselung von LUKS-Containern beim Systemstart","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo zusammen! Dieser Beitrag wird f\u00fcr diejenigen n\u00fctzlich sein, die LUKS-Datenverschl\u00fcsselung verwenden und Festplatten unter Linux (Debian, Ubuntu) entschl\u00fcsseln m\u00f6chten. in der Phase der Entschl\u00fcsselung der Root-Partition.<\/b>So eine Information habe ich im Internet nicht finden k\u00f6nnen.<\/p>\n

K\u00fcrzlich, mit der zunehmenden Anzahl von Festplatten in den Regalen, stie\u00df ich auf das Problem, Festplatten mit dem weithin bekannten Verfahren \u00fcber \/etc\/crypttab zu entschl\u00fcsseln. Pers\u00f6nlich sehe ich mehrere Probleme bei der Verwendung dieser Methode, insbesondere, dass die Datei nur nach dem Einh\u00e4ngen (mount) der Root-Partition gelesen wird,<\/b>was sich negativ auf den Import von ZFS auswirkt, insbesondere wenn sie aus Partitionen auf einem *_crypt-Ger\u00e4t oder mdadm-RAIDs erstellt wurden, die ebenfalls aus Partitionen stammen. Wir wissen doch alle, dass man parted auf LUKS-Containern verwenden kann?<\/i> Und auch das Problem des fr\u00fchen Starts anderer Dienste, wenn die Arrays noch nicht existieren, aber eingesetzt zu werden.<\/b> bereits etwas ben\u00f6tigt wird (ich arbeite mit clustered Proxmox VE 5.x und ZFS \u00fcber iSCSI).<\/p>\n

Ein paar Worte zu ZFS \u00fcber iSCSI<\/b>iSCSI funktioniert bei mir \u00fcber LIO. Wenn der iSCSI-Target startet und die ZVOL-Ger\u00e4te nicht sieht, entfernt er sie einfach aus der Konfiguration, was die Bootm\u00f6glichkeiten der Gastbetriebssysteme einschr\u00e4nkt. Daher bleibt entweder die Wiederherstellung der Backup-JSON-Datei oder das manuelle Hinzuf\u00fcgen der Ger\u00e4te mit den Identifikatoren jeder VM, was einfach schrecklich ist, wenn es Dutzende Maschinen gibt und jede mehr als eine Festplatte in der Konfiguration hat.<\/p>\n

Die zweite Frage, die ich behandeln m\u00f6chte, ist, womit die Entschl\u00fcsselung durchgef\u00fchrt wird (das ist der Schl\u00fcsselpunkt des Artikels). Und dar\u00fcber werden wir gleich sprechen, bleiben Sie dran!
\n<\/a><\/noindex>
\nAm h\u00e4ufigsten wird im Internet eine Schl\u00fcsseldatei verwendet (nat\u00fcrlich zuvor mit dem Befehl \u2014 cryptsetup luksAddKey hinzugef\u00fcgt), oder in seltenen Ausnahmen (in der russischsprachigen Internetwelt gibt es sehr begrenzte Informationen) \u2014 das Skript decrypt_derived, das sich in \/lib\/cryptsetup\/script\/ befindet (es gibt sicherlich noch weitere M\u00f6glichkeiten, aber ich habe genau diese beiden verwendet, die die Grundlage des Artikels bilden). Ich habe zudem angestrebt, dass alles nach Neustarts vollkommen autonom hochf\u00e4hrt, ohne zus\u00e4tzliche Befehle in der Konsole, damit ich sofort loslegen kann. Warum also warten? \u2014 <\/p>\n

Legen wir los!<\/p>\n

Stellen Sie sich ein System vor, zum Beispiel Debian, das auf der verschl\u00fcsselten Partition sda3_crypt installiert ist, mit einer Vielzahl von Festplatten, die bereit sind, verschl\u00fcsselt zu werden und alles M\u00f6gliche zu schaffen. Wir haben einen Schl\u00fcsselphrase (Passphrase), um sda3_crypt zu entschl\u00fcsseln, und von dieser Partition werden wir im laufenden (entschl\u00fcsselten) System einen \u201eHash\u201c unseres Passwortes erstellen und ihn auf die anderen Festplatten hinzuf\u00fcgen. Es ist ganz einfach, f\u00fchren Sie in der Konsole aus:<\/p>\n

\/lib\/cryptsetup\/scripts\/decrypt_derived sda3_crypt | cryptsetup luksFormat \/dev\/sdX<\/code><\/pre>\n
\nwobei X unsere Festplatten, Partitionen usw. darstellt.<\/p>\n
Nach der Verschl\u00fcsselung der Festplatten mit dem \u201eHash\u201c unserer Schl\u00fcsselphrase m\u00fcssen wir die UUID oder ID herausfinden \u2013 je nach Vorliebe. Stellen Sie die Daten aus \/dev\/disk\/by-uuid und by-id entsprechend sicher.<\/p>\n
Der n\u00e4chste Schritt besteht darin, die erforderlichen Dateien und Mini-Skripte f\u00fcr die Funktionen vorzubereiten, die wir ben\u00f6tigen, also legen wir los:<\/p>\n
cp -p \/usr\/share\/initramfs-tools\/hooks\/cryptroot \/etc\/initramfs-tools\/hooks\/\ncp -p \/usr\/share\/initramfs-tools\/scripts\/local-top\/cryptroot \/etc\/initramfs-tools\/scripts\/local-top\/<\/code><\/pre>\n
\nweiter<\/p>\n
touch \/etc\/initramfs-tools\/hooks\/decrypt && chmod +x \/etc\/initramfs-tools\/hooks\/decrypt<\/code><\/pre>\n
\nInhalt von ..\/decrypt<\/b><\/p>\n
#!\/bin\/sh\n\ncp -p \/lib\/cryptsetup\/scripts\/decrypt_derived \"$DESTDIR\/bin\/decrypt_derived\"<\/code><\/pre>\n
weiter<\/p>\n
touch \/etc\/initramfs-tools\/hooks\/partcopy && chmod +x \/etc\/initramfs-tools\/hooks\/partcopy<\/code><\/pre>\n
\nInhalt von ..\/partcopy<\/b><\/p>\n
#!\/bin\/sh\n\ncp -p \/sbin\/partprobe \"$DESTDIR\/bin\/partprobe\"\ncp -p \/lib\/x86_64-linux-gnu\/libparted.so.2 \"$DESTDIR\/lib\/x86_64-linux-gnu\/libparted.so.2\"\ncp -p \/lib\/x86_64-linux-gnu\/libreadline.so.7 \"$DESTDIR\/lib\/x86_64-linux-gnu\/libreadline.so.7\"<\/code><\/pre>\n
noch ein bisschen<\/p>\n
touch \/etc\/initramfs-tools\/scripts\/local-bottom\/partprobe && chmod +x \/etc\/initramfs-tools\/scripts\/local-bottom\/partprobe<\/code><\/pre>\n
\nInhalt von ..\/partprobe<\/b><\/p>\n
#!\/bin\/sh\n\n$DESTDIR\/bin\/partprobe<\/code><\/pre>\n
Und zuletzt, vor dem update-initramfs, muss die Datei \/etc\/initramfs-tools\/scripts\/local-top\/cryptroot ab Zeile ~360 bearbeitet werden, wie im folgenden Codeausschnitt dargestellt.<\/p>\n
Original<\/b><\/p>\n
\n                # decrease $count by 1, apparently last try was successful.\n                count=$(( $count - 1 ))\n                \n                message \"cryptsetup ($crypttarget): set up successfully\"\n                break\n<\/code><\/pre>\n
und in folgende Form gebracht werden.<\/p>\n
Bearbeitet.<\/b><\/p>\n
\n                # decrease $count by 1, apparently last try was successful.\n                count=$(( $count - 1 ))\n                \n\n                \/bin\/decrypt_derived $crypttarget | cryptsetup luksOpen \/dev\/disk\/by-uuid\/ *CRYPT_MAP*\n                \/bin\/decrypt_derived $crypttarget | cryptsetup luksOpen \/dev\/disk\/by-id\/ *CRYPT_MAP*\n\n                message \"cryptsetup ($crypttarget): set up successfully\"\n                break<\/code><\/pre>\n
Bitte beachten Sie, dass hier entweder die UUID oder die ID verwendet werden kann. Wichtig ist, dass die ben\u00f6tigten Treiber f\u00fcr die HDD\/SSD-Ger\u00e4te in \/etc\/initramfs-tools\/modules hinzugef\u00fcgt werden. Den verwendeten Treiber erfahren Sie mit dem Befehl. udevadm info -a -n \/dev\/sdX | egrep 'looking|DRIVER'<\/i>.<\/p>\n
Jetzt, wo wir fertig sind und alle Dateien an ihrem Platz sind, f\u00fchren wir aus. update-initramfs -u -k all -v<\/i>, im Logging d\u00fcrfen keine<\/b> Fehler bei der Ausf\u00fchrung unserer Skripte auftreten. Wir starten neu, geben die Schl\u00fcsselphrase ein und warten etwas, abh\u00e4ngig von der Anzahl der Festplatten. Danach startet das System und im letzten Teil des Bootvorgangs, nachdem die Root-Partition \u201egemountet\u201c wurde, wird der Befehl partprobe ausgef\u00fchrt \u2014 dieser findet und bindet alle erstellten Partitionen auf LUKS-Ger\u00e4ten und alle Arrays, ob ZFS oder mdadm, werden problemlos zusammengef\u00fcgt! Und das alles vor dem Laden<\/b> der wesentlichen Dienste und Services, die diese Festplatten\/Arrays ben\u00f6tigen.<\/p>\n
update1<\/b>: Wie bemerkt<\/a><\/noindex> AEP<\/a><\/noindex>, funktioniert dieses Verfahren nur f\u00fcr LUKS1.
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0441\u0435\u043c \u0434\u043e\u0431\u0440\u043e\u0433\u043e \u0434\u043d\u044f, \u043d\u043e\u0447\u0438! \u042d\u0442\u043e\u0442 \u043f\u043e\u0441\u0442 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0442\u0435\u043c, \u043a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 LUKS \u0438 \u0445\u043e\u0447\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c decrypt\u0434\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0434\u0438\u0441\u043a\u043e\u0432 \u043f\u043e\u0434 Linux (Debian, Ubuntu) \u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 root \u0440\u0430\u0437\u0434\u0435\u043b\u0430. \u0418 \u0442\u0430\u043a\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u044f \u043d\u0430\u0439\u0442\u0438 \u043d\u0435 \u0441\u043c\u043e\u0433. \u0421\u043e\u0432\u0441\u0435\u043c \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0441 \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0434\u0438\u0441\u043a\u043e\u0432 \u0432 \u043f\u043e\u043b\u043a\u0430\u0445, \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0441\u044f \u0441 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043e\u0439 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0434\u0438\u0441\u043a\u043e\u0432 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-35652","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47LUKS-Container w\u00e4hrend des Systemstarts entschl\u00fcsseln | ProHoster","description":"Guten Tag oder gute Nacht zusammen! Dieser Beitrag ist n\u00fctzlich f\u00fcr alle, die Daten mit LUKS verschl\u00fcsseln und unter Linux (Debian, Ubuntu) eine Entschl\u00fcsselung der Festplatten beim Entschl\u00fcsseln des Root-Partitions durchf\u00fchren m\u00f6chten. Solche Informationen konnte ich im Internet nicht finden. Vor kurzem, als sich die Anzahl der Festplatten im Rack erh\u00f6hte, stie\u00df ich auf das Problem, Festplatten mit dem weit verbreiteten LUKS zu entschl\u00fcsseln.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 LUKS \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b | ProHoster","og:description":"\u0412\u0441\u0435\u043c \u0434\u043e\u0431\u0440\u043e\u0433\u043e \u0434\u043d\u044f, \u043d\u043e\u0447\u0438! \u042d\u0442\u043e\u0442 \u043f\u043e\u0441\u0442 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0442\u0435\u043c, \u043a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 LUKS \u0438 \u0445\u043e\u0447\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c decrypt\u0434\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0434\u0438\u0441\u043a\u043e\u0432 \u043f\u043e\u0434 Linux (Debian, Ubuntu) \u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 root \u0440\u0430\u0437\u0434\u0435\u043b\u0430. \u0418 \u0442\u0430\u043a\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u044f \u043d\u0430\u0439\u0442\u0438 \u043d\u0435 \u0441\u043c\u043e\u0433. \u0421\u043e\u0432\u0441\u0435\u043c \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0441 \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0434\u0438\u0441\u043a\u043e\u0432 \u0432 \u043f\u043e\u043b\u043a\u0430\u0445, \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0441\u044f \u0441 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043e\u0439 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0434\u0438\u0441\u043a\u043e\u0432 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:05:33+00:00","article:modified_time":"2019-10-31T19:05:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"35652","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-22 00:12:43","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:58:29","updated":"2026-01-22 00:12:43"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/35652","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=35652"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/35652\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=35652"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=35652"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=35652"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}