{"id":35652,"date":"2019-10-31T22:05:33","date_gmt":"2019-10-31T19:05:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy\/"},"modified":"2019-10-31T22:05:33","modified_gmt":"2019-10-31T19:05:33","slug":"rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","title":{"rendered":"Descifrado del contenedor LUKS al arrancar el sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00a1Buen d\u00eda a todos! Esta publicaci\u00f3n ser\u00e1 \u00fatil para quienes utilizan el cifrado de datos LUKS y desean realizar la descifrado de discos en Linux (Debian, Ubuntu) en la etapa de descifrado de la partici\u00f3n root<\/b>. Y no pude encontrar esta informaci\u00f3n en Internet.<\/p>\n

Recientemente, al aumentar la cantidad de discos en las estanter\u00edas, me encontr\u00e9 con el problema de descifrar discos utilizando el conocido m\u00e9todo a trav\u00e9s de \/etc\/crypttab. Personalmente, destaco varios problemas con el uso de este m\u00e9todo, espec\u00edficamente que el archivo se lee solo despu\u00e9s de montar la partici\u00f3n root<\/b>, lo que afecta negativamente a la importaci\u00f3n de ZFS, especialmente si se han creado a partir de particiones en dispositivos *_crypt, o en los arreglos mdadm, que tambi\u00e9n se han formado a partir de particiones. Todos sabemos que se puede usar parted en contenedores LUKS, \u00bfverdad?<\/i> Y tambi\u00e9n est\u00e1 el problema del inicio temprano de otros servicios, cuando los arreglos a\u00fan no existen, pero utilizar<\/b> ya se necesita algo (trabajo con Proxmox VE 5.x en cl\u00fasteres y ZFS sobre iSCSI).<\/p>\n

Un poco sobre ZFS sobre iSCSI<\/b>El iSCSI funciona para m\u00ed a trav\u00e9s de LIO, y cuando el objetivo iscsi se inicia y no ve los dispositivos ZVOL, simplemente los elimina de la configuraci\u00f3n, lo que impide que los sistemas invitados arranquen. De aqu\u00ed que o bien restablecer el archivo de respaldo json, o a\u00f1adir manualmente los dispositivos con los identificadores de cada VM, lo cual es horroroso cuando hay decenas de tales m\u00e1quinas y en la configuraci\u00f3n de cada una m\u00e1s de un disco.<\/p>\n

Y la segunda pregunta que abordar\u00e9 es qu\u00e9 usar para realizar la descifrado (este es un punto clave del art\u00edculo). Y de esto hablaremos a continuaci\u00f3n, \u00a1as\u00ed que sigan leyendo!
\n<\/a><\/noindex>
\nCon mayor frecuencia, en Internet se utiliza un archivo clave (por supuesto, previamente agregado en el slot mediante el comando \u2014 cryptsetup luksAddKey), o en excepciones raras (en Internet de habla rusa la informaci\u00f3n es muy escasa) \u2014 el script decrypt_derived, que se encuentra en \/lib\/cryptsetup\/script\/ (por supuesto, hay otros m\u00e9todos, pero utilic\u00e9 precisamente estos dos, que constituyen la base del art\u00edculo). Tambi\u00e9n me esforc\u00e9 por lograr un encendido completamente aut\u00f3nomo despu\u00e9s de reinicios, sin ning\u00fan comando adicional en la consola, para que todo \u201cdespegara\u201d inmediatamente. Entonces, \u00bfpor qu\u00e9 esperar? \u2014 <\/p>\n

\u00a1Comencemos!<\/p>\n

Suponemos un sistema, como Debian, instalado en la partici\u00f3n cifrada sda3_crypt y una docena de discos listos para ser cifrados y crear lo que se desee. Tenemos una frase clave (passphrase) para desbloquear sda3_crypt y es de esta partici\u00f3n que extraeremos el \u00abhash\u00bb de la contrase\u00f1a en el sistema en ejecuci\u00f3n (desencriptado) y lo a\u00f1adiremos a los dem\u00e1s discos. Todo es elemental, en la consola ejecutamos:<\/p>\n

\/lib\/cryptsetup\/scripts\/decrypt_derived sda3_crypt | cryptsetup luksFormat \/dev\/sdX<\/code><\/pre>\n
\ndonde X son nuestros discos, particiones, etc.<\/p>\n
Despu\u00e9s de cifrar los discos con el \u00abhash\u00bb de nuestra frase clave, es necesario conocer el UUID o el ID, dependiendo de a qui\u00e9n y a qu\u00e9 est\u00e9 acostumbrado. Tomamos los datos de \/dev\/disk\/by-uuid y by-id respectivamente.<\/p>\n
El siguiente paso es preparar los archivos y mini-scripts para que las funciones que necesitamos funcionen, comencemos:<\/p>\n
cp -p \/usr\/share\/initramfs-tools\/hooks\/cryptroot \/etc\/initramfs-tools\/hooks\/\ncp -p \/usr\/share\/initramfs-tools\/scripts\/local-top\/cryptroot \/etc\/initramfs-tools\/scripts\/local-top\/<\/code><\/pre>\n
\na continuaci\u00f3n<\/p>\n
touch \/etc\/initramfs-tools\/hooks\/decrypt && chmod +x \/etc\/initramfs-tools\/hooks\/decrypt<\/code><\/pre>\n
\nContenido .. \/decrypt<\/b><\/p>\n
#!\/bin\/sh\n\ncp -p \/lib\/cryptsetup\/scripts\/decrypt_derived \"$DESTDIR\/bin\/decrypt_derived\"<\/code><\/pre>\n
a continuaci\u00f3n<\/p>\n
touch \/etc\/initramfs-tools\/hooks\/partcopy && chmod +x \/etc\/initramfs-tools\/hooks\/partcopy<\/code><\/pre>\n
\nContenido .. \/partcopy<\/b><\/p>\n
#!\/bin\/sh\n\ncp -p \/sbin\/partprobe \"$DESTDIR\/bin\/partprobe\"\ncp -p \/lib\/x86_64-linux-gnu\/libparted.so.2 \"$DESTDIR\/lib\/x86_64-linux-gnu\/libparted.so.2\"\ncp -p \/lib\/x86_64-linux-gnu\/libreadline.so.7 \"$DESTDIR\/lib\/x86_64-linux-gnu\/libreadline.so.7\"<\/code><\/pre>\n
un poco m\u00e1s<\/p>\n
touch \/etc\/initramfs-tools\/scripts\/local-bottom\/partprobe && chmod +x \/etc\/initramfs-tools\/scripts\/local-bottom\/partprobe<\/code><\/pre>\n
\nContenido .. \/partprobe<\/b><\/p>\n
#!\/bin\/sh\n\n$DESTDIR\/bin\/partprobe<\/code><\/pre>\n
y por \u00faltimo, antes de update-initramfs, es necesario editar el archivo \/etc\/initramfs-tools\/scripts\/local-top\/cryptroot, comenzando desde la l\u00ednea ~360, el fragmento de c\u00f3digo a continuaci\u00f3n<\/p>\n
Original<\/b><\/p>\n
\n                # decrease $count by 1, apparently last try was successful.\n                count=$(( $count - 1 ))\n                \n                message \"cryptsetup ($crypttarget): set up successfully\"\n                break\n<\/code><\/pre>\n
y lo formateamos de la siguiente manera<\/p>\n
Editado<\/b><\/p>\n
\n                # decrease $count by 1, apparently last try was successful.\n                count=$(( $count - 1 ))\n                \n\n                \/bin\/decrypt_derived $crypttarget | cryptsetup luksOpen \/dev\/disk\/by-uuid\/ *CRYPT_MAP*\n                \/bin\/decrypt_derived $crypttarget | cryptsetup luksOpen \/dev\/disk\/by-id\/ *CRYPT_MAP*\n\n                message \"cryptsetup ($crypttarget): set up successfully\"\n                break<\/code><\/pre>\n
Tenga en cuenta que aqu\u00ed se puede usar tanto UUID como ID. Lo importante es que los controladores necesarios para los dispositivos HDD\/SSD hayan sido a\u00f1adidos a \/etc\/initramfs-tools\/modules. Puede averiguar qu\u00e9 controlador se est\u00e1 utilizando con el comando udevadm info -a -n \/dev\/sdX | egrep 'looking|DRIVER'<\/i>.<\/p>\n
Ahora que hemos terminado y todos los archivos est\u00e1n en su lugar, ejecutamos update-initramfs -u -k all -v<\/i>, en los registros no deber\u00eda haber<\/b> errores en la ejecuci\u00f3n de nuestros scripts. Reiniciamos, introducimos la frase clave y esperamos un poco, dependiendo de la cantidad de discos. Luego el sistema se iniciar\u00e1 y en la etapa final de inicio, espec\u00edficamente despu\u00e9s de montar la partici\u00f3n ra\u00edz, se ejecutar\u00e1 el comando partprobe, que encontrar\u00e1 y conectar\u00e1 todas las particiones creadas en los dispositivos LUKS y cualquier array, ya sea ZFS o mdadm, se ensamblar\u00e1 sin problemas. Y todo esto antes de que se carguen<\/b> los principales servicios y servidores que necesitan estos discos\/arrays.<\/p>\n
update1<\/b>: Como observ\u00e9<\/a><\/noindex> AEP<\/a><\/noindex>, este m\u00e9todo solo funciona para LUKS1.
\n
Fuente: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0441\u0435\u043c \u0434\u043e\u0431\u0440\u043e\u0433\u043e \u0434\u043d\u044f, \u043d\u043e\u0447\u0438! \u042d\u0442\u043e\u0442 \u043f\u043e\u0441\u0442 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0442\u0435\u043c, \u043a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 LUKS \u0438 \u0445\u043e\u0447\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c decrypt\u0434\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0434\u0438\u0441\u043a\u043e\u0432 \u043f\u043e\u0434 Linux (Debian, Ubuntu) \u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 root \u0440\u0430\u0437\u0434\u0435\u043b\u0430. \u0418 \u0442\u0430\u043a\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u044f \u043d\u0430\u0439\u0442\u0438 \u043d\u0435 \u0441\u043c\u043e\u0433. \u0421\u043e\u0432\u0441\u0435\u043c \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0441 \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0434\u0438\u0441\u043a\u043e\u0432 \u0432 \u043f\u043e\u043b\u043a\u0430\u0445, \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0441\u044f \u0441 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043e\u0439 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0434\u0438\u0441\u043a\u043e\u0432 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-35652","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Desencriptaci\u00f3n del contenedor LUKS en el momento de iniciar el sistema | ProHoster","description":"\u00a1Buen d\u00eda o noche a todos! Esta publicaci\u00f3n ser\u00e1 \u00fatil para aquellos que utilizan el cifrado de datos LUKS y desean realizar la desencriptaci\u00f3n de discos en Linux (Debian, Ubuntu) durante la etapa de desencriptaci\u00f3n de la partici\u00f3n ra\u00edz.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 LUKS \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b | ProHoster","og:description":"\u0412\u0441\u0435\u043c \u0434\u043e\u0431\u0440\u043e\u0433\u043e \u0434\u043d\u044f, \u043d\u043e\u0447\u0438! \u042d\u0442\u043e\u0442 \u043f\u043e\u0441\u0442 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0442\u0435\u043c, \u043a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 LUKS \u0438 \u0445\u043e\u0447\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c decrypt\u0434\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0434\u0438\u0441\u043a\u043e\u0432 \u043f\u043e\u0434 Linux (Debian, Ubuntu) \u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 root \u0440\u0430\u0437\u0434\u0435\u043b\u0430.","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:05:33+00:00","article:modified_time":"2019-10-31T19:05:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"35652","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-22 00:12:43","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:58:29","updated":"2026-01-22 00:12:43","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/35652","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=35652"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/35652\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=35652"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=35652"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=35652"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}