LUKS-konteineri dekrüpteerimine süsteemi käivitamise ajal

Tere kõigile, olgu päev või öö! See postitus on kasulik neile, kes kasutavad LUKS-andmete krüpteerimist ja soovivad Linuxis (Debian, Ubuntu) kettasid dekrüpteerida root-partitsiooni dekrüpteerimise etapis. Sellist teavet internetist ei leidnud.

Hiljuti, seoses kettade arvu suurenemisega riiulitel, sattusin probleemile, et dekodeerida kettaid tuntud meetodi kaudu /etc/crypttab. Isiklikult toin välja mitu probleemi selle meetodi kasutamisel, nimelt see, et faili loetakse ainult pärast root-partitsiooni laadimist, mis mõjutab negatiivselt ZFS-i importimist, eriti kui need on koostatud *_crypt seadmetelt või mdadm RAID-idelt, mis on samuti koostatud partitsioonidelt. Me kõik teame, et LUKS-konteinerite puhul saab kasutada parted'i? Ja samuti on probleem varase käivitamisega teiste teenuste puhul, kui massiive ei ole veel, aga kasutama kui juba on midagi vajalik (töötan klastritud Proxmox VE 5.x ja ZFS üle iSCSI).

Veidi ZFS over iSCSI-stiSCSI töötab mul läbi LIO ja kui iscsi-k_target käivitub ning ei näe ZVOL seadmeid, siis eemaldab ta need lihtsalt konfiguratsioonist, mis ei võimalda külalissüsteemidel käivituda. Sellest tulenevalt on kas json-faili varundamine või seadmete käsitsi lisamine iga VM-i identifikaatoritega, mis on lihtsalt kohutav, kui selliseid masinaid on kümneid ja iga konfiguratsioonis rohkem kui 1 ketas.

Ja teine küsimus, mida käsitlen, on see, millega dekrüpteerida (see on artikli võtme punkt). Ja sellest räägime allpool, tulge lugema!

Sageli kasutatakse internetis võtme faili (loomulikult eelnevalt antud slotti käsuga — cryptsetup luksAddKey), või harvadel juhtudel (venekeelses internetis on teave väga piiratud) — skripti decrypt_derived, mis asub /lib/cryptsetup/script/ (loomulikult on veel meetodeid, kuid ma kasutasin just neid kahte, mis on artikli aluseks). Samuti sihiksin täielikku autonoomset käivitamist pärast taaskäivitusi, ilma et peaksin terminalis täiendavalt käske sisestama, et kõik minu jaoks kohe „töötaks”. Nii et, miks oodata? —

Alustame!

Oletame, et meil on süsteem, näiteks Debian, paigaldatud krüpteeritud osale sda3_crypt ja tosin ketast, mis on valmis krüpteerimiseks ja mille kohta on kõik, mida südame soovib. Meil on võtme fraas (passphrase) sda3_crypti avamiseks ja just sellest osast me võtame töötava (dekrüpteeritud) süsteemi pealt paroolilt „hashi” ja lisame selle teistele ketastele. Kõik on elementaarne, sisestame konsoolis:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

kus X on meie kettad, osad jne.

Pärast ketaste krüpteerimist meie võtme-fraasi „heshiga” on vajalik teada UUID-d või ID-d — sõltuvalt sellest, kes ja millega harjunud on. Saame andmed aadressilt /dev/disk/by-uuid ja by-id vastavalt.

Järgmiseks etapiks on failide ja mini-skriptide ettevalmistamine, et meie vajalikud funktsioonid töötaksid, alustame:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/ 
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

edasi

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

Sisu ..decrypt

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

edasi

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

Sisu ..partcopy

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

veel natuke

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

Sisu ..partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

ja viimane, enne update-initramfs-i, peame redigeerima faili /etc/initramfs-tools/scripts/local-top/cryptroot, alustades reast ~360, allpool olev koodinäide

Originaal

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

ja viima sellisesse vormi

Redigeeritud

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

Pange tähele, et siin saab kasutada nii UUID-d kui ka ID-d. Oluline on, et vajalikud draiverid HDD/SSD seadmetele oleksid lisatud /etc/initramfs-tools/modules. Kasutatava draiveri selgitamiseks saab kasutada käsku udevadm info -a -n /dev/sdX | egrep ‘looking|DRIVER’.

Nüüd, kui oleme lõpetanud ja kõik failid on kohal, käivitame update-initramfs -u -k all -v, logimises ei tohi olla meie skriptide täitmise vigu. Taaskäivitame, sisestame võtme-fraasi ja ootame natuke, sõltuvalt ketaste arvust. Edasi käivitub süsteem ja käivitamise lõppstaadiumis, nimelt pärast root-osade „mountimist”, täidetakse käsk partprobe — see leiab ja ühendab kõik LUKS seadmetes loodud osad ning kõik massiivid, olgu need ZFS või mdadm, koosnevad ilma probleemideta! Ja kõik see enne põhiteenuste ja -teenuste laadimist, mis vajavad neid kettaid/massiive. update1

: KuidasAEP , et tihti ei kasutata nende lihtsate toimingute täitmiseks kõige optimaalsemaid lahendusi: alates , see meetod töötab ainult LUKS1 jaoks.Windows, PowerShell ja pikad teed

Allikas: habr.com