{"id":35652,"date":"2019-10-31T22:05:33","date_gmt":"2019-10-31T19:05:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy\/"},"modified":"2019-10-31T22:05:33","modified_gmt":"2019-10-31T19:05:33","slug":"rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","title":{"rendered":"D\u00e9cryptage du conteneur LUKS au d\u00e9marrage du syst\u00e8me.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Bonjour \u00e0 tous, le jour ou la nuit ! Ce post sera utile pour ceux qui utilisent le chiffrement des donn\u00e9es LUKS et souhaitent d\u00e9chiffrer des disques sous Linux (Debian, Ubuntu) sur la phase de d\u00e9chiffrement de la partition root<\/b>. Et je n'ai pas r\u00e9ussi \u00e0 trouver cette information sur Internet.<\/p>\n

R\u00e9cemment, avec l'augmentation du nombre de disques dans les \u00e9tag\u00e8res, j'ai \u00e9t\u00e9 confront\u00e9 \u00e0 un probl\u00e8me de d\u00e9chiffrement des disques en utilisant la m\u00e9thode bien connue via \/etc\/crypttab. Personnellement, je souligne plusieurs probl\u00e8mes li\u00e9s \u00e0 l'utilisation de cette m\u00e9thode, en particulier le fait que le fichier est lu uniquement apr\u00e8s le montage de la partition root<\/b>, ce qui a un impact n\u00e9gatif sur l'importation de ZFS, notamment s'ils ont \u00e9t\u00e9 assembl\u00e9s \u00e0 partir de partitions sur un p\u00e9riph\u00e9rique *_crypt, ou des RAID mdadm assembl\u00e9s \u00e9galement \u00e0 partir de partitions. Nous savons tous qu'il est possible d'utiliser parted sur des conteneurs LUKS ?<\/i> Et il y a aussi le probl\u00e8me de l'initialisation pr\u00e9coce d'autres services, alors que les volumes ne sont pas encore disponibles, et d'utiliser<\/b> il faut d\u00e9j\u00e0 quelque chose (je travaille avec Proxmox VE 5.x clusteris\u00e9 et ZFS sur iSCSI).<\/p>\n

Un peu sur ZFSoverISCSI<\/b>L'iSCSI fonctionne chez moi via LIO, et quand le cible iscsi d\u00e9marre et ne voit pas les p\u00e9riph\u00e9riques ZVOL, il les supprime simplement de la configuration, ce qui emp\u00eache les syst\u00e8mes invit\u00e9s de d\u00e9marrer. D'o\u00f9 soit la restauration d'un fichier de sauvegarde json, soit l'ajout manuel des p\u00e9riph\u00e9riques avec les identifiants de chaque VM, ce qui est tout simplement horrible lorsque l'on a des dizaines de ces machines et que chaque configuration en contient plus d'un disque.<\/p>\n

Et la deuxi\u00e8me question que je vais aborder est celle de la mani\u00e8re de d\u00e9chiffrer (c'est un point cl\u00e9 de l'article). Et nous en parlerons ci-dessous, allez-y pour lire !
\n<\/a><\/noindex>
\nLa plupart du temps, sur Internet, un fichier cl\u00e9 est utilis\u00e9 (bien entendu, ajout\u00e9 au pr\u00e9alable dans le slot avec la commande \u2014 cryptsetup luksAddKey), ou dans de rares exceptions (les informations en russe sont tr\u00e8s limit\u00e9es) \u2014 le script decrypt_derived, situ\u00e9 dans \/lib\/cryptsetup\/script\/ (bien s\u00fbr, il y a d'autres m\u00e9thodes, mais j'ai utilis\u00e9 ces deux-l\u00e0, ce qui a servi de base \u00e0 l'article). J'aspirais \u00e9galement \u00e0 un d\u00e9marrage compl\u00e8tement autonome apr\u00e8s des red\u00e9marrages, sans commande suppl\u00e9mentaire dans la console, afin que tout \u00ab d\u00e9colle \u00bb imm\u00e9diatement. Alors, pourquoi attendre ? \u2014 <\/p>\n

Passons \u00e0 l'action !<\/p>\n

Nous supposons un syst\u00e8me, par exemple Debian, install\u00e9 sur une partition crypto sda3_crypt et une dizaine de disques pr\u00eats \u00e0 \u00eatre chiffr\u00e9s et \u00e0 cr\u00e9er ce que l'on souhaite. Nous avons une phrase de passe (passphrase) pour d\u00e9verrouiller sda3_crypt et c'est de cette partition que nous allons extraire le \u00ab hachage \u00bb du mot de passe sur le syst\u00e8me en cours d'ex\u00e9cution (d\u00e9crypt\u00e9) et l'ajouter aux autres disques. Tout est \u00e9l\u00e9mentaire, en ex\u00e9cutant dans la console :<\/p>\n

\/lib\/cryptsetup\/scripts\/decrypt_derived sda3_crypt | cryptsetup luksFormat \/dev\/sdX<\/code><\/pre>\n
\no\u00f9 X repr\u00e9sente nos disques, partitions, etc.<\/p>\n
Apr\u00e8s avoir chiffr\u00e9 les disques avec le \u00ab hachage \u00bb de notre phrase cl\u00e9, il est n\u00e9cessaire de conna\u00eetre l'UUID ou l'ID - selon ce \u00e0 quoi chacun est habitu\u00e9. Nous prenons les donn\u00e9es de \/dev\/disk\/by-uuid et by-id respectivement.<\/p>\n
La prochaine \u00e9tape consiste \u00e0 pr\u00e9parer les fichiers et les mini-scripts n\u00e9cessaires \u00e0 nos fonctions, alors commen\u00e7ons :<\/p>\n
cp -p \/usr\/share\/initramfs-tools\/hooks\/cryptroot \/etc\/initramfs-tools\/hooks\/\ncp -p \/usr\/share\/initramfs-tools\/scripts\/local-top\/cryptroot \/etc\/initramfs-tools\/scripts\/local-top\/<\/code><\/pre>\n
\nensuite<\/p>\n
touch \/etc\/initramfs-tools\/hooks\/decrypt && chmod +x \/etc\/initramfs-tools\/hooks\/decrypt<\/code><\/pre>\n
\nContenu .. \/decrypt<\/b><\/p>\n
#!\/bin\/sh\n\ncp -p \/lib\/cryptsetup\/scripts\/decrypt_derived \"$DESTDIR\/bin\/decrypt_derived\"<\/code><\/pre>\n
ensuite<\/p>\n
touch \/etc\/initramfs-tools\/hooks\/partcopy && chmod +x \/etc\/initramfs-tools\/hooks\/partcopy<\/code><\/pre>\n
\nContenu .. \/partcopy<\/b><\/p>\n
#!\/bin\/sh\n\ncp -p \/sbin\/partprobe \"$DESTDIR\/bin\/partprobe\"\ncp -p \/lib\/x86_64-linux-gnu\/libparted.so.2 \"$DESTDIR\/lib\/x86_64-linux-gnu\/libparted.so.2\"\ncp -p \/lib\/x86_64-linux-gnu\/libreadline.so.7 \"$DESTDIR\/lib\/x86_64-linux-gnu\/libreadline.so.7\"<\/code><\/pre>\n
encore un peu<\/p>\n
touch \/etc\/initramfs-tools\/scripts\/local-bottom\/partprobe && chmod +x \/etc\/initramfs-tools\/scripts\/local-bottom\/partprobe<\/code><\/pre>\n
\nContenu .. \/partprobe<\/b><\/p>\n
#!\/bin\/sh\n\n$DESTDIR\/bin\/partprobe<\/code><\/pre>\n
et enfin, avant update-initramfs, il faut \u00e9diter le fichier \/etc\/initramfs-tools\/scripts\/local-top\/cryptroot, \u00e0 partir de la ligne ~360, extrait de code ci-dessous<\/p>\n
Original<\/b><\/p>\n
\n                # decrease $count by 1, apparently last try was successful.\n                count=$(( $count - 1 ))\n                \n                message \"cryptsetup ($crypttarget): set up successfully\"\n                break\n<\/code><\/pre>\n
et le pr\u00e9senter comme suit<\/p>\n
Le fichier modifi\u00e9<\/b><\/p>\n
\n                # decrease $count by 1, apparently last try was successful.\n                count=$(( $count - 1 ))\n                \n\n                \/bin\/decrypt_derived $crypttarget | cryptsetup luksOpen \/dev\/disk\/by-uuid\/ *CRYPT_MAP*\n                \/bin\/decrypt_derived $crypttarget | cryptsetup luksOpen \/dev\/disk\/by-id\/ *CRYPT_MAP*\n\n                message \"cryptsetup ($crypttarget): set up successfully\"\n                break<\/code><\/pre>\n
Notez qu'ici vous pouvez utiliser soit UUID, soit ID. L'essentiel est que les pilotes n\u00e9cessaires pour les p\u00e9riph\u00e9riques HDD\/SSD soient ajout\u00e9s dans \/etc\/initramfs-tools\/modules. Pour conna\u00eetre le pilote utilis\u00e9, vous pouvez ex\u00e9cuter la commande udevadm info -a -n \/dev\/sdX | egrep 'looking|DRIVER'<\/i>.<\/p>\n
Maintenant que nous avons termin\u00e9 et que tous les fichiers sont en place, ex\u00e9cutons update-initramfs -u -k all -v<\/i>, dans les logs il ne devrait pas y avoir<\/b> d'erreurs d'ex\u00e9cution de nos scripts. Nous red\u00e9marrons, saisissons la phrase cl\u00e9 et attendons un peu, selon le nombre de disques. Ensuite, le syst\u00e8me d\u00e9marrera et \u00e0 la phase finale de d\u00e9marrage, apr\u00e8s le \u00ab montage \u00bb de la partition root, la commande partprobe sera ex\u00e9cut\u00e9e - elle trouvera et attachera toutes les partitions cr\u00e9\u00e9es sur les appareils LUKS et tous les volumes, qu'il s'agisse de ZFS ou mdadm, seront mont\u00e9s sans probl\u00e8me ! Et tout cela avant le d\u00e9marrage<\/b> des services et des syst\u00e8mes principaux qui n\u00e9cessitent ces disques\/volumes.<\/p>\n
update1<\/b>: Comme remarqu\u00e9<\/a><\/noindex> AEP<\/a><\/noindex>, cette m\u00e9thode fonctionne uniquement pour LUKS1.
\n
Source : habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0441\u0435\u043c \u0434\u043e\u0431\u0440\u043e\u0433\u043e \u0434\u043d\u044f, \u043d\u043e\u0447\u0438! \u042d\u0442\u043e\u0442 \u043f\u043e\u0441\u0442 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0442\u0435\u043c, \u043a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 LUKS \u0438 \u0445\u043e\u0447\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c decrypt\u0434\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0434\u0438\u0441\u043a\u043e\u0432 \u043f\u043e\u0434 Linux (Debian, Ubuntu) \u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 root \u0440\u0430\u0437\u0434\u0435\u043b\u0430. \u0418 \u0442\u0430\u043a\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435 \u044f \u043d\u0430\u0439\u0442\u0438 \u043d\u0435 \u0441\u043c\u043e\u0433. \u0421\u043e\u0432\u0441\u0435\u043c \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0441 \u0443\u0432\u0435\u043b\u0438\u0447\u0435\u043d\u0438\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0430 \u0434\u0438\u0441\u043a\u043e\u0432 \u0432 \u043f\u043e\u043b\u043a\u0430\u0445, \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0441\u044f \u0441 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u043e\u0439 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 \u0434\u0438\u0441\u043a\u043e\u0432 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-35652","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 D\u00e9chiffrage du conteneur LUKS au moment du d\u00e9marrage du syst\u00e8me | ProHoster","description":"Bonjour \u00e0 tous! Ce post sera utile pour ceux qui utilisent le chiffrement de donn\u00e9es LUKS et souhaitent d\u00e9chiffrer des disques sous Linux (Debian, Ubuntu) lors de la d\u00e9cryption de la partition root.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0430 LUKS \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b | ProHoster","og:description":"\u0412\u0441\u0435\u043c \u0434\u043e\u0431\u0440\u043e\u0433\u043e \u0434\u043d\u044f, \u043d\u043e\u0447\u0438! \u042d\u0442\u043e\u0442 \u043f\u043e\u0441\u0442 \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u043b\u0435\u0437\u0435\u043d \u0442\u0435\u043c, \u043a\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 LUKS \u0438 \u0445\u043e\u0447\u0435\u0442 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c decrypt\u0434\u0435\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u0434\u0438\u0441\u043a\u043e\u0432 \u043f\u043e\u0434 Linux (Debian, Ubuntu) \u043d\u0430 \u0441\u0442\u0430\u0434\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0438 root \u0440\u0430\u0437\u0434\u0435\u043b\u0430.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/rasshifrovka-luks-kontejnera-v-moment-zagruzki-sistemy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:05:33+00:00","article:modified_time":"2019-10-31T19:05:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"35652","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-22 00:12:43","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:58:29","updated":"2026-01-22 00:12:43","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/35652","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=35652"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/35652\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=35652"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=35652"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=35652"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}