🥇सिस्टम बूट समय पर एक LUKS कंटेनर को डिक्रिप्ट करना

सभी का दिन और रात शुभ हो! यह पोस्ट उन लोगों के लिए उपयोगी होगी जो एलयूकेएस डेटा एन्क्रिप्शन का उपयोग करते हैं और लिनक्स (डेबियन, उबंटू) के तहत डिस्क को डिक्रिप्ट करना चाहते हैं। रूट विभाजन को डिक्रिप्ट करने के चरण. और मुझे इंटरनेट पर ऐसी कोई जानकारी नहीं मिली.

हाल ही में, अलमारियों में डिस्क की संख्या में वृद्धि के साथ, मुझे /etc/crypttab के माध्यम से अधिक प्रसिद्ध विधि का उपयोग करके डिस्क को डिक्रिप्ट करने की समस्या का सामना करना पड़ा। व्यक्तिगत रूप से, मैं इस पद्धति का उपयोग करने में कुछ समस्याओं पर प्रकाश डालता हूं, अर्थात् फ़ाइल को पढ़ा जा रहा है रूट विभाजन को लोड (माउंट) करने के बाद ही, जो ZFS आयात को नकारात्मक रूप से प्रभावित करता है, विशेष रूप से यदि वे *_क्रिप्ट डिवाइस पर विभाजन से बनाए गए थे, या विभाजन से निर्मित mdadm छापे भी। हम सभी जानते हैं कि आप पार्टेड ऑन एलयूकेएस कंटेनरों का उपयोग कर सकते हैं, है ना? और अन्य सेवाओं की शीघ्र शुरुआत की समस्या भी, जब अभी तक कोई सरणियाँ नहीं हैं, लेकिन उपयोग करने के लिए मुझे पहले से ही कुछ चाहिए (मैं iSCSI पर क्लस्टर्ड Proxmox VE 5.x और ZFS के साथ काम करता हूं)।

ZFSoverISCSI के बारे में थोड़ाiSCSI मेरे लिए LIO के माध्यम से काम करता है, और वास्तव में, जब iscsi लक्ष्य प्रारंभ होता है और ZVOL डिवाइस नहीं देखता है, तो यह बस उन्हें कॉन्फ़िगरेशन से हटा देता है, जो अतिथि सिस्टम को बूट होने से रोकता है। इसलिए, या तो एक json फ़ाइल बैकअप को पुनर्स्थापित करना, या मैन्युअल रूप से प्रत्येक VM के लिए पहचानकर्ताओं के साथ डिवाइस जोड़ना, जो कि तब भयानक होता है जब दर्जनों ऐसी मशीनें होती हैं और प्रत्येक कॉन्फ़िगरेशन में 1 से अधिक डिस्क होती है।

और दूसरा प्रश्न जिस पर मैं विचार करूंगा वह यह है कि डिक्रिप्ट कैसे किया जाए (यह लेख का मुख्य बिंदु है)। और हम इसके बारे में नीचे बात करेंगे, कट के नीचे जाएँ!

अक्सर, इंटरनेट पर, एक कुंजी फ़ाइल का उपयोग किया जाता है (इससे पहले कमांड द्वारा स्लॉट में स्वयं जोड़ा जाता है - cryptsetup luksAddKey), या दुर्लभ अपवादों में (रूसी भाषा के इंटरनेट पर बहुत कम जानकारी है) - डिक्रिप्ट_व्युत्पन्न स्क्रिप्ट /lib/cryptsetup/script/ में स्थित है (बेशक, अन्य तरीके भी हैं, लेकिन मैंने इन दोनों का उपयोग किया, जिसने लेख का आधार बनाया)। मैंने रीबूट के बाद कंसोल में किसी भी अतिरिक्त कमांड के बिना पूर्ण स्वायत्त समावेशन के लिए भी प्रयास किया, ताकि मेरे लिए सब कुछ एक ही बार में "उड़ जाए"। इसलिए, इंतज़ार क्यों करें? —

आएँ शुरू करें!

आइए मान लें कि डेबियन जैसा एक सिस्टम, sda3_crypt क्रिप्टो विभाजन पर स्थापित है और एक दर्जन डिस्क एन्क्रिप्ट होने और आपके दिल की सामग्री के लिए तैयार होने के लिए तैयार है। हमारे पास sda3_crypt को अनलॉक करने के लिए एक पासफ़्रेज़ (पासफ़्रेज़) है, और यह इस विभाजन से है कि हम चल रहे (डिक्रिप्टेड) सिस्टम पर पासवर्ड से "हैश" हटा देंगे और इसे बाकी डिस्क में जोड़ देंगे। सब कुछ प्राथमिक है, कंसोल में हम निष्पादित करते हैं:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

जहां X हमारी डिस्क, विभाजन आदि है।

हमारे पासफ़्रेज़ से "हैश" के साथ डिस्क को एन्क्रिप्ट करने के बाद, आपको यूयूआईडी या आईडी का पता लगाना होगा - यह इस बात पर निर्भर करता है कि कौन क्या और क्या उपयोग करता है। हम क्रमशः /dev/disk/by-uuid और by-id से डेटा लेते हैं।

अगला चरण उन कार्यों के लिए फ़ाइलें और मिनी-स्क्रिप्ट तैयार करना है जिन पर हमें काम करने की आवश्यकता है, आइए आगे बढ़ें:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

../डिक्रिप्ट की सामग्री

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

../पार्टकॉपी की सामग्री

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

कुछ और

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

सामग्री ../partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

और अंत में, update-initramfs से पहले, आपको /etc/initramfs-tools/scripts/local-top/cryptroot फ़ाइल को संपादित करना होगा, लाइन ~360 से शुरू करते हुए, नीचे दिए गए कोड स्निपेट

मूल


                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

और इसे इस रूप में लाएँ

संपादित


                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

ध्यान दें कि यहां यूयूआईडी या आईडी में से किसी एक का उपयोग किया जा सकता है। मुख्य बात यह है कि HDD/SSD उपकरणों के लिए आवश्यक ड्राइवर /etc/initramfs-tools/modules में जोड़े जाते हैं। आप कमांड से पता लगा सकते हैं कि किस ड्राइवर का उपयोग किया जा रहा है udevadm जानकारी -a -n /dev/sdX | egrep 'देख रहा हूँ|ड्राइवर'.

अब जब हमारा काम पूरा हो गया है और सभी फ़ाइलें अपनी जगह पर हैं, तो चलाएँ अद्यतन-initramfs -u -k सभी -v, लॉगिंग में नहीं होना चाहिए हमारी स्क्रिप्ट की निष्पादन त्रुटियाँ। हम रिबूट करते हैं, पासफ़्रेज़ दर्ज करते हैं और डिस्क की संख्या के आधार पर थोड़ा इंतजार करते हैं। इसके बाद, सिस्टम शुरू हो जाएगा और लॉन्च के अंतिम चरण में, अर्थात् रूट विभाजन को "बढ़ाने" के बाद, पार्टप्रोब कमांड निष्पादित किया जाएगा - यह एलयूकेएस उपकरणों और किसी भी सरणी पर सभी बनाए गए विभाजन ढूंढेगा और उठाएगा, चाहे वह जेडएफएस हो या mdadm, बिना किसी समस्या के असेंबल किया जाएगा! और ये सब लोड करने से पहले मुख्य सेवाएँ और सेवाएँ जिन्हें इन डिस्क/सरणी की आवश्यकता है।

Update1: कैसे मैंने देखा है एईपी, यह विधि केवल LUKS1 के लिए काम करती है।

स्रोत: www.habr.com

सिस्टम बूट समय पर LUKS कंटेनर को डिक्रिप्ट करना

एक टिप्पणी जोड़ें उत्तर रद्द