Дешифрирање на контејнер LUKS при подигање на системот

Добар ден и ноќ на сите! Овој пост ќе биде корисен за оние кои користат шифрирање на податоци LUKS и сакаат да дешифрираат дискови под Linux (Debian, Ubuntu) на фаза на дешифрирање на root партицијата. И не можев да најдам такви информации на Интернет.

Неодамна, со зголемување на бројот на дискови на полиците, наидов на проблемот со дешифрирање на дискови со помош на повеќе од добро познатиот метод преку /etc/crypttab. Лично, истакнувам неколку проблеми со користењето на овој метод, имено дека датотеката се чита само по вчитување (монтирање) на root партицијата, што негативно влијае на увозот на ZFS, особено ако тие биле собрани од партиции на уред *_crypt или mdadm raids собрани од партиции. Сите знаеме дека може да се користи разделен на контејнерите на LUKS, нели? И, исто така, проблемот со предвремено започнување на други услуги, кога сè уште нема низи, и употреба Веќе ми треба нешто (работам со групирани Proxmox VE 5.x и ZFS преку iSCSI).

Малку за ZFSoverISCSIiSCSI ми работи преку LIO, а всушност, кога ќе стартува iscsi таргетот и не ги гледа ZVOL уредите, едноставно ги отстранува од конфигурацијата, што го спречува стартувањето на гостинските системи. Оттука, или враќање на резервната json датотека или рачно додавање уреди со идентификаторите на секој VM, што е едноставно страшно кога има десетици такви машини и секоја конфигурација има повеќе од 1 диск.

И второто прашање што ќе го разгледам е како да се дешифрира (ова е клучната точка на статијата). И ние ќе зборуваме за ова подолу, одете на сечењето!

Најчесто на Интернет користат клучна датотека (која автоматски се додава на слотот со командата - cryptsetup luksAddKey), или во ретки исклучоци (има многу малку информации за интернетот на руски јазик) - скриптата decrypt_derived, која се наоѓа во /lib/cryptsetup/script/ (се разбира, има и други начини, но јас ги користев овие два, кои ја формираа основата на статијата). Се стремев и кон целосно автономно активирање по рестартирање, без никакви дополнителни команди во конзолата, така што сè ќе ми „полета“ веднаш. Затоа, зошто да чекате? -

Да започнеме!

Претпоставуваме систем, на пример Debian, инсталиран на крипто партицијата sda3_crypt и десетина дискови подготвени да шифрираат и креираат што и да посака твоето срце. Имаме клучна фраза (лозинка) за отклучување sda3_crypt и токму од овој дел ќе го отстраниме „хашот“ на лозинката на работи (дешифриран) систем и ќе го додадеме на други дискови. Сè е елементарно, во конзолата извршуваме:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

каде што X се нашите дискови, партиции итн.

Откако ќе ги шифрирате дисковите со хаш од нашата клучна фраза, треба да го дознаете UUID или ID - во зависност од тоа кој на што е навикнат. Земаме податоци од /dev/disk/by-uuid и by-id, соодветно.

Следната фаза е подготовка на датотеки и мини-скрипти за функциите што треба да ги работиме, ајде да продолжиме:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

повеќе

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

Содржина на ../decrypt

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

повеќе

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

Содржина ../делкопија

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

малку повеќе

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

Содржина ../partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

и на крај, пред ажурирање-initramfs, треба да ја уредите датотеката /etc/initramfs-tools/scripts/local-top/cryptroot, почнувајќи од линијата ~360, дел од кодот подолу

Авторски

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

и доведете го во оваа форма

Изменето

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

Имајте предвид дека овде може да се користат или UUID или ID. Главната работа е што потребните драјвери за HDD/SSD уреди се додаваат во /etc/initramfs-tools/modules. Можете да дознаете кој двигател се користи со командата udevadm инфо -a -n /dev/sdX | egrep 'изгледа|ВОЗАЧ'.

Сега кога сме готови и сите датотеки се на место, трчаме ажурирање-initramfs -u -k сите -v, при најавување не смее да биде грешки во извршувањето на нашите скрипти. Се рестартираме, ја внесуваме клучната фраза и чекаме малку, во зависност од бројот на дискови. Следно, системот ќе започне и во последната фаза од стартувањето, имено по „монтажата“ на root партицијата, ќе се изврши командата partprobe - ќе ги пронајде и ги собере сите креирани партиции на уредите LUKS и сите низи, било да е тоа ZFS или mdadm, ќе се склопи без проблеми! И сето ова пред вчитување главните сервиси на кои им се потребни овие дискови/низи.

ажурирање1: Како забележано АЕП, овој метод работи само за LUKS1.

Извор: www.habr.com