സിസ്റ്റം ബൂട്ട് സമയത്ത് ഒരു LUKS കണ്ടെയ്‌നർ ഡീക്രിപ്റ്റ് ചെയ്യുന്നു

എല്ലാവർക്കും നല്ല രാവും പകലും! LUKS ഡാറ്റ എൻക്രിപ്ഷൻ ഉപയോഗിക്കുന്നവർക്കും Linux (Debian, Ubuntu) ന് കീഴിൽ ഡിസ്കുകൾ ഡീക്രിപ്റ്റ് ചെയ്യാൻ ആഗ്രഹിക്കുന്നവർക്കും ഈ പോസ്റ്റ് ഉപയോഗപ്രദമാകും. റൂട്ട് പാർട്ടീഷൻ ഡീക്രിപ്റ്റ് ചെയ്യുന്ന ഘട്ടങ്ങൾ. എനിക്ക് ഇന്റർനെറ്റിൽ അത്തരം വിവരങ്ങൾ കണ്ടെത്താൻ കഴിഞ്ഞില്ല.

അടുത്തിടെ, ഷെൽഫുകളിലെ ഡിസ്കുകളുടെ എണ്ണം വർദ്ധിച്ചതോടെ, /etc/crypttab വഴി കൂടുതൽ അറിയപ്പെടുന്ന രീതി ഉപയോഗിച്ച് ഡിസ്കുകൾ ഡീക്രിപ്റ്റ് ചെയ്യുന്ന പ്രശ്നം ഞാൻ നേരിട്ടു. വ്യക്തിപരമായി, ഈ രീതി ഉപയോഗിക്കുന്നതിലെ ചില പ്രശ്നങ്ങൾ ഞാൻ ഹൈലൈറ്റ് ചെയ്യുന്നു, അതായത് ഫയൽ വായിക്കുന്നു റൂട്ട് പാർട്ടീഷൻ ലോഡ് ചെയ്തതിനുശേഷം (മൌണ്ട്) മാത്രം, ഇത് ZFS ഇറക്കുമതികളെ പ്രതികൂലമായി ബാധിക്കുന്നു, പ്രത്യേകിച്ചും അവ *_crypt ഉപകരണത്തിലെ പാർട്ടീഷനുകളിൽ നിന്നോ പാർട്ടീഷനുകളിൽ നിന്നും നിർമ്മിച്ച mdadm റെയ്ഡുകളിൽ നിന്നോ നിർമ്മിച്ചതാണെങ്കിൽ. LUKS കണ്ടെയ്‌നറുകളിൽ നിങ്ങൾക്ക് പാർട്ടഡ് ഉപയോഗിക്കാമെന്ന് ഞങ്ങൾക്കെല്ലാം അറിയാം, അല്ലേ? മറ്റ് സേവനങ്ങൾ നേരത്തെ ആരംഭിക്കുന്നതിന്റെ പ്രശ്നവും, ഇതുവരെ അറേകളൊന്നും ഇല്ലാത്തപ്പോൾ, പക്ഷേ ഉപയോഗിക്കുക എനിക്ക് ഇതിനകം എന്തെങ്കിലും ആവശ്യമുണ്ട് (ഞാൻ ക്ലസ്റ്റേർഡ് Proxmox VE 5.x, ZFS എന്നിവയിൽ iSCSI-യിൽ പ്രവർത്തിക്കുന്നു).

ZFSoverISCSI-യെ കുറിച്ച് കുറച്ച്iSCSI എനിക്കുവേണ്ടി LIO വഴി പ്രവർത്തിക്കുന്നു, യഥാർത്ഥത്തിൽ iscsi ടാർഗെറ്റ് ആരംഭിക്കുമ്പോൾ ZVOL ഉപകരണങ്ങൾ കാണാതിരിക്കുമ്പോൾ, അത് കോൺഫിഗറേഷനിൽ നിന്ന് അവയെ നീക്കം ചെയ്യുന്നു, ഇത് ഗസ്റ്റ് സിസ്റ്റങ്ങളെ ബൂട്ട് ചെയ്യുന്നത് തടയുന്നു. അതിനാൽ, ഒന്നുകിൽ ഒരു json ഫയൽ ബാക്കപ്പ് പുനഃസ്ഥാപിക്കുക, അല്ലെങ്കിൽ ഓരോ VM-നും ഐഡന്റിഫയറുകളുള്ള ഉപകരണങ്ങൾ സ്വമേധയാ ചേർക്കുക, അത്തരം ഡസൻ കണക്കിന് മെഷീനുകൾ ഉള്ളതും ഓരോ കോൺഫിഗറേഷനും 1 ഡിസ്കിൽ കൂടുതൽ ഉള്ളതും ഭയങ്കരമാണ്.

ഞാൻ പരിഗണിക്കുന്ന രണ്ടാമത്തെ ചോദ്യം എങ്ങനെ ഡീക്രിപ്റ്റ് ചെയ്യാം എന്നതാണ് (ഇതാണ് ലേഖനത്തിന്റെ പ്രധാന പോയിന്റ്). ഞങ്ങൾ ഇതിനെക്കുറിച്ച് ചുവടെ സംസാരിക്കും, കട്ടിനടിയിൽ പോകുക!

മിക്കപ്പോഴും, ഇൻറർനെറ്റിൽ, ഒരു കീ ഫയൽ ഉപയോഗിക്കുന്നു (ഇതിന് മുമ്പ് സ്ലോട്ടിലേക്ക് സ്വയം ചേർത്തത് കമാൻഡ് - cryptsetup luksAddKey), അല്ലെങ്കിൽ അപൂർവമായ ഒഴിവാക്കലുകളിൽ (റഷ്യൻ ഭാഷയിലുള്ള ഇന്റർനെറ്റിൽ വളരെ കുറച്ച് വിവരങ്ങൾ മാത്രമേ ഉള്ളൂ) - decrypt_derived സ്ക്രിപ്റ്റ് /lib/cryptsetup/script/ എന്നതിൽ സ്ഥിതിചെയ്യുന്നു (തീർച്ചയായും, മറ്റ് വഴികളുണ്ട്, പക്ഷേ ഞാൻ ഈ രണ്ടും ഉപയോഗിച്ചു, ഇത് ലേഖനത്തിന്റെ അടിസ്ഥാനമായി മാറി). കൺസോളിൽ അധിക കമാൻഡുകളൊന്നുമില്ലാതെ, റീബൂട്ടുകൾക്ക് ശേഷം പൂർണ്ണമായ സ്വയംഭരണ ഉൾപ്പെടുത്തലിനായി ഞാൻ ശ്രമിച്ചു, അങ്ങനെ എല്ലാം എനിക്കായി ഒരേസമയം "പറക്കും". അതിനാൽ, എന്തിന് കാത്തിരിക്കണം? —

നമുക്ക് ആരംഭിക്കാം!

ഒരു sda3_crypt ക്രിപ്‌റ്റോ പാർട്ടീഷനിൽ ഇൻസ്റ്റാൾ ചെയ്ത ഡെബിയൻ പോലെയുള്ള ഒരു സിസ്റ്റവും നിങ്ങളുടെ ഹൃദയത്തിന്റെ ഉള്ളടക്കത്തിനനുസരിച്ച് എൻക്രിപ്റ്റ് ചെയ്യാനും സൃഷ്ടിക്കാനും തയ്യാറായ ഒരു ഡസൻ ഡിസ്കുകൾ നമുക്ക് അനുമാനിക്കാം. sda3_crypt അൺലോക്ക് ചെയ്യാൻ ഞങ്ങൾക്ക് ഒരു പാസ്ഫ്രെയ്സ് (പാസ്ഫ്രേസ്) ഉണ്ട്, ഈ പാർട്ടീഷനിൽ നിന്നാണ് നമ്മൾ റൺ ചെയ്യുന്ന (ഡീക്രിപ്റ്റ് ചെയ്ത) സിസ്റ്റത്തിലെ പാസ്വേഡിൽ നിന്ന് "ഹാഷ്" നീക്കം ചെയ്യുകയും ബാക്കിയുള്ള ഡിസ്കുകളിലേക്ക് ചേർക്കുകയും ചെയ്യുന്നത്. എല്ലാം പ്രാഥമികമാണ്, കൺസോളിൽ ഞങ്ങൾ എക്സിക്യൂട്ട് ചെയ്യുന്നു:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

ഇവിടെ X എന്നത് നമ്മുടെ ഡിസ്കുകൾ, പാർട്ടീഷനുകൾ മുതലായവയാണ്.

ഞങ്ങളുടെ പാസ്‌ഫ്രെയ്‌സിൽ നിന്ന് ഒരു "ഹാഷ്" ഉപയോഗിച്ച് ഡിസ്കുകൾ എൻക്രിപ്റ്റ് ചെയ്ത ശേഷം, നിങ്ങൾ UUID അല്ലെങ്കിൽ ഐഡി കണ്ടെത്തേണ്ടതുണ്ട് - ആരാണ് എന്ത്, എന്ത് ഉപയോഗിക്കുന്നു എന്നതിനെ ആശ്രയിച്ച്. ഞങ്ങൾ യഥാക്രമം /dev/disk/by-uuid, by-id എന്നിവയിൽ നിന്ന് ഡാറ്റ എടുക്കുന്നു.

നമുക്ക് ആവശ്യമുള്ള ഫംഗ്ഷനുകൾക്കായി ഫയലുകളും മിനി-സ്ക്രിപ്റ്റുകളും തയ്യാറാക്കുകയാണ് അടുത്ത ഘട്ടം, നമുക്ക് തുടരാം:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

കൂടുതൽ

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

../ഡീക്രിപ്റ്റ് എന്നതിന്റെ ഉള്ളടക്കം

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

കൂടുതൽ

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

../പാർട്ട്‌കോപ്പിയുടെ ഉള്ളടക്കം

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

കുറച്ചുകൂടി

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

ഉള്ളടക്കം ../partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

അവസാനമായി, update-initramfs-ന് മുമ്പ്, നിങ്ങൾ /etc/initramfs-tools/scripts/local-top/cryptroot ഫയൽ എഡിറ്റ് ചെയ്യേണ്ടതുണ്ട്, വരി ~360, കോഡ് സ്നിപ്പെറ്റ് താഴെ

യഥാർത്ഥ

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

ഈ രൂപത്തിലേക്ക് കൊണ്ടുവരിക

എഡിറ്റ് ചെയ്തു

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

ഇവിടെ UUID അല്ലെങ്കിൽ ID ഉപയോഗിക്കാമെന്നത് ശ്രദ്ധിക്കുക. പ്രധാന കാര്യം, HDD / SSD ഉപകരണങ്ങൾക്ക് ആവശ്യമായ ഡ്രൈവറുകൾ /etc/initramfs-tools/modules-ലേക്ക് ചേർത്തു എന്നതാണ്. കമാൻഡ് ഉപയോഗിച്ച് ഏത് ഡ്രൈവറാണ് ഉപയോഗിക്കുന്നതെന്ന് നിങ്ങൾക്ക് കണ്ടെത്താനാകും udevadm info -a -n /dev/sdX | എഗ്രെപ്പ് 'നോക്കുന്നു|ഡ്രൈവർ'.

ഇപ്പോൾ ഞങ്ങൾ പൂർത്തിയാക്കി എല്ലാ ഫയലുകളും നിലവിലുണ്ട്, പ്രവർത്തിപ്പിക്കുക update-initramfs -u -k എല്ലാ -വി, ലോഗിംഗിൽ പാടില്ല ഞങ്ങളുടെ സ്ക്രിപ്റ്റുകളുടെ എക്സിക്യൂഷൻ പിശകുകൾ. ഡിസ്കുകളുടെ എണ്ണം അനുസരിച്ച് ഞങ്ങൾ റീബൂട്ട് ചെയ്യുന്നു, പാസ്ഫ്രെയ്സ് നൽകി അൽപ്പം കാത്തിരിക്കുക. അടുത്തതായി, സിസ്റ്റം ആരംഭിക്കുകയും ലോഞ്ചിന്റെ അവസാന ഘട്ടത്തിൽ, അതായത് റൂട്ട് പാർട്ടീഷൻ "മൌണ്ട്" ചെയ്തതിന് ശേഷം, partprobe കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യും - ഇത് LUKS ഉപകരണങ്ങളിലും ഏതെങ്കിലും അറേകളിലും സൃഷ്ടിച്ച എല്ലാ പാർട്ടീഷനുകളും കണ്ടെത്തി എടുക്കും, അത് ZFS അല്ലെങ്കിൽ mdadm, പ്രശ്നങ്ങളില്ലാതെ കൂട്ടിച്ചേർക്കും! പിന്നെ ഇതെല്ലാം ലോഡ് ചെയ്യുന്നതിന് മുമ്പ് ഈ ഡിസ്കുകൾ/അറേകൾ ആവശ്യമുള്ള പ്രധാന സേവനങ്ങളും സേവനങ്ങളും.

അപ്ഡേറ്റ് 1: എങ്ങനെ ശ്രദ്ധിച്ചു AEP, ഈ രീതി LUKS1-ന് മാത്രമേ പ്രവർത്തിക്കൂ.

അവലംബം: www.habr.com