🥇सिस्टम बूट वेळी LUKS कंटेनर डिक्रिप्ट करणे

सर्वांना शुभ दिवस आणि रात्र! जे LUKS डेटा एन्क्रिप्शन वापरतात आणि Linux (Debian, Ubuntu) अंतर्गत डिस्क डिक्रिप्ट करू इच्छितात त्यांच्यासाठी हे पोस्ट उपयुक्त ठरेल. रूट विभाजन डिक्रिप्ट करण्याचे टप्पे. आणि मला इंटरनेटवर अशी माहिती सापडली नाही.

अगदी अलीकडे, शेल्फ् 'चे अव रुप मधील डिस्क्सच्या संख्येत वाढ झाल्यामुळे, मी /etc/crypttab द्वारे सुप्रसिद्ध पद्धती वापरून डिस्क डिक्रिप्ट करण्याच्या समस्येचा सामना केला. व्यक्तिशः, मी ही पद्धत वापरताना काही समस्या हायलाइट करतो, म्हणजे फाइल वाचली जात आहे रूट विभाजन लोड (माऊंट) केल्यानंतरच, जे ZFS आयातीवर नकारात्मक परिणाम करते, विशेषत: ते *_crypt साधनावरील विभाजनांपासून तयार केले असल्यास, किंवा mdadm raids देखील विभाजनांपासून तयार केले असल्यास. आम्हा सर्वांना माहित आहे की तुम्ही LUKS कंटेनरवर parted वापरू शकता, बरोबर? आणि इतर सेवा लवकर सुरू होण्याची समस्या, जेव्हा अद्याप कोणतेही अॅरे नाहीत, परंतु वापरा मला आधीपासूनच काहीतरी हवे आहे (मी iSCSI वर क्लस्टर केलेल्या Proxmox VE 5.x आणि ZFS सह काम करतो).

ZFSoverISCSI बद्दल थोडेसेiSCSI माझ्यासाठी LIO द्वारे कार्य करते, आणि खरेतर, जेव्हा iscsi लक्ष्य सुरू होते आणि ZVOL साधने पाहत नाही, तेव्हा ते त्यांना कॉन्फिगरेशनमधून काढून टाकते, जे अतिथी प्रणालींना बूट होण्यापासून प्रतिबंधित करते. म्हणून, एकतर json फाईल बॅकअप पुनर्संचयित करणे किंवा प्रत्येक VM साठी अभिज्ञापकांसह उपकरणे व्यक्तिचलितपणे जोडणे, जे अशा डझनभर मशीन्स असताना आणि प्रत्येक कॉन्फिगरेशनमध्ये 1 पेक्षा जास्त डिस्क असतात तेव्हा भयंकर असते.

आणि दुसरा प्रश्न ज्याचा मी विचार करेन तो म्हणजे डिक्रिप्ट कसे करावे (हा लेखाचा मुख्य मुद्दा आहे). आणि आम्ही खाली याबद्दल बोलू, कट अंतर्गत जा!

बर्‍याचदा, इंटरनेटवर, एक की फाइल वापरली जाते (यापूर्वी स्लॉटमध्ये स्वयं-जोडलेली - क्रिप्टसेटअप luksAddKey कमांडद्वारे), किंवा दुर्मिळ अपवादांमध्ये (रशियन-भाषेच्या इंटरनेटवर फारच कमी माहिती असते) - डिक्रिप्ट_डेरिव्ह स्क्रिप्ट /lib/cryptsetup/script/ मध्ये स्थित आहे (अर्थात, इतर मार्ग आहेत, परंतु मी हे दोन वापरले, जे लेखाचा आधार बनले). मी कन्सोलमध्ये कोणत्याही अतिरिक्त कमांडशिवाय रीबूट केल्यानंतर पूर्ण स्वायत्त समावेशासाठी प्रयत्न केला, जेणेकरून सर्व काही माझ्यासाठी एकाच वेळी “उडून” जाईल. म्हणून, प्रतीक्षा का? -

चला सुरू करुया!

डेबियन सारखी सिस्टीम sda3_crypt क्रिप्टो विभाजनावर स्थापित केली आहे आणि एक डझन डिस्क्स एनक्रिप्ट करण्यासाठी तयार आहेत आणि तुमच्या हृदयाच्या सामग्रीनुसार तयार करूया. आमच्याकडे sda3_crypt अनलॉक करण्यासाठी पासफ्रेज (पासफ्रेज) आहे आणि या विभाजनातूनच आम्ही चालू असलेल्या (डिक्रिप्टेड) प्रणालीवरील पासवर्डमधून "हॅश" काढून टाकू आणि बाकीच्या डिस्क्समध्ये जोडू. सर्व काही प्राथमिक आहे, कन्सोलमध्ये आम्ही कार्यान्वित करतो:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

जिथे X ही आपली डिस्क, विभाजने इ.

आमच्या सांकेतिक वाक्यांशातून डिस्क्स "हॅश" सह एनक्रिप्ट केल्यानंतर, तुम्हाला UUID किंवा ID शोधणे आवश्यक आहे - कोण कशासाठी आणि कशासाठी वापरले जाते यावर अवलंबून. आम्ही अनुक्रमे /dev/disk/by-uuid आणि by-id वरून डेटा घेतो.

पुढील पायरी म्हणजे आम्हाला आवश्यक असलेल्या फंक्शन्ससाठी फाइल्स आणि मिनी-स्क्रिप्ट्स तयार करणे, चला पुढे जाऊया:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

पुढील

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

../डिक्रिप्टची सामग्री

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

पुढील

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

../partcopy ची सामग्री

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

थोडे अधिक

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

सामग्री ../partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

आणि शेवटचे, update-initramfs करण्यापूर्वी, तुम्हाला /etc/initramfs-tools/scripts/local-top/cryptroot फाइल संपादित करणे आवश्यक आहे, ~360, खालील कोड स्निपेट पासून सुरू होते

मूळ


                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

आणि या फॉर्ममध्ये आणा

संपादित


                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

लक्षात ठेवा की येथे UUID किंवा ID वापरला जाऊ शकतो. मुख्य गोष्ट अशी आहे की HDD / SSD उपकरणांसाठी आवश्यक ड्राइव्हर्स /etc/initramfs-tools/modules मध्ये जोडले जातात. कमांडद्वारे कोणता ड्रायव्हर वापरला जात आहे ते तुम्ही शोधू शकता udevadm माहिती -a -n /dev/sdX | egrep 'शोधत आहे|ड्रायव्हर'.

आता आम्ही पूर्ण केले आणि सर्व फाईल्स जागेवर आहेत, चालवा अद्यतन-initramfs -u -k all -v, लॉगिंगमध्ये नसावे आमच्या स्क्रिप्टच्या अंमलबजावणी त्रुटी. आम्ही रीबूट करतो, सांकेतिक वाक्यांश प्रविष्ट करतो आणि डिस्कच्या संख्येवर अवलंबून थोडी प्रतीक्षा करतो. पुढे, सिस्टम सुरू होईल आणि लाँचच्या अंतिम टप्प्यावर, म्हणजे रूट विभाजन “माउंट” केल्यानंतर, पार्टप्रोब कमांड कार्यान्वित केली जाईल - ती LUKS उपकरणांवर आणि कोणत्याही अॅरेवर तयार केलेली सर्व विभाजने शोधेल आणि उचलेल, मग ती ZFS असो किंवा mdadm, समस्यांशिवाय एकत्र केले जाईल! आणि हे सर्व लोड करण्यापूर्वी मुख्य सेवा आणि सेवा ज्यांना या डिस्क्स/अॅरेची आवश्यकता आहे.

अद्यतन 1: कसे लक्षात एईपी, ही पद्धत फक्त LUKS1 साठी कार्य करते.

स्त्रोत: www.habr.com

सिस्टम बूट वेळी LUKS कंटेनर डिक्रिप्ट करणे

एक टिप्पणी जोडा Отменить ответ