प्रणाली बुट समयमा LUKS कन्टेनर डिक्रिप्ट गर्दै

शुभ दिन र रात सबैलाई! यो पोष्ट LUKS डाटा ईन्क्रिप्शन प्रयोग गर्ने र लिनक्स (Debian, Ubuntu) अन्तर्गत डिस्कहरू डिक्रिप्ट गर्न चाहनेहरूका लागि उपयोगी हुनेछ। मूल विभाजन को डिक्रिप्शन को चरण। र मैले इन्टरनेटमा त्यस्तो जानकारी फेला पार्न सकिन।

हालसालै, अलमारीहरूमा डिस्कहरूको संख्यामा वृद्धि भएकोले, मैले /etc/crypttab मार्फत प्रख्यात विधि भन्दा बढी प्रयोग गरेर डिस्कहरू डिक्रिप्ट गर्ने समस्याको सामना गरें। व्यक्तिगत रूपमा, म यो विधि प्रयोग गरेर केही समस्याहरू हाइलाइट गर्छु, अर्थात् फाइल पढिएको छ रूट विभाजन लोड (माउन्ट) पछि मात्र, जसले नकारात्मक रूपमा ZFS आयातहरूलाई असर गर्छ, विशेष गरी यदि तिनीहरू *_crypt उपकरणमा विभाजनबाट सङ्कलन गरिएका थिए, वा mdadm छापाहरू पनि विभाजनबाट सङ्कलन गरिएका थिए। हामी सबैलाई थाहा छ कि तपाइँ LUKS कन्टेनरहरूमा parted प्रयोग गर्न सक्नुहुन्छ, हैन? र अन्य सेवाहरूको प्रारम्भिक सुरुवातको समस्या पनि, जब त्यहाँ कुनै एरेहरू छैनन्, र प्रयोग गर्नुहोस् मलाई पहिले नै केहि चाहिन्छ (म क्लस्टर गरिएको Proxmox VE 5.x र ZFS मा iSCSI सँग काम गर्दैछु)।

ZFSoverISCSI को बारेमा थोरैiSCSI ले LIO मार्फत मेरो लागि काम गर्छ, र वास्तवमा, जब iscsi लक्ष्य सुरु हुन्छ र ZVOL यन्त्रहरू देख्दैन, यसले तिनीहरूलाई कन्फिगरेसनबाट मात्र हटाउँछ, जसले अतिथि प्रणालीहरूलाई बुट गर्नबाट रोक्छ। तसर्थ, या त ब्याकअप json फाइल पुनर्स्थापना गर्दै, वा म्यानुअल रूपमा प्रत्येक VM को पहिचानकर्ताहरूसँग उपकरणहरू थप्दै, जुन त्यस्ता दर्जनौं मेसिनहरू र प्रत्येक कन्फिगरेसनमा 1 भन्दा बढी डिस्क हुँदा मात्र भयानक हुन्छ।

र दोस्रो प्रश्न जुन म विचार गर्नेछु कसरी डिक्रिप्ट गर्ने (यो लेखको मुख्य बिन्दु हो)। र हामी तल यसको बारेमा कुरा गर्नेछौं, कटमा जानुहोस्!

प्रायः इन्टरनेटमा तिनीहरूले कुञ्जी फाइल प्रयोग गर्छन् (जुन स्वचालित रूपमा कमाण्डको साथ स्लटमा थपिएको थियो - cryptsetup luksAddKey), वा दुर्लभ अपवादहरूमा (रूसी भाषाको इन्टरनेटमा धेरै थोरै जानकारी छ) - decrypt_derived लिपि, मा अवस्थित छ। /lib/cryptsetup/script/ (निस्सन्देह, त्यहाँ अन्य तरिकाहरू छन्, तर मैले यी दुई प्रयोग गरें, जसले लेखको आधार बनायो)। मैले कन्सोलमा कुनै पनि अतिरिक्त आदेशहरू बिना रिबुट गरेपछि पूर्ण स्वायत्त सक्रियताको लागि प्रयास गरें, ताकि सबै कुरा तुरुन्तै मेरो लागि "टेक अफ" हुनेछ। त्यसैले, किन पर्खने? -

सुरु गरौं!

हामी एउटा प्रणाली मान्दछौं, उदाहरणका लागि डेबियन, sda3_crypt क्रिप्टो विभाजनमा स्थापना गरिएको छ र एक दर्जन डिस्कहरू इन्क्रिप्ट गर्न र तपाईंको हृदयले चाहेको सिर्जना गर्न तयार छ। हामीसँग sda3_crypt अनलक गर्नको लागि मुख्य वाक्यांश (पासफ्रेज) छ र यो यस खण्डबाट हामीले चलिरहेको (डिक्रिप्टेड) ​​प्रणालीमा पासवर्डको "ह्यास" हटाउनेछौं र यसलाई अन्य डिस्कहरूमा थप्नेछौं। सबै कुरा प्राथमिक हो, कन्सोलमा हामीले कार्यान्वयन गर्छौं:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

जहाँ X हाम्रो डिस्क, विभाजन, आदि हो।

हाम्रो कुञ्जी वाक्यांशबाट ह्यासको साथ डिस्कहरू इन्क्रिप्ट गरेपछि, तपाईंले UUID वा ID पत्ता लगाउन आवश्यक छ - कसलाई के प्रयोग गरिन्छ भन्ने आधारमा। हामी क्रमशः /dev/disk/by-uuid र by-id बाट डाटा लिन्छौं।

अर्को चरण हामीले काम गर्न आवश्यक कार्यहरूको लागि फाइलहरू र मिनी-स्क्रिप्टहरू तयार गर्दैछ, हामी अगाडि बढौं:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

थप

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

../decrypt को सामग्री

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

थप

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

सामग्री ../partcopy

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

अलि बढी

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

सामग्री ../partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

र अन्तमा, अपडेट-initramfs अघि, तपाईंले फाइल सम्पादन गर्न आवश्यक छ /etc/initramfs-tools/scripts/local-top/cryptroot, लाइन ~360 बाट सुरु हुँदै, तलको कोडको टुक्रा।

मूल

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

र यसलाई यो फारममा ल्याउनुहोस्

सम्पादन गरियो

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

ध्यान दिनुहोस् कि यहाँ UUID वा ID प्रयोग गर्न सकिन्छ। मुख्य कुरा यो हो कि HDD/SSD यन्त्रहरूका लागि आवश्यक ड्राइभरहरू /etc/initramfs-tools/modules मा थपिएका छन्। तपाईले पत्ता लगाउन सक्नुहुन्छ कि कुन चालक आदेशको साथ प्रयोग गरिन्छ udevadm जानकारी -a -n /dev/sdX | egrep 'हेर्दै | DRIVER'.

अब हामीले समाप्त गरिसकेका छौं र सबै फाइलहरू ठाउँमा छन्, हामी दौडन्छौं अपडेट-initramfs -u -k all -v, लगिङ मा हुनु हुँदैन हाम्रा लिपिहरूको कार्यान्वयनमा त्रुटिहरू। हामी रिबुट गर्छौं, कुञ्जी वाक्यांश प्रविष्ट गर्नुहोस् र डिस्कहरूको संख्यामा निर्भर गर्दै, थोरै पर्खनुहोस्। अर्को, प्रणाली सुरु हुनेछ र स्टार्टअपको अन्तिम चरणमा, अर्थात् मूल विभाजन "माउन्ट" गरेपछि, partprobe आदेश कार्यान्वयन हुनेछ - यसले LUKS उपकरणहरू र कुनै पनि एरेहरूमा सिर्जना गरिएका सबै विभाजनहरू फेला पार्नेछ र उठाउनेछ, यो ZFS वा होस्। mdadm, समस्या बिना भेला हुनेछ! र यो सबै लोड गर्नु अघि यी डिस्क/एरेहरू आवश्यक पर्ने मुख्य सेवाहरू।

अद्यावधिक १: कसरी याद भयो AEP, यो विधि LUKS1 को लागि मात्र काम गर्दछ।

स्रोत: www.habr.com