Dekodimi i kontejnerit LUKS në momentin e ngarkesës së sistemit

Të gjithëve një ditë të mbarë, natë! Ky postim do të jetë i dobishëm për ata që përdorin enkriptimin e të dhënave LUKS dhe duan të kryejnë dekodimin e disqeve nën Linux (Debian, Ubuntu) në fazën e dekodimit të seksionit root. Dhe nuk kam arritur të gjej një informacion të tillë në internet.

Së fundmi, me rritjen e numrit të disqeve në raft, u përballa me problemin e dekodimit të disqeve duke përdorur metodën e njohur përmes /etc/crypttab. Personalish, shoh disa probleme me përdorimin e kësaj metode, konkretisht se ky skedar lexohen vetëm pas ngarkesës (mount) së seksionit root, gjë që ndikon negativisht në importimin e ZFS, veçanërisht nëse ato janë ndërtuar nga seksione në pajisjen *_crypt, ose raid mdadm gjithashtu të ndërtuara nga seksione. Ne të gjithë e dimë se mund të përdorim parted në kontejnerët LUKS? Dhe gjithashtu problemi i fillimit të hershëm të shërbimeve të tjera, kur masivat ende nuk ekzistojnë, por të përdorë më duhet tashmë (punoj me Proxmox VE 5.x të klustruar dhe ZFS mbi iSCSI).

Pak për ZFS over iSCSIiSCSI funksionon për mua përmes LIO, dhe realisht kur niset iscsi-target dhe nuk sheh pajisjet ZVOL, ato thjesht i heq nga konfigurimi, e cila nuk i lejon sistemet mysafire të ngarkohen. Nga kjo, ose rikthimi i një bërthame json skedari, ose shtimi manual i pajisjeve me identifikatorët e çdo VM, që është vërtet tmerr, kur ka dhjetëra makina dhe në konfigurimin e secilës më shumë se 1 disk.

Dhe pyetja e dytë që do të shqyrtoj, është se me çfarë do të bëhet dekodimi (ky është një pikë kyçe e artikullit). Dhe për këtë do të flasim më poshtë, hyni në nënkategori!

Më shpesh në hapësirat e internetit përdoren çelësat e skedarit (natyrisht të shtuar më parë në slotin me komandën — cryptsetup luksAddKey), ose në raste të rralla (në internetin në gjuhën ruse ka informacion të kufizuar) — skripti decrypt_derived, që ndodhet në /lib/cryptsetup/script/ (sigurisht, ka edhe mënyra të tjera, por unë kam përdorur këto dy, që i hodha në bazë të artikullit). Po ashtu, synoja një aktivizim të plotë autonom pas rinisjeve, pa asnjë komandë shtesë në konsolë, që gjithçka të "fluturojë" menjëherë. Prandaj, pse të presim? —

Le të fillojmë!

Supozoni një sistem, për shembull Debian, i instaluar në ndarjen e kriptuar sda3_crypt dhe dhjetë disqe të gatshme për kriptim dhe krijimin e çfarëdo që dëshiron. Ne kemi një frazë kyçe (passphrase) për të çelur sda3_crypt dhe pikërisht nga kjo ndarje do të marrim "hash" nga fjalëkalimi dhe do ta shtojmë në disqet e tjera. Është shumë e thjeshtë, në konsolë zbatojmë:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

ku X janë diskët tanë, ndarjet etj.

Pas kriptimit të disqeve me "hash" nga fraza jonë kyçe, është e nevojshme të dihet UUID ose ID - sipas asaj çfarë preferon kush. Marrim të dhënat nga /dev/disk/by-uuid dhe by-id përkatësisht.

Hapi tjetër është përgatitja e skedave dhe mini-skripteve për funksionet që na nevojiten, le të fillojmë:

cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/
cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

më pas

touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

Përmbajtja e ../decrypt

#!/bin/sh

cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

më pas

touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

Përmbajtja e ../partcopy

#!/bin/sh

cp -p /sbin/partprobe "$DESTDIR/bin/partprobe"
cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2"
cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

pak më shumë

touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

Përmbajtja e ../partprobe

#!/bin/sh

$DESTDIR/bin/partprobe

dhe e fundit, para update-initramfs, duhet të redaktohet skedari /etc/initramfs-tools/scripts/local-top/cryptroot, duke filluar nga rreshti ~360, pjesa e kodit më poshtë

Originali

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                
                message "cryptsetup ($crypttarget): set up successfully"
                break

dhe e çojmë në këtë formë

E redaktuar

                # decrease $count by 1, apparently last try was successful.
                count=$(( $count - 1 ))
                

                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP*
                /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP*

                message "cryptsetup ($crypttarget): set up successfully"
                break

Vini re se këtu mund të përdoret ose UUID ose ID. E rëndësishme është që driverët e nevojshëm për pajisjet HDD/SSD të jenë shtuar në /etc/initramfs-tools/modules. Mund të mësoni driverin që po përdoret me komandën udevadm info -a -n /dev/sdX | egrep ‘looking|DRIVER’.

Tani, kur kemi përfunduar dhe të gjitha skedat janë në vend, fillojmë update-initramfs -u -k all -v, në regjistrim nuk duhet të ketë gabime në ekzekutimin e skripteve tona. Rindiznim, futim frazën kyçe dhe presim pak, në varësi të numrit të disqeve. Më pas sistemi do të niset dhe në fazën përfundimtare të nisjes, pikërisht pas "mounting" të ndarjes root, do të ekzekutohet komanda partprobe - ajo do të gjejë dhe do të lidhë të gjitha ndarjet e krijuara në pajisjet LUKS dhe çdo masiv, qoftë ZFS apo mdadm do të réunoheshin pa probleme! Dhe gjithë kjo para ngarkimit slëvizjeve dhe shërbimeve kryesore, të cilat kërkojnë këto disqe/masive.

update1: Si vërejta AEP, kjo mënyrë funksionon vetëm për LUKS1.

Burimi: habr.com