부팅시 단일 암호를 사용하여 여러 암호화 된 디스크 잠금 해제

내 컴퓨터에는 SSD가있어 시스템을 설치하고 HDD를 사용하여 대용량 및 / 또는 자주 사용하지 않는 파일의 저장 장치로 사용합니다. 둘 다 암호화되어 있지만 동일한 암호를 사용하기로 선택했습니다. SSD는 마운트되어 /있고 HDD 는 마운트되어 있습니다 /usr/hdd(개별 사용자는 각자 디렉토리를 가지고 있으며 홈 디렉토리에서 원하는대로 심볼릭 링크 할 수 있습니다).

시스템이 부팅되면 SSD에 대한 암호를 즉시 요청하고 몇 초 후에 HDD에 대한 암호를 요구합니다 (자동 마운트 됨). 두 암호가 모두 같다면 시스템이 한 번만 요청하도록 구성 할 수 있습니까?

데비안 기반 배포판 :

데비안과 우분투는 암호 캐싱 스크립트 decrypt_keyctl 을 cryptsetup 패키지 와 함께 제공 합니다.

decrypt_keyctl 스크립트는 여러 개의 암호화 된 LUKS 대상에 동일한 비밀번호를 제공하므로 여러 번 입력하지 않아도 됩니다. crypttab 에서 keyscript=decrypt_keyctl옵션을 사용하여 활성화 할 수 있습니다 . 키 파일 필드에 동일한 식별자가있는 대상에 동일한 암호가 사용됩니다 . 각 식별자의 부팅시 암호가 한 번 묻습니다.

crypttab 예 :

<target>      <source>         <keyfile>      <options>
part1_crypt   /dev/disk/...    crypt_disks    luks,keyscript=decrypt_keyctl
part2_crypt   /dev/disk/...    crypt_disks    luks,keyscript=decrypt_keyctl

cryptab을 업데이트 한 후에 는 변경 사항을 적용하기 위해 initramfs를 업데이트해야합니다. 사용하십시오 update-initramfs -u.

decrypt_keyctl에 대한 전체 추가 정보는 다음 위치에 있습니다. /usr/share/doc/cryptsetup/README.keyctl

불행히도 현재 버그 로 인해 systemd init를 사용하는 데비안 시스템에서는 작동하지 않습니다 (다른 init 시스템에는 영향을 미치지 않아야 함). 데비안 crypttab 매뉴얼 페이지 는 initramfs부팅의 initramfs 단계에서 처리를 강제 하는 옵션을 사용하는 해결 방법으로 제안 합니다.

decrypt_keyctl 스크립트를 제공하지 않는 배포판 :

경우 decrypt_keyctrl이 배포판에서 제공하지 않는 장치는 암호화 된 루트 파일 시스템의 키 파일을 사용하여 잠금을 해제 할 수 있습니다. 루트 파일 시스템을 다른 암호화 된 장치보다 먼저 잠금 해제하고 마운트 할 수있는 경우입니다.

LUKS는 여러 키 슬롯을 지원합니다. 키 파일을 사용할 수 없거나 분실 된 경우 암호를 사용하여 장치의 잠금을 해제 할 수도 있습니다.

1. 임의의 데이터로 키를 생성하고 누출을 피하기 위해 소유자가 읽을 수있는 권한 만 설정하십시오. 키 파일은 먼저 잠금이 해제 된 루트 파티션에 있어야합니다.

   dd if=/dev/urandom of=<path to key file> bs=1024 count=1
   chmod u=rw,g=,o= <path to key file>
   

2. LUKS 장치에 키 추가

   cryptsetup luksAddKey <path to encrypted device> <path to key file>
   

3. 키 파일을 사용하도록 crypttab 을 구성 하십시오. 장치는 crypttab에 나열된 순서대로 잠금 해제되므로 첫 번째 행은 루트 장치 여야합니다 . 키 파일에는 절대 경로를 사용하십시오.

   <target>      <source>         <keyfile>                  <options>
   root_crypt    /dev/disk/...    none                       luks
   part1_crypt   /dev/disk/...    <path to key file>         luks
   

@sebasth가 위에서 언급 한 버그를 감안할 때 데비안에 대한 해결 방법은 다음과 같습니다.

설정이 약간 다릅니다. 암호화 된 루트 파티션과 많은 레이드 디스크가 있습니다. 나를 위해 crypttab에 initramfs 옵션을 추가해야했습니다.

<target>      <source>         <keyfile>      <options>
part1_crypt   /dev/disk/...    crypt_disks    plain,cipher=aes-xts-plain64,keyscript=decrypt_keyctl,initramfs
part2_crypt   /dev/disk/...    crypt_disks    plain,cipher=aes-xts-plain64,keyscript=decrypt_keyctl,initramfs

이것은 update-initramfs에게이 crypttab 항목을 initramfs에 마운트하고 싶다고 알려줍니다. 나는 crypttab을 실행하여 확인했다.

cryptdisks_start part1_crypt
cryptdisks_start part2_crypt

내 레이드 디스크는 일반 dm-crypt입니다. 이것은 systemd 키 스크립트 버그를 해결하는 luks 키 파일 방법을 사용할 수 없음을 의미했습니다. 일반 dm-crypt의 경우 암호를 일반 텍스트로 저장해야합니다.

암호화 된 디스크 update-initramfs는 실행 되기 전에 마운트해야 합니다. 그렇지 않으면 오류가 발생합니다. 내 initramfs를 만들 때 다음 줄을 찾아야했습니다.

update-initramfs -k -u -v | grep 'keyctl'

다음 두 파일이 표시되었습니다.

/bin/keyctl
cryptkeyctl

initramfs에 추가됩니다.

마지막으로 위에서 언급 한 버그를 처리하기 위해 crypttab을 처리하는 systemd를 비활성화해야했습니다. systemd는 crypttab의 keyscript 옵션을 지원하지 않습니다. 이를 위해 커널 옵션을 추가했습니다

GRUB_CMDLINE_LINUX_DEFAULT="quiet luks.crypttab=no"     

/ etc / default / grub으로 가서 실행하십시오 update-grub. systemd는 이제 crypttab을 무시하고 모든 암호화 된 파티션이 initramfs에로드됩니다.

암호화 된 루트 파티션이 있으므로 cryptroot가 내 키를 캐시하지 않는 것 같습니다. 즉, 비밀번호를 두 번 입력해야합니다. 하나는 루트 파티션이고 다른 하나는 RAID 배열입니다.

또 다른 옵션은 /lib/cryptsetup/scripts/decrypt_derived데비안 / 우분투에서 cryptsetup의 일부인 스크립트 를 사용하는 것 입니다.

키를 캐싱하는 대신 한 디스크의 볼륨 키를 두 번째 디스크의 추가 암호로 사용합니다. 이를 위해서는 두 번째 및 세 번째 등의 암호화 된 디스크에 두 번째 암호를 추가해야하지만 LUKS는이를 지원합니다. 따라서이 솔루션은 여러 암호화 된 디스크가 동일한 암호를 사용하지 않는 경우에도 작동합니다.

sda6crypt에서 sda5로 키를 추가하는 예 :

sda5의 추가 비밀번호로 sda6crypt의 볼륨 키를 추가하십시오.

mkfifo fifo
/lib/cryptsetup/scripts/decrypt_derived sda6crypt > fifo &
cryptsetup luksAddKey /dev/sda5 fifo
rm fifo

에서 sda5crypt가 자동으로 잠금 해제되도록 구성 /etc/crypttab

ls -la /dev/disk/by-uuid/ | grep sda5
echo "sda5crypt UUID=<uuid> sda6crypt luks,initramfs,keyscript=/lib/cryptsetup/scripts/decrypt_derived" >> /etc/crypttab

fifo볼륨 키를 디스크의 임시 파일에 저장하지 않아도되도록 명명 된 파이프 ( )를 사용하여 키를 전달합니다.

이 keyscript옵션 crypttab은 데비안의 원래 cryptsetup 도구로 처리 된 경우에만 작동 하며, 시스템 재 구현은 현재이를 지원하지 않습니다. 시스템에서 systemd (대부분의 시스템)를 사용하는 경우 initramfssystemd를 시작하기 전에 cryptsetup 도구를 사용하여 initrd에서 처리를 강제 실행 하는 옵션 이 필요합니다 .

/unix//a/32551/50793 기반