USBキーを使用したDebian8のLinuxルートパーティションのパスワードなしの暗号化

起動時にパスフレーズを入力するプロセスは、USBメモリスティックを使用して自動化されます。使用する代わりに

パスフレーズ、USBの秘密鍵は、暗号化されたボリュームを復号化します。 USBスティックをVMに接続し、「dmesg」コマンドを使用して見つけます。 VMで「/dev/sdb」として検出されます。

8192ランダムバイトの秘密鍵は、ddコマンドを使用してUSBスティックから抽出されます。

dd if=/dev/sdb of=/root/secret.key bs=512 skip=4 count=16

上記で生成された秘密鍵は、「cryptsetup」コマンドを使用して暗号化されたボリュームに追加されます。デフォルトでは、パスフレーズはスロット0に保持されます。したがって、スロット1が2番目の秘密鍵に使用されます。

「blkid」コマンドを実行して、ディスク上のボリュームの詳細を取得します。

blkid

このチュートリアルでは、ボリュームを復号化するための秘密鍵は/ dev/sda3にのみ追加されます。ただし、「/ dev / sda2」（スワップ）パーティションに追加することもできます。

cryptsetup luksAddKey /dev/sda3 /root/secret.key --key-slot 1

USBデバイス用の単純なudevルールがファイル/etc/udev/rules.d/99-custom-usb.rulesに作成されます。使用するシンボリックリンクは/dev/usbdeviceです。

SUBSYSTEMS=="usb", DRIVERS=="usb",SYMLINK+="usbdevice%n"

次のコマンドを使用してルールを再読み込みします。

udevadm control --reload-rules

USBデバイスを挿入して、カスタムルールを確認します。

USBデバイスから秘密鍵を読み取り、起動時にcryptsetupに提供するには、シェルスクリプトが必要です。スクリプトは「/usr/local/sbin/openluksdevices.sh」として作成され、http：//www.oxygenimpaired.com/サイトから取得されます。

#!/bin/sh
############taken from following link#########
###http://www.oxygenimpaired.com/debian-lenny-luks-encrypted-root-hidden-usb-keyfile

TRUE=0
FALSE=1

# flag tracking key-file availability
OPENED=$FALSE

if [ -b /dev/usbdevice ]; then
# if device exists then output the keyfile from the usb key 
dd if=/dev/usbdevice bs=512 skip=4 count=16 | cat
OPENED=$TRUE
fi

if [ $OPENED -ne $TRUE ]; then
echo "FAILED to get USB key file ..." >&2
/lib/cryptsetup/askpass "Try LUKS password: "
else
echo "Success loading key file for Root . Moving on." >&2
fi

sleep 2

スクリプトを実行できるように、スクリプトの権限を設定します。

 chmod a+x /usr/local/sbin/openluksdevices.sh

fstab構成ファイルと同様に、crypttabファイルにはLinuxプラットフォーム上の暗号化されたボリュームに関する情報が含まれています。 sda3_crypt暗号化パーティションのシェルスクリプトを追加します。暗号化ボリュームの設定ファイル「/etc/crypttab」の内容を以下に示します。

sda3_crypt /dev/disk/by-uuid/c37a8128-5ea9-45c6-8890-d52f3d452ccc none luks,keyscript=/usr/local/sbin/openluksdevices.sh

「/etc/initramfs-tools/conf.d/cryptroot」ファイルに次の行を追加します。

CRYPTROOT=target=sda3_crypt,source=/dev/disk/by-uuid/c37a8128-5ea9-45c6-8890-d52f3d452ccc

「usb_storage」が「/etc/ initramfs-tools/modules」ファイルに追加されていることを確認してください。

次のシェルスクリプト（/etc/initramfs-tools/hooks/udevusbkey.sh）も外部ソースから取得されています。一時ファイルシステム「initrd」にカスタムudevルールを追加するために使用されます。

#!/bin/sh
# udev-usbkey script
###taken from
###http://www.oxygenimpaired.com/ubuntu-with-grub2-luks-encrypted-lvm-root-hidden-usb-keyfile
PREREQ="udev"
prereqs()
{
echo "$PREREQ"
}

case $1 in
prereqs)
prereqs
exit 0
;;
esac

. /usr/share/initramfs-tools/hook-functions

# Copy across relevant rules

cp /etc/udev/rules.d/99-custom-usb.rules ${DESTDIR}/lib/udev/rules.d/

exit 0

スクリプトの権限を変更します。

 chmod a+x /etc/initramfs-tools/hooks/udevusbkey.sh

GRUB2ブートローダーの構成にはいくつかの変更が必要です。ただし、構成ファイル「/boot/grub/grub.cfg」を直接変更することはできません。したがって、「/ etc / default/grub」構成ファイルの「GRUB_CMDLINE_LINUX_DEFAULT」パラメーターを変更します。以下に示すように、「rootdelay」と「cryptopts」は「GRUB_CMDLINE_LINUX_DEFAULT」パラメータに含まれています。

GRUB_CMDLINE_LINUX_DEFAULT="rootdelay=20 cryptopts=target=sda3_crypt,source=/dev/disk/by-uuid/c37a8128-5ea9-45c6-8890-d52f3d452ccc,keyscript=/lib/cryptsetup/scripts/openluksdevices.sh"
GRUB_CMDLINE_LINUX=""

# Uncomment to enable BadRAM filtering, modify to suit your needs
# This works with Linux (no patch required) and with any kernel that obtainsConclusion

「update-grub」コマンドを実行して、「/ boot / grub/grub.cfg」構成ファイルの上記の変更を適用します。

上記のコマンドの後、次の変更が「/boot/grub/grub.cfg」構成ファイルに適用されました。

echo    'Loading Linux 3.16.0-4-686-pae ...'
linux   /vmlinuz-3.16.0-4-686-pae root=UUID=b30cdb22-8e3c-4ffd-a0c7-af96b90ba016 ro  rootdelay=20 cryptopts=target=sda3_crypt,source=/dev/disk/by-uuid/c37a8128-5ea9-45c6-8890-d52f3d452ccc,keyscript=/lib/cryptsetup/scripts/openluksdevices.sh
echo    'Loading initial ramdisk ...'
initrd  /initrd.img-3.16.0-4-686-pae

「update-initramfs-u」を実行して、すべてのカーネルの一時ファイルシステムファイルを更新します。


再起動する前に、newleyで生成された「initrd.img」を解凍し、キースクリプトが「lib / cryptsetup / scripts」ディレクトリにコピーされ、カスタムudevルールが「lib / udev /rules.d/」ディレクトリにコピーされていることを確認します。

cd /tmp/
zcat /boot/initrd.img-3.16.0-4-686-pae | cpio -iv

Keyscriptはinitramfsスクリプトに正常に含まれています。

カスタムUSBルールもudevルールに含まれています。

セットアップ全体をテストする前に、VM設定にUSBデバイスを追加してください。

最後に、暗号化されたボリュームの秘密鍵が正常に読み込まれます。