🙏🏾 🍸 💗 बूट समय पर LUKS कंटेनर को डिकोड करना ⏫ 👨🏿‍⚕️ 🎥

शुभ दिन, रात! यह पोस्ट उन लोगों के लिए उपयोगी होगा जो एलयूकेएस डेटा एन्क्रिप्शन का उपयोग करते हैं और रूट विभाजन को डिक्रिप्ट करने के चरण में लिनक्स (डेबियन, उबंटू) के तहत डिक्रिप्ट डिस्क को ~~डिक्रिप्ट~~ करना चाहते हैं। और मुझे ऐसी जानकारी इंटरनेट पर नहीं मिली।

हाल ही में, अलमारियों में डिस्क की संख्या में वृद्धि के साथ, मुझे / etc / crypttab के माध्यम से अच्छी तरह से ज्ञात विधि का उपयोग करके डिक्रिप्टिंग डिस्क की समस्या का सामना करना पड़ा। व्यक्तिगत रूप से, मैं इस पद्धति का उपयोग करके कई समस्याओं को उजागर करता हूं, अर्थात्, फ़ाइल को रूट विभाजन (माउंट) माउंट होने के बाद ही पढ़ा जाता है , जो ZFS के आयात को नकारात्मक रूप से प्रभावित करता है, विशेष रूप से यदि वे * _crypt डिवाइस, या mdadm छापे पर विभाजन से एकत्र किए गए थे वर्गों से भी एकत्र किया गया। हम सभी जानते हैं कि आप एलयूकेएस कंटेनरों पर भाग का उपयोग कर सकते हैं? और अन्य सेवाओं की शुरुआती शुरुआत की समस्या भी है जब अभी तक कोई सरणियां नहीं हैं, लेकिन कुछ का उपयोग करने की आवश्यकता है (मैं क्लस्टर प्रोक्सोक्स वीई 5.x और आईएफएसआई पर जेडएफएस के साथ काम करता हूं)।

ZFSoverISCSI के बारे में थोड़ा सा

iSCSI मेरे लिए LIO के माध्यम से काम करता है, और वास्तव में जब iscsi लक्ष्य शुरू होता है और ZVOL डिवाइस नहीं देखता है, तो यह उन्हें कॉन्फ़िगरेशन से हटा देता है, जो अतिथि सिस्टम को लोड होने से रोकता है। इसलिए, या तो एक json फ़ाइल बैकअप को बहाल करना, या प्रत्येक वीएम के पहचानकर्ताओं के साथ मैन्युअल रूप से डिवाइस जोड़ना, जो कि अभी भयानक है जब दर्जनों ऐसी मशीनें हैं और प्रत्येक के कॉन्फ़िगरेशन में 1 से अधिक डिस्क हैं।

और दूसरा प्रश्न जो मैं विचार करूंगा कि डिक्रिप्ट कैसे किया जाता है (यह लेख का मुख्य बिंदु है)। और हम नीचे इस बारे में बात करेंगे, कट के नीचे जाओ!

अधिकतर, इंटरनेट पर, वे एक महत्वपूर्ण फ़ाइल का उपयोग करते हैं (cryptsetup luksAddKey कमांड को अपने आप से पहले स्लॉट में जोड़ा जाता है), या दुर्लभ अपवादों में (रूसी भाषा बहुत ही दुर्लभ जानकारी है) - डिक्रिप्ट_ड्रेडेड स्क्रिप्ट, जो / lib / cryptsetup / स्क्रिप्ट में है (बेशक, अभी भी तरीके हैं, लेकिन मैंने इन दोनों का उपयोग किया, जिसने लेख का आधार बनाया)। मैं रिबूट के बाद पूर्ण स्वायत्त समावेशन के लिए भी प्रयास करता हूं, बिना किसी अतिरिक्त आदेश के कंसोल में। तो इंतजार क्यों? -

चलो शुरू हो जाओ!

हम एक प्रणाली मानते हैं, उदाहरण के लिए, क्रिप्टो-विभाजन sda3_crypt पर स्थापित डेबियन और एक दर्जन डिस्क जो आप की तरह एन्क्रिप्ट करने और बनाने के लिए तैयार हैं। हमारे पास sda3_crypt को अनलॉक करने के लिए एक पासफ़्रेज़ है और यह इस खंड से है कि हम चल रहे (डिक्रिप्ट) सिस्टम पर पासवर्ड से "हैश" हटा देंगे और इसे अन्य ड्राइव में जोड़ देंगे। सब कुछ प्राथमिक है, कंसोल में हम निष्पादित करते हैं:

/lib/cryptsetup/scripts/decrypt_derived sda3_crypt | cryptsetup luksFormat /dev/sdX

जहां एक्स हमारे डिस्क, विभाजन, आदि है।

हमारे पासफ़्रेज़ से "हैश" के साथ ड्राइव को एन्क्रिप्ट करने के बाद, आपको यूयूआईडी या आईडी का पता लगाने की आवश्यकता है - यह निर्भर करता है कि आप किस और किसके लिए उपयोग किए जाते हैं। हम क्रमशः / देव / डिस्क / बाय-यूआईडी और बाय-आईडी से डेटा लेते हैं।

अगला चरण काम करने के लिए आवश्यक कार्यों के लिए फ़ाइलों और मिनी-स्क्रिप्ट की तैयारी है, हम आगे बढ़ते हैं:

 cp -p /usr/share/initramfs-tools/hooks/cryptroot /etc/initramfs-tools/hooks/ cp -p /usr/share/initramfs-tools/scripts/local-top/cryptroot /etc/initramfs-tools/scripts/local-top/

आगे

 touch /etc/initramfs-tools/hooks/decrypt && chmod +x /etc/initramfs-tools/hooks/decrypt

सामग्री ../decrypt

 #!/bin/sh cp -p /lib/cryptsetup/scripts/decrypt_derived "$DESTDIR/bin/decrypt_derived"

आगे

 touch /etc/initramfs-tools/hooks/partcopy && chmod +x /etc/initramfs-tools/hooks/partcopy

सामग्री ../partcopy

 #!/bin/sh cp -p /sbin/partprobe "$DESTDIR/bin/partprobe" cp -p /lib/x86_64-linux-gnu/libparted.so.2 "$DESTDIR/lib/x86_64-linux-gnu/libparted.so.2" cp -p /lib/x86_64-linux-gnu/libreadline.so.7 "$DESTDIR/lib/x86_64-linux-gnu/libreadline.so.7"

कुछ और

 touch /etc/initramfs-tools/scripts/local-bottom/partprobe && chmod +x /etc/initramfs-tools/scripts/local-bottom/partprobe

सामग्री ../partprobe

 #!/bin/sh $DESTDIR/bin/partprobe

और अंतिम, अपडेट-इनट्रैमफैट से पहले, आपको फ़ाइल को संपादित करने की आवश्यकता है / etc / initramfs-tools / script / local-top / cryptroot, पंक्ति ~ 360 पर शुरू होकर, नीचे दिए गए कोड का एक टुकड़ा

मूल

 # decrease $count by 1, apparently last try was successful. count=$(( $count - 1 )) message "cryptsetup ($crypttarget): set up successfully" break

और इस फॉर्म में लाएं

संपादित

 # decrease $count by 1, apparently last try was successful. count=$(( $count - 1 )) /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-uuid/ *CRYPT_MAP* /bin/decrypt_derived $crypttarget | cryptsetup luksOpen /dev/disk/by-id/ *CRYPT_MAP* message "cryptsetup ($crypttarget): set up successfully" break

कृपया ध्यान दें कि यहां यूयूआईडी या आईडी का उपयोग किया जा सकता है। मुख्य बात यह है कि एचडीडी / एसएसडी उपकरणों के लिए आवश्यक ड्राइवरों को / etc / initramfs-tools / मॉड्यूल में जोड़ा जाता है। आप यह जान सकते हैं कि udevadm info -a -n / dev / sdX द्वारा किस ड्राइवर का उपयोग करना है ? egrep 'देख | DRIVER' ।

अब जब हम समाप्त हो चुके हैं और सभी फाइलें अपडेट हो चुकी हैं, अपडेट-initramfs -u -k all -v , तो लॉगिंग में हमारी स्क्रिप्ट के निष्पादन में कोई त्रुटि नहीं होनी चाहिए । हम रिबूट करते हैं, पासफ़्रेज़ में प्रवेश करते हैं और डिस्क की संख्या के आधार पर थोड़ा इंतजार करते हैं। इसके बाद, सिस्टम शुरू हो जाएगा और रूट विभाजन के बाद, स्टार्टअप के अंतिम चरण में, अर्थात्, "विभाजन" को निष्पादित किया जाएगा - यह LUKS उपकरणों और किसी भी सरणियों पर सभी बनाए गए विभाजनों को ढूंढेगा और उठाएगा, चाहे वह FSFS या mdadm, समस्याओं के बिना इकट्ठा होगा! और इन सभी सेवाओं और सेवाओं को लोड करने से पहले इन डिस्क / सरणियों की आवश्यकता होती है।

update1 : जैसा कि AEP ने नोट किया है , यह विधि केवल LUKS1 के लिए काम करती है।

बूट समय पर LUKS कंटेनर को डिकोड करना

More articles: