Как разблокировать корневой раздел LUKS с помощью ssh (не через dropbear)
Я онлайн искал решение, которое позволит мне автоматически разблокировать машину ubuntu 16.04 LTS с FDE (включая корневой раздел). Я нашел много руководств, которые позволяют удаленное, разблокировали использование dropbear. Идея там состояла бы в том, чтобы позволить пользователю SSH в ту машину надежно передавать пароль. То, что я хочу, является инверсией и не включает сервера SSH на машине, пытающейся смонтировать зашифрованный раздел.
То, что я хотел бы, для того, когда я нахожусь в initramfs, и он собирается попытаться смонтировать зашифрованные разделы, которые он инициирует сессию SSH (такую как захваты файл с помощью scp) для получения пароля. У меня была бы доверяемая машина, которая раздает пароли по сети. Я, может казаться, не нахожу, что информация о initramfs модуле или сценарии делает такой. Конечно, это было бы дальнейшее великое, если это попытается захватить тот файл, но если это не было доступно, это просто приняло значение по умолчанию к захвату консольного входа. Кажется, что, если кто-то добрался, сервер SSH, работающий initramfs это, выдерживает следовать существует некоторый подобный SCP доступный клиент, но я не могу найти никого, там делая это.
В случае, если ни у кого нет идей, от чего я пытаюсь защитить, кто-то крадущий мою оптовую торговлю машиной, но все еще позвольте автоматические перезагрузки. Я просто хочу сохранить ключи в другой машине в удаленном месте, которое вряд ли будет одновременно украдено и использовать форму безопасной передачи, чтобы заставить те ключи загружаться.
Заранее спасибо.
1 ответ
Я соединил довольно простое keyscript для получения ключей по HTTPS. Я пытался решить ту же проблему, я полагаю, что Вы - обеспечение машины против нецеленаправленного воровства при тихом разрешении необслуживаемых перезагрузок.
ключ хранится зашифрованный на другом сервере, и можно настроить стандартную аутентификацию довольно легко - ни одно из этого особенно не помогает, конечно, после того как кто-то украл соответствующую машину! необходимо будет все еще вручную ответить на воровство быстро путем создания ключей недоступными.
(я также сделал свое предельное использование доступа сервера HTTP GeoIP и свои диапазоны IP ISPs, которые могли бы обеспечить некоторую защиту, если я удачлив.)
<час>Шифрование ключа в моем расположении, вероятно, не предоставляет много преимущества, я должен признать. (Но это не делает вещи намного более сложными.)
<час>mandos является попыткой решить подобную проблему, но пытается гарантировать, что ключи будут сделаны недоступными быстро и автоматически если машина, будет казаться, была украдена. Это означает, что требует предположений о времени простоя и немного более замысловатой инфраструктуре.