Как LUKS работает?
Мне было просто любопытно, если у кого-то был обзор высокого уровня того, как система как LUKS работала на полное шифрование диска, иначе. как это хранит ключи и как те ключи проверяются, и если данные дешифрованы оберткой для всего стандарта i/o. Я нашел краткое описание того, как рычаги LUKS в процесс init здесь Полное Системное шифрование с LUKS на бездисплейном сервере - разблокировали с dropbear и busybox. Как?
1 ответ
Luks является слоем шифрования на блочном устройстве, таким образом, он воздействует на конкретное блочное устройство и выставляет новое блочное устройство, которое является дешифрованной версией. Доступ к этому устройству инициирует прозрачное шифрование/дешифрование, в то время как это используется.
Это обычно используется или на разделе диска или на физическом томе LVM, который позволил бы несколько разделов в том же зашифрованном контейнере.
LUKs хранит набор метаданных в начале устройства. Это имеет слоты для нескольких паролей. Каждый слот имеет соль на 256 битов, которую показывают в ясном наряду с зашифрованным сообщением. При вводе пароля LUKS комбинирует его с каждыми из солей в свою очередь, хешировании результата и попыток использовать результат в качестве ключей для дешифрования зашифрованного сообщения в каждом слоте. Это сообщение состоит из некоторого известного текста и копии главного ключа. Если это работает на кого-либо из слотов, потому что известный текст соответствует, главный ключ теперь известен, и можно дешифровать весь контейнер. Главный ключ должен остаться незашифрованным в RAM, в то время как контейнер используется.
Знание главного ключа предоставляет Вам доступ ко всем данным в контейнере, но не показывает пароли в слотах пароля, таким образом, один пользователь не видит паролей других пользователей.
система не разработана, чтобы пользователи смогли видеть главный ключ, в то время как в операции и этом ключе не может быть изменен без перешифрования. Использование слотов пароля, однако, означает, что пароли могут быть изменены, не повторно шифруя весь контейнер и допускают использование нескольких паролей.