Необслуживаемая начальная загрузка для зашифрованного RAID?
просто недавно плескался в Ubuntu для моего домашнего NAS. Я использую его для медиасервера, а также мой основной репозиторий документов для моих других ПК.
Я хочу использовать своего рода шифрование диска и RAID 1 (у меня есть один SSD для ОС и 2 диска на 4 ТБ для данных). Если я только шифрую RAID и все еще имею необслуживаемое монтирование, есть ли способ бережно хранить ключ шифрования?
Я предполагаю, что могу зашифровать диск ОС, но я потерял бы любую необслуживаемую начальную загрузку. Я только хочу необслуживаемую начальную загрузку в случае, если я должен перезапустить, в то время как я не дома.
1 ответ
Необходимо будет вставить ключ шифрования от локальной консоли во время начальной загрузки при шифровании диска ОС с помощью Ubuntu, создал в полном шифровании диска.
Кажется, существуют способы сохранить ключ шифрования для зашифрованного раздела так, чтобы только корень имел доступ, если это подходит. Если у кого-то еще есть корневой доступ, то у Вас есть большая проблема. Раздел, к которому сохраняется ключ, должен быть зашифрован, и это, вероятно, придется вручную дешифровать.
Можно также просто вручную смонтировать зашифрованный раздел и воздержаться от того, чтобы сохранить файл ключей.
Я скопировал шаги ниже от этой ссылки:
https://www.howtoforge.com/automatically-unlock-luks-encrypted-drives-with-a-keyfile
Кредит исходному автору Stephan Jau
Шаг 1: Создайте случайный файл ключей
sudo dd if=/dev/urandom of=/root/keyfile bs=1024 count=4
Это создаст файл со случайным содержанием с размером 4 096 битов (лучше, чем 20/30 символьный пароль....). Можно использовать любой файл для действия как файл ключей, но я думаю, что файл 4 КБ со случайным содержанием хорош удовлетворенный.
Шаг 2: Сделайте файл ключей только для чтения для укоренения
sudo chmod 0400 /root/keyfile
Это сделает файл ключей читаемым только корнем. Если кто-то получает доступ к этому файлу ключей, то у Вас есть большая проблема на Вашем компьютере так или иначе.
Кроме того, показанный Ваш желаемый файл ключей root:root и перемещению это в / корневую папку
Шаг 3: Добавьте файл ключей к LUKS
Включенные устройства LUKS/dm_crypt могут содержать до 10 различных файлов ключей/паролей. Так, рядом с наличием уже устанавливают пароль, мы собираемся добавить этот файл ключей как дополнительный метод авторизации.
sudo cryptsetup luksAddKey /dev/sdX /root/keyfile
sdX является, конечно, Вашим устройством LUKS.
Сначала Вам предложат ввести (существующий) пароль для разблокирования диска. Если все работает хорошо, необходимо получить вывод как это:
Enter any LUKS passphrase:
key slot 0 unlocked.
Command successful.
Шаг 4: Создайте картопостроитель
Устройства LUKS должны создать картопостроитель, на который можно затем сослаться в fstab. Открытый/etc/crypttab
sudo nano /etc/crypttab
и добавьте затем строку как это:
sdX_crypt /dev/sdX /root/keyfile luks
или можно использовать UUID устройства:
sdX_crypt /dev/disk/by-uuid/247ad289-dbe5-4419-9965-e3cd30f0b080 /root/keyfile luks
sdX_crypt является названием картопостроителя, который создается. Можно использовать здесь любое имя, например, "музыку" или "фильмы" или "sfdsfawe"....
Сохраните и закройте файл путем издания ctrl-x, войдите, войдите. Ctrl-x закрывает нано, но сначала он просит сохранить файл [да =, входят] и чем имя должно быть [то же имя = входит].
Что мы сделали там, на самом деле говорит, что/root/keyfile должен использоваться вместо ввода пароля для разблокирования диска.
Шаг 5: Смонтируйте устройство в fstab
Теперь, у нас есть разблокированное устройство (хорошо, еще но когда система загружается), и мы просто должны смонтировать его теперь. Открытый/etc/fstab:
sudo nano /etc/fstab
и добавьте новую запись как:
/dev/mapper/sdX_crypt /media/sdX ext3 defaults 0 2
Удостоверьтесь, что у Вас есть корректное имя картопостроителя, которое Вы добавили на шаге 4. Также удостоверьтесь, что точка монтирования / папка существует. Добавив это, сохраните снова файл и закройте его (ctrl-x, войдите, войдите).
Шаг 6: Перезагрузка или повторно монтируется
Именно. Теперь можно перезагрузить, и дополнительные устройства должны быть авторазблокированы и смонтированы. Можно также протестировать его путем перемонтирования всех устройств:
sudo mount -a