Повне шифрування диска з без паролем аутентифікацією в Linux

У мене в Debian 5.0.5 є досить стандартна настройка шифрування диска: незашифрований /bootрозділ та зашифрований, sdaX_cryptщо містить усі інші розділи.

Тепер це безголове встановлення сервера, і я хочу мати змогу завантажувати його без клавіатури (зараз я можу завантажувати її лише за допомогою клавіатури та монітора).

Поки що у мене є ідея перемістити /bootрозділ на USB-накопичувач і внести невеликі зміни для автоматичного введення ключа (я думаю, що askpassв скрипті для завантаження десь просто дзвінок ). Таким чином я можу завантажуватися без голови, просто потрібно мати флешку під час завантаження.

Як я бачу, проблема з цим полягає в тому, що

Мені потрібно вкласти час на з'ясування всіх шматочків, щоб це працювало,
Якщо є оновлення, яке відновлює initrd, мені потрібно відновити завантажувальний розділ на USB, що здається нудним.

Питання: чи є стандартне рішення про низьке обслуговування для того, що я хочу зробити? Або я взагалі шукаю деінде?

linux debian encryption

— Олексій Б
джерело

Відповіді:

Ви можете налаштувати вашу систему, щоб вимагати ключ замість пароля та змінити деякі сценарії для пошуку цього ключа на USB-накопичувачі. Я знайшов детальне пояснення цього процесу у Дебіана Ленні. На завершення є деякі примітки, які описують необхідні зміни для новіших версій Debian.

— Марсель Стімберг
джерело

Звучить як те, що мені потрібно. Спершу мені потрібно побачити, скільки зусиль доводиться тримати, щоб працювати між оновленнями, перш ніж приймати відповідь.

— Алекс Б

Гаразд, хоча немає "стандартного" рішення, схоже, це спрацювало.

— Алекс Б

Але тоді в чому сенс повного шифрування диска, якщо ви просто залишаєте ключі, що лежать навколо в простому тексті?

Щоб це працювало, вам знадобиться щось на кшталт того, якою повинна була бути Довірена обчислювальна платформа до того, як Microsoft та Big Media захопили її для власних цілей злих користувачів.

Ідея полягає в тому, щоб чіп тримав ключі на материнській платі, і мати його потрібно, якщо вони перевіряють, що працює програмне забезпечення правильно підписано довіреною владою (ви). Таким чином, ви не залишаєте ключі на очах і вам не доведеться інтерактивно завантажувати сервер.

Шкода, що я ніколи не бачив, щоб Trusted Computing використовував будь-яке корисне використання , що може бути корисним для кінцевого користувача .

Ключ - це не більше прокладки в простому тексті, ніж ваш ключ SSH, що лежить в простому тексті в ~/.ssh. Я просто хочу мати можливість завантажувати безголовий сервер з повним шифруванням диска і виймати ключ. Я усвідомлюю, що зловмисник може змінити незашифрований розділ завантаження та вкрасти ключ (як і раніше у звичайній версії пароля на основі програмного забезпечення), але я просто захищаю від випадкових крадіжок.

— Алекс Б

Насправді TPM останнім часом повернувся від DRM та до уряду та підприємств. Існує безліч ОС, які можуть використовувати його для зберігання секретних ключів, я не знаю жодної, яка пропонує захист цілісності (тобто не дозволяє зловмиснику вставити кейлоггер /boot).

— Жил 'ТАК - перестань бути злим'

@AlexB: Чи має ваш сервер TPM? Якщо так, ви, ймовірно, можете робити те, що хочете, з Trusted Grub .

— Жил 'ТАК - перестань бути злим'

Зауважте, що є користь від того, щоб залишити ключі в простому тексті - це те, що ви можете повністю стерти конфіденційні дані на диску, не знімаючи нанівець весь диск. Так, ви можете зняти нульовий надблок або таблицю розділів, але, як ми всі знаємо, дані все ще підлягають відновленню з цих операцій.

— strugee

@strugee: якщо ви використовуєте LUKS, занулення заголовка LUKS робить увесь об'єм невідступним. Якщо ви використовуєте звичайний безголовковий dm-crypt, то так, він все одно може бути відновлений пізніше паролем.

— Джей Салліван

Мандос (який я та інші написали) вирішує цю проблему:

Mandos - це система, яка дозволяє серверам із зашифрованими кореневими файловими системами перезавантажуватись без нагляду та / або віддалено. Додаткову інформацію, включаючи список поширених запитань, див . На сторінці керівництва із вступу .

Коротше кажучи, завантажувальний сервер отримує пароль по мережі в безпечному порядку. Детальніше див. У розділі README.

— Тедді
джерело

Навіть якщо це безкоштовне програмне забезпечення, заявивши, що це ваш продукт, було б вдячно, якщо насправді не потрібно . Буде також вдячний більш читаний посилання README / FAQ та коротке пояснення того, як працює Mandos.

— Жиль "ТАК - перестань бути злим"

@Gilles: Готово зараз.

— Тедді