Dotaz: Jak šifrovat disk

[Jara]

Dobry vecer, poradil by prosim nekdo, jak zasifrovat disk tak, abych mohl zadat heslo bez KVM-ka treba pres SSH? Dekuji za pomoc

---

---

Odpovědi

[kolcon]

Staci do initramdisku pridat napr. dropbear, coz je mini-ssh server. Potom lze mit cely root filesystem sifrovany, nesifrovana zustava tradicne jen /boot partition. Pres ssh se pak lze pripojit, zadat heslo pro root filesystem a pokracovat tak v bootovani (alternatvne lze pak zadat heslo i lokalne z terminalu, tahle moznost tam muze zustat).

Viz. napr. navod na http://gpl.coulmann.de/ssh_luks_unlock.html

[Jendа]

(nutno podotknout, že pokud má někdo fyzický přístup k tomu počítači - může zapisovat na disk - může tam samozřejmě dát backdoor)

[vlanav]

Řešením je dát boot partition na USB disk a ten nosit sebou.

Mimochodem ArchLinux má taky balíček na vzdálené odemknutí - dropbear_initrd_encrypt

[Jendа]

Řešením je dát boot partition na USB disk a ten nosit sebou.

Neřeší HW backdoor (BIOS, keylogger…), navíc požadavkem bylo provést to na dálku.

[SPM]

Nebo pokud není nutné šifrovat celý / ale jen data, tak zašifrovat pouze daný oddíl a připojit ho ručně po tom, co server najede.

[Jendа]

Na Debianu v poslední verzi stačí nainstalovat dropbear a vzít si /etc/initramfs-tools/root/.ssh/id_rsa. Pak se odemyká stylem 'echo -n nbusr123 > /lib/cryptsetup/passfifo'.

[Jara]

Na Debianu v poslední verzi stačí nainstalovat dropbear a vzít si /etc/initramfs-tools/root/.ssh/id_rsa. Pak se odemyká stylem 'echo -n nbusr123 > /lib/cryptsetup/passfifo'.

Buď prosím konkrétnější... Díky ;)

[Jendа]

Zkopíruješ si ten klíč někam k sobě na disk a pak odemykáš od sebe takhle:

ssh -o "UserKnownHostsFile=~/.ssh/known_hosts.initramfs" -i "/home/jenda/bla/id_rsa.ten_zkopírovaný" root@1.2.3.4 "echo -ne \"HESLO\" >/lib/cryptsetup/passfifo"

[xkucf03]

Jen doplním, že psát takhle heslo na příkazovou řádku není ideální, protože se ukládá do historie (lze řešit mezerou na začátku příkazu) a může být zahlédnuto i ve výpisu procesů jinými uživateli.

[Jendа]

OK, no já jsem na desktopu sám a hesla ke všem diskům kromě master hesla mám stejně v password manageru, kde jsou taky nějak uložena.

[Jara]

Tak že když to shrnu..

1) na server v serverovně nainstaluji Debian 7.1
2) po instalaci doinstaluji dropbear, atp-get install dropbear
3) soubor /etc/initramfs-tools/root/.ssh/id_rsa zkopíruji k sobě domů do PC
4) restartuji na serverovně server, ten po restartu najede a čeká na zadání hesla
5) spustím doma na PC třeba Putty a zadám příkaz
ssh -o "UserKnownHostsFile=~/.ssh/known_hosts.initramfs" -i "/plocha/id_rsa" root@1.2.3.4 "echo -ne \"HESLO\" >/lib/cryptsetup/passfifo"
6) odpojím se
7) server na serverovně se začne načítat

Je to tak dobře?

[Jendа]

spustím doma na PC třeba Putty

Ne, tohle vyžaduje openssh. Pokud máš Windows, tak třeba Cygwin. Z Putty by to šlo jinak (musíš tam nějak vnutit ten stažený id_rsa klíč, což nevím, jak se v Putty dělá), přihlásíš se a to echo -ne \"HESLO\" >/lib/cryptsetup/passfifo zadáš přímo tam.

[Jara]

JJ, už to mám, udělal jsem vše dle tvé rady, na lokále to funguje OK, ale pokud to udělám na serveru a doma z linuxu v terminále spustím potřebný příkaz, dostanu pouze ssh: connect to host xx.xx.xx.xx port 22: Connection timed out. Není potřeba něco nastavit někde? Díky

[vlanav]

Ano, jde to i přes PuTTY - ale je třeba použít jiný formát souboru klíče.

[Jendа]

Jenže to ti nehodí timeout.

Tazatel: napadlo mě, že defaultně je tam DHCP. Pokud v cílové síti není, je potřeba předat jádru parametr ip=1.2.3.4::1.2.3.1:255.255.255.0::eth0:none