Dotaz: Konverze existující CentOS 6 instalace na LVM on LUKS

[majales]

Zdravím, Mám několik delší dobu využívaných instalací CentOS 6 s rozdělením disku /boot + vše ostatní na LVM. Nemáte odkaz na nějaký podrobný návod jak je bezbolestně a bezpečně zašifrovat pomocí dm-crypt. Předpokládaná konfigurace by byla nešifrovaný /boot a zbytek disku luks a na něm lvm se stejným rozdělením jaké je v současné instalaci. Stroje jsou virtuální takže případný pracovní disk pro migraci na šifrovaný systém přidat lze.

Odpovědi

[trubicoid]

navodu je spousta, trebas arch je detailni

akurat mi nejak nedochazi, proc sifrujes virtualy? neni lepsi zasifrovat cely host jednou a pak vsechny virtualy na nem uz nesifrovat?

[majales]

Objevil jsem a použil přímočarý a poměrně blbovzdorný postup na konverzi existující CentOS 6 instalace na LVM on LUKSCentOS 6 instalace na LVM on LUKS. V popisu chybí pár informací které se dají najít v předcházejícm blogu od téhož člověka. A ještě tam chybí informace o nastavení /etc/crypttab tak aby se šifrované zařízení po bootu a zadání hesla změnilo na device.

Ještě mě napadlo, že jsem tady na Abclinuxu četl něco o automatickém vložení hesla stažením přes https, nebo přes ssh, ale zapomněl jsem si to uložit do záložek. Nevědel by někdo jak něco takového nastavit? Nedaří se mi to přes vyhledávání najít..

[Jendа]

Nevím jak je to v CentOSu, ale v Debianu to stačí přesunout, napsat to do /etc/crypttab a udělat update-initramfs -u.

Ještě mě napadlo, že jsem tady na Abclinuxu četl něco o automatickém vložení hesla stažením přes https, nebo přes ssh, ale zapomněl jsem si to uložit do záložek. Nevědel by někdo jak něco takového nastavit?

V Debianu stačí zapsat heslo do /lib/cryptsetup/passfifo. Jakým způsobem si ho seženeš už je na tobě, například v initramdisku můžeš mít wget, který si ho stáhne. (útočník si ho pak může stáhnout taky, když se dostane k initramdisku…)

[majales]

Zdravím, něco ohledně modifikace initrd jsem pročetl na webu, ale stále mi není jasné jak přesně by to mělo fungovat. Initrd by mělo umět nastavit statickou IP adresu, ale nevím zda by se povedlo stažení klíče/hesla pomocí scp s přihlášení pomocí klíče (to by se mi líbilo nejvíc) a nebo pomocí curl s přihlášením pomocí jména a hesla (samosebou https). Navíc jsem při tom hledání nenašel případ podobný tomu který snažím vyřešit.

[Jendа]

Když jsem to kdysi dávno řešil v Debianu, tak tam bylo pár skriptů a jeden z nich zjevně odemykal šifrovaný disk, tak jsem ho přepsal. Dále by v konfiguraci Dracutu mohla být konfigurační volba jaké soubory si chceš do initramdisku přibalit, takže se tam dá přidat třeba SSH klíč (v nejhorším initramdisk po sestavení rozbalíš, klíč přidáš a znova zabalíš). A dropbear (obsahuje i SSH klienta) tam snad bude.

Další problém je, že CentOS 6 je dost prehistorická distribuce, takže nevím, jestli tam pro to všechno už bude nativní podpora. Třeba to odemykání přes SSH je v moderních distribucích automatickou samozřejmostí.

[Jendа]

Jo takhle. Příklad řádku v crypttab:

# name   path         keyfile type
foobar   UUID=123-666 none    luks