Dotaz: Jak zadat vzdáleně heslo

[Matej]

Ahoj, při instalaci jsem použil na disky encrypt LVM a po restartu to chce heslo. Existuje něco jak se na to dostat přes SSH nebo jak jinak zadat toto heslo na dálku? Jen zmíním, že se jedná o velkou dálku :D Díky za tipy...

Odpovědi

[Josef Kufner]

Pokud jsi nainstaloval / do šifrovaného LVM, tak musíš nainstalovat do init ramdisku SSH, na které se půjde připojit. Pokud jsi nainstaloval a rebootnul, máš smůlu a uděláš si výlet. Případně můžeš někomu zavolat, ať ti na tu danou partition nahraje přegenerovaný initrd (pokud máš třeba zálohu na které to můžeš přegenerovat).

[Matej]

Ahoj, a jak můžu nainstalovat do init ramdisku SSH? Co je to /? Zvolil jsem všechno spolu, nic se nerozdělovalo na disku.

[k3dAR]

/ je korenovy adresar, tedy rootfs(root filesystem), neboli proste system(= GNU/Linux, tebou zvolene distro na disku)...
pridani SSH urcite nenaklikas a kdyz nevis co je / tak to asi bude pro tebe peknej orech ;) v zasade jde o:
1. (pro informaci) init ramdisk (neboli initrd) je minimalistickej Linux system, kterej ma (napr. v *buntu) ~35MB (komprimovanej), zavadi se po nacteni jadra(linux kernelu) a slouzi k pripraveni HW pro pripojeni realneho(hlavniho) systemu, obsahuje zakladni nastroje, prevazne zajistene multibinarkou BusyBox, sadu skriptu, zakladni moduly jadra (neobsazene v jadru a vyzadovane pro zakladni donahozeni HW), provadi to ze natahne patricne ovladace, zajistuje rozpoznani kernel parametru (predavane grubem ci jinym bootloaderem), zpristupnuje LUKS(coz muze delat i grub pri NonUEFI pouziti pokud clovek chce i /boot sifrovanej, coz tvoje naklikani instalatorem (skoro)urcite nema), LVM ci MDADM, a par "dalsich veci", kdy zakonceni je prave prepnuti na init na hlavnim systemu na kterej se prepne a zbytek priprav HW i dostupny SW je na nem...
pro info, initrd neni nutne vyzadovan, lze (v urcitem distru vice ci mene snadneji) ho vypustit a jadro rovnou vola init z hlavniho systemu (z rootfs /)...

2. pridani SSH znamena pridat ssh server do initrd, z principu je nevhodny (nerikam ze nejde) openssh-server kvuli jeho velikosti, nevyuzitym moznostem a zavislosti na dalsich knihovnach, takze prichazi v uvahu nejakej minimalistickej ssh server, jako kandidat je asi nejvhodnejsi volba dropbox, kterej sice nenabizi tolik moznosti, ale to co pozadujes rozhodne ano...
zaroven pak je potreba upravit scripty v initramfs aby s tim pocitali, tzn. aby detekovali napr pridanej (tebou zvolenej) cmdline parametr aby system vedel ze ma nahodit SSH a cekat dokud nebude LUKS tebou odemcen a pro initrd dostupny odemcenej rootfs...
nereknu ti ted presnej postup, pred casem sem to delal pro arm zarizeni a bylo to za chvilku, ale tam sem celej initrd delal sam, takze sem nebyl vazanej na systemovej vcetne nutnosti zachovat funkcnost pri update systemu a tedy autopregenerovani initrd pri kterem to potrebujes nechat zachovane (resp. take automaticky generovane)... na druhou stranu uz si dlouho rikam ze to udelam na jendom NB kterem pravidelne jen uspavam a vzdalene se k nemu pripojuju, ale obcas by se restart (jednou za par mesicu) hodil bez me lokalni pritomnosti ;) pokud se neukaze nekdo s hotovym resenim a budes plavat, mozna se behem par dnu ukazui s postupem reseni pro *buntu(tedy nejspis i Mint/Debian) :)

[Matej]

Díky za info ale tohle asi (spíš určitě) nedám. Tady na abclinuxu jsem kdysi před x lety našel návod nebo odkaz na návod jak se zašifrovaný server 1 připojí na server 2, stáhne si z toho serveru 2 nějaký klíč nebo tak něco a server 1 se odemkne. Pokud daný server 2 bude nedostupný, server 1 se neodemkne. Ať hledám jak hledám prostě to nemůžu najít :( To by mi asi i stačilo, jen to najít.

[k3dAR]

tak uvidim jestli na to najdu cas a zkusim, kdyz se mi to podari, tak urcite bude ve vysledku postup pro tebe snadnej ;)
jen opravim co sem pretim psal, ten vhodnej ssh server neni samozrejme dropbox, ale dropbear ;)

[k3dAR]

jeste k te tve "obracene" variante, na realizaci to bude v podstate totozne, akorat v initrd misto ssh serveru, by byl ssh client... na radu by to prislo v pripade kdyz bys chtel to odemceni automaticke, zaroven by samozrejme slo mit v initrd jak klient tak server, s tim ze by se zkusilo odemknout automaticky klicem na vzdalenem serveru a kdyz by to nevyslo byla by stale moznost se na to vzdalene prihlasit a odemknout rucne...

[lertimir]

No, myslím si, že bys měl začít tím, že si uděláš jasno co a proč děláš. Proti čemu má fakticky šifrování chránit a jaký celý účel této záležitosti. Zatím z toho mám pocit, že jsi po instalaci zadal, ať se provede šifrovaná instalace spíše ze zájmu, než z nějakého silného účelu. A to jsi po instalaci systém ani nerebootnul a odjel? Nebo jsi instaloval vzdáleně, do nějakého virtuálu v servrovně? Pokud ano, tak tím způsobem, jak jsi instaloval dostaneš i požadavek na heslo. Celé to mít postavené tak, že nejsi schopen se dostat na konsoli mi přijde špatně. Ano je pravda, že člověk to skoro nikdy nepotřebuje, ale když to potřebuje a nemá je v problému. Třeba může nastat situace, kdy po nějaké aktualizaci se něco rozbije, a systém dojede do (maintenace) single user modu a na konzoli chce zadat rootové heslo a bez něj se nehne, nic nemá, žádné ssh, žádnou síťovou komunikaci. Nestává se to často, ale někdy se takový problém přihodit může a bez přístupu a ovládání konzole se serverem nic neudělá. Ostatně, když jsi to nainstaloval, mohl bys to stejným způsobem i přeinstalovat. (tedy pokud to fakt nebylo tak, že jsi někam přijel, něco dělal a pak odjel bez vyzkoušení funkčnosti)

[Matej]

A to jsi po instalaci systém ani nerebootnul a odjel?

Přímo v serverovně jsem nainstaloval OS, nastavil SSH, restartoval PC, zadal heslo a odjel. Teď se dostanu na server přes SSH ale jsem ve stádiu, že se nesmí server restartovat dokud nevyřeším zadání hesla přes SSH.

[lertimir]

Co je to za serveer? Normální servery mají vzdálenou konzoli. Např. Dell má DRAC. (obecně LOM). Provozovat jakékoli vzdálené servery bez takového přístupu je bláznovství.

[Matej]

Je to klasicke PC a DRAC znám, jenže karta do PC se patrně neprodává, aspoň jsem žádnou nenašel.

[lertimir]

Prodává.

[Matej]

Díky. Vidiš jak jsi dobrý, tohle bych já nenašel ani za sto let :( 5 klacků je ale fakt síla, hm, hm.. A to budu muset mít 2 IP adresy? Nebo stačí jen ta jedna co mám a v routeru si přeposlat jiné číslo portu nebo jak to je, nevíš?

[j]

Pokud pred to das NAT tak dve IP nepotrebujes. Ale pocitej s tim, ze tyhle veci nejsou zrovna zarnou ukazkou bezpecnosti a vystavovat je na net neni ani trochu dobrej napad.

A apropos, pokud se sifruje na serveru, tak se sifruji vzdy az data, system ne, prave proto, aby to nabehlo. Preboot auth ma smysl u desktopu - protoze u nej sedis a ses schopnej to heslo zadat. Na serveru muzes samo pouzit klic, kterej nejak nekde pripojis, ale bezpecnost je pak dana prave zpusobem pripojeni - kdyz tam das USB, tak je presne nulova. Smysl ma spis nejaky nacteni po siti, coz jak uz bylo receno vyzaduje aspon to SSHcko.

[Jendа]

Díky za info ale tohle asi (spíš určitě) nedám.

Tak si asi budeš muset někoho sehnat.

Tady na abclinuxu jsem kdysi před x lety našel návod nebo odkaz na návod jak se zašifrovaný server 1 připojí na server 2, stáhne si z toho serveru 2 nějaký klíč nebo tak něco a server 1 se odemkne.

Takhle automaticky bych to nedělal, protože útočník se může taky připojit na server 2 a stáhnout si klíč

[Jendа]

dropbox

Dropbear.

Mimochodem na Debianu ho stačí nainstalovat, pokud se detekuje, že je / šifrované, do initramdisku se přidá automaticky. Pak je potřeba vyřešit aby v initramdisku jela síť (partametrem ip=xxx jádra, na DHCP se možná zeptá automaticky) a minimálně v Debianu 8 si zkopírovat klíč z /etc. Sorry, naposledy jsem to dělal na Debianu 8 před lety, ale pamatuju si, že to bylo fakt jednoduché.

[Sten]

DHCP se zapne parametrem ip=dhcp.

Tady je návod.

[Jendа]

Přesně tak.

Jinak ta část Unlock Script už není potřeba (skript je už v distribuci) a network hardware module mi to taky přidalo automaticky.

[Matej]

Nějaký lepší návod není? Toto je klasický návod pro "nikoho", vy co jste tady to nepotřebujete a my co ho potřebujeme tak se v tom stejně nevyznáme jelikož návod psal někdo, kdo si myslí, že je chytrý jako on sám, nedokáže ani napsat příkaz na jeden řádek (když má na jednom řádku být).

[zajdee]

Návod je (anglicky).

Nezapomeňte ale na rizika - server Vám může někdo nabořit a zmodifikovat initramfs tak, že Vámi zadané heslo nejprve nahraje na vzdálený server.

[Matej]

Kašlu na to, linux je pro lidi kteří mají na to buňky a čas instalovat každou p*čovinu týden. My ostatní musíme zůstat o pitomých a předražených Windows...

[lertimir]

No pokud ti Windowsy udělají stejnou funkcionalitu, tedy zašifrovaný celý systém, je to nejlepší řešení. Není to o tom, že bys každou p*čovinu instaloval týden, ale o tom, že musíš pochopit, jak ten systém funguje, jaké má části a co spolu dělají. Nikdo ti tady neřekne přesný příkaz, protože nikdo neví, jestli se ti disky pojmenovávají a instaluji jako sda, sdb, nebo se jmenují podle UUID, jak jsi si rozdělíl oddíly, jak se ti fakticky jmenuje ta LVM skupina a další věci. Na rozdíl od widli, linux ti nikdy nic nedělá sám, automaticky, proto že by si autoři systému mysleli lépe než uživatel, co on potřebuje. Je to vždy na uživateli. Při instalaci ti třeba může systém něco navrhnout a udělat, aby jsi to nemusel dělat ručně, ale kdykoliv do čehokoliv zasáhneš, systém to neopraví, protože uživatel(v roli správce) je vládce. Na druhou stranu, téměř nikdy tu nejsi v situaci, když chceš něco udělat a systém tě nenechá. Musíš si vybrat.

[Jendа]

Nikdo ti tady neřekne přesný příkaz, protože nikdo neví, jestli se ti disky pojmenovávají a instaluji jako sda, sdb, nebo se jmenují podle UUID, jak jsi si rozdělíl oddíly, jak se ti fakticky jmenuje ta LVM skupina a další věci. Na rozdíl od widli, linux ti nikdy nic nedělá sám, automaticky, proto že by si autoři systému mysleli lépe než uživatel, co on potřebuje.

No zrovna tohle se mi v Debianu v initramdisku nastavilo automaticky . Jediné co jsem musel řešit je ta síť, buď DHCP, nebo již zmíněný parametr ip kernelu (to by se mohlo nastavit samo, nevím, proč to tam neimplementovali), a SSH klíč (což je logické, to automaticky nastavit nejde).

[j]

Pokud si na widlich zasifruje system, bude na tom uplne stejne - teda s tim rozdilem, ze na widlich se na sit pred bootem widli nijak nedostane.

[Jendа]

nedokáže ani napsat příkaz na jeden řádek (když má na jednom řádku být)

Návod jsem si zběžně prošel a žádnou takovou chybu jsem v něm nepotkal.

Mimochodem nevím, jestli by se měl starat o fyzický server bez vzdálené administrace někdo, kdo nedokáže pochopit smysl poměrně jednoduchých příkazů a pouze je kopíruje z internetu do terminálu. Jako administrátor musím řešit i složitější problémy než instalace serveru do initramdisku - jak ten server asi dopadne?

Kašlu na to, linux je pro lidi kteří mají na to buňky a čas instalovat každou p*čovinu týden. My ostatní musíme zůstat o pitomých a předražených Windows...

Windows umí mít šifrovaný systém a odemykat přes bootloader/initramdisk po síti? A nastavuje se to jednodušeji než nainstalováním jednoho balíčku a přidáním SSH klíče do konfiguráku?

Kašlu na to, linux je pro lidi kteří mají na to buňky a čas instalovat každou p*čovinu týden. My ostatní musíme zůstat o pitomých a předražených Windows...

Bylo nám potěšením. Tohle není komerční support a nikdo ti licence neprodává. Osobně je mi úplně ukradené, jestli budeš používat Linux, Windows, nebo třeba Haiku.

Pokud čas nemáš, můžeš za A) někomu říct (jak už tady padlo) ale to je další problém, jelikož stejně ve finále nikoho neseženeš

Kdybych k tomu měl přístup, tak bych to klidně udělal, ale takhle si netroufnu, protože to na první pokus nemusí vyjít a jak to pak jako resuscitovat, že jo.

B) zatnout zuby a zůstat u Windows

Schopnosti administrace Windows jsou v genetické paměti a není třeba se je učit nebo co? Já jsem Windows nikdy v životě nepoužíval a pro změnu zase neumím nic nastavit v nich. Asi to nebude o OS...

[Matej]

Návod jsem si zběžně prošel a žádnou takovou chybu jsem v něm nepotkal.

Špatně jsi procházel, ale to je jen prkotina, horší je to, že nikde není napsáno kde se má který příkaz spustit, co který název znamená atd...

Mimochodem nevím, jestli by se měl starat o fyzický server bez vzdálené administrace někdo, kdo nedokáže pochopit smysl poměrně jednoduchých příkazů a pouze je kopíruje z internetu do terminálu.

To je pouze úhel pohledu zkušeného linuxáka, jiní na to budou mít zcela určitě odlišný názor.

Jako administrátor musím řešit i složitější problémy než instalace serveru do initramdisku..

Já nemusím, jak si to uděláš, tak to máš.

jak ten server asi dopadne?

To jako když někdo neumí nastavit ssh v initramdisku tak je totální trouba, který vůbec nic neumí a je k ničemu?

Windows umí mít šifrovaný systém a odemykat přes bootloader/initramdisk po síti?

Ani náhodou, jinak bych tu nebyl

Tohle není komerční support a nikdo ti licence neprodává.

A právě o tom to je, satelitní karta mi na desktopu nejede 2 roky, na 10 dotazů jsem nedostal ani jednu odpověď.

Kdybych k tomu měl přístup, tak bych to klidně udělal, ale takhle si netroufnu, protože to na první pokus nemusí vyjít a jak to pak jako resuscitovat, že jo.

Pokud je to tak jednoduché, tak napiš postup k pochopení sem (na vlastní riziko) určitě se to hodí více lidem

Schopnosti administrace Windows jsou v genetické paměti a není třeba se je učit nebo co?

Nemusíš se učit nic, stačí se jen zeptat, na 99.9% dostaneš odpověď která vyřeší tvůj problém. Žádný problém, ale pokud máš linux a neumíš na něm, zeptej se na linux fóru a já se tě zeptám za půl roku zda ti to už funguje, odpovídat nemusíš, je to NE!

Já jsem Windows nikdy v životě nepoužíval a pro změnu zase neumím nic nastavit v nich.

Tak se zeptej ;)

Asi to nebude o OS...

Právě, že to o OS je.

[Aleš Kapica]

Návod jsem si zběžně prošel a žádnou takovou chybu jsem v něm nepotkal.

Špatně jsi procházel, ale to je jen prkotina, horší je to, že nikde není napsáno kde se má který příkaz spustit, co který název znamená atd...

Mimochodem nevím, jestli by se měl starat o fyzický server bez vzdálené administrace někdo, kdo nedokáže pochopit smysl poměrně jednoduchých příkazů a pouze je kopíruje z internetu do terminálu.

To je pouze úhel pohledu zkušeného linuxáka, jiní na to budou mít zcela určitě odlišný názor.

Jako administrátor musím řešit i složitější problémy než instalace serveru do initramdisku..

Já nemusím, jak si to uděláš, tak to máš.

jak ten server asi dopadne?

To jako když někdo neumí nastavit ssh v initramdisku tak je totální trouba, který vůbec nic neumí a je k ničemu?

Ano je trouba, protože se sere do věcí kterým nerozumí, porozumět evidentně ani nechce. S takovou by měl jít od toho raději pryč, než to skončí fatálním průserem.

[j]

To je pouze úhel pohledu zkušeného linuxáka, jiní na to budou mít zcela určitě odlišný názor.

Ne, to je nazor svepravnyho cloveka, a nikdo normalni na to jinej nazor mit nebude. Vymenujes si v aute prevodovku nebo to das do servisu? Rozmlatis dvere palici nebo si pozves zamecnika?

[Aleš Kapica]

8-D zapomínáš, že většina zdejších lidí byla na počátku ve stejném bodě jako ty.

[Matej]

Ale nezapomínám, jenže je to o času, když máš hodně času můžeš laborovat s linuxem jak chceš (pokud tě to baví). Pokud čas nemáš, můžeš za A) někomu říct (jak už tady padlo) ale to je další problém, jelikož stejně ve finále nikoho neseženeš nebo za B) zatnout zuby a zůstat u Windows. :(

[Aleš Kapica]

No a právě o tom to je. Pokud ti začnou problémy MS Windows žrát víc času, než kolik by zabralo řešení problémů spojených s linuxovým prostředím, je přesně ten okamžik kdy překročíš pomyslný Rubikon.

Pokud máš vyšší nároky než běžný BFU, tak k tomu dříve či později dojde, protože některé věci v MS Windows zkrátka uspokojivě vyřešit nelze. Kupř. tak banální věc, jakou je bezpečí lokálně uložených dat se nakonec řeší tím, že se pro MS dopíše driver pro Btrfs, které podporuje raid1 na úrovni dat. Ve všech případech co jsem kdy slyšel, že se někdo pokusil o softwarový raid v MS Windows to po skutečném selhání HDD obvykle nedopadlo nejlépe.

[Josef Kufner]

Ještě je možnost použít TPM na uložení hesla či klíče k disku. Pak by disk fungoval jen v tom jednom fyzickém počítači.

Další možnost je vyrobit si keyfile, dát ho do nešifrovaného /boot a nastavit, ať se použije (přidat do luks, přidat do crypttab a přegenerovat initrd). Sice to nebude zabezpečené, ale bude ti fungovat server dokud to neopravíš. Asi by bylo rozumné ten keyfile aspoň dát na jiný fyzický disk, aby to šifrování nebylo úplně na nic.

[GeorgeWH]

Co je to /?

wtf!?!?!? do pice to akoze vazne!?!?!?

[langhos]

tak po trose hledani jsem ti tu neco nasel... mozna krapet starsi ale urcite to pujde ohnout... bylo to tu zminene... jmenuje se to Dropbear SSH..

• Remote unlocking LUKS encrypted LVM using Dropbear SSH in Ubuntu Server 14.04.1 (with Static IP)
• SSH to decrypt encrypted LVM during headless server boot?

sic je to po anglicku ale google translate prinejhorsim poradi :)

[Jendа]

Je to starší, ale přesně takhle jsem to dělal. Jenom jak už jsem psal - crypt_unlock.sh už není potřeba, zahrnuli to přímo do distribuce.

[k3dAR]

pokud si langhos Matej, tak by me zajimalo co byla "trocha hledani", protoze sem ti to popsal sice obecne ale dostatecne na to aby jsi do google zadal: linux luks open boot dropbear a za par vterin bys videl hromadu vysledku ;) ja ti takove odkazy nedaval prave proto ze nevim z praxe co jeste je a co neni potreba a myslel sem ze se k tomu dostanu brzo, no zatim se nedostal a koukam ze si nastolil trochu arogantni ton takze jeste ze sem tomu nedal vetsi prioritu nez dulezitejsim vecem co resim ;)

[Matej]

Ale prdlajs ;)

[Matej]

Já myslím, že to můžeme uzavřít, 4K bez DPH to vyřešilo :( Díky všem za Váš čas a informace....

[k3dAR]

a pritom by asi stacilo

sudo apt install dropbear
 

a zkopirovat svuj ssh klic - verejnej (pro rucni odemceni ze stanice na netu) a/nebo privatni (pro automaticke odemceni stazenim luks klice z jineho serveru na internetu)

[k3dAR]

*stacilo po tom co Jenda upozornil ze initrd scripty si sebou uz nese dropbear, coz sem si potvrdil tim ze se podival do obsahu balicku dropbear v *buntu 14.04 a 17.10 (kde to bylo(resp. uz v nejakem drivejsim vydani) vycleneno do balicku dropbear-initramfs aby sla odinstalovat tato odemikaci initrd funkce pri zachovani bezne ssh server/klient funkce)...
takze reseni nebylo na tyden, ale asi na 5minut ;)

[lertimir]

Nestačilo. Pro člověka, který systému nechce rozumět by to nebylo řešení. (stejně tak by bylo řešení, když by to celé přeinstaloval bez šifrování, protože si stejně tak myslím že ho nepotřebuje a win mu ho taky nedají.)

[k3dAR]

ze tomu nechce rozumet mi doslo, ale jinak by to nejspis stacilo :) dropbear si dotahne scripty do initramfs, mozna resi i klice, uplne sem to nezkoumal, spis sem reagoval na to, ze bylo zmineno nekolik navodu (vcetne nekolika dalsich co sem pred prvnim komentarem dohledal) kde je spousta kroku co jiz nejsou treba, protoze slo o stare navody...
teda osobne sem to jeste nevyzkousel, protoze na HW kde bych to vyuzil mi az pak doslo, ze mam sifrovanej i boot a odemykam primo grubem... vyzkousim to az najdu cas teda jeste na jinem HW, kde to mam sice stejne, ale nejak si to poresim :)

[the.max]

Na tohle používám better-initramfs. Přišlo mi to jako nejrychlejší a nejjednodušší metoda pro vzdálené zadání hesla pro disk.