Dotaz: Jak zašifrovat stávající funkční instalaci Linuxu ?

[PetrK.]

Dobrý den.
Prosím, existuje nějaká možnost, jak zašifrovat existující instalaci Linuxu bez toho, aniž bych musel provádět migraci na druhý (pro šifrování připravený) disk ?

rozdělení oblastí

512MB /boot
4GB swap
38GB /

Děkuji za každou radu.
Petr

Odpovědi

[Pavel 'TIGER' Růžička]

Jistěže, ale záleží na tom, jak moc to chceš šifrovat. Nevím, jestli to půjde zašifrovat na úrovni celého disku, teoreticky ano, prakticky se může narazit na jistá omezení. Avšak na úrovni oddílů by to neměl být žádný problém.

[NN]

Vzhledem k tomu ze ma podle vypisu vsechno na jednom oddilu bych uvazoval o zaloze dat a reinstalaci s sifrovanim. Bude to jednoduzsi nez carovat s oddilama za jizdy.

[Pavel 'TIGER' Růžička]

Asi myslíš všechny tři oddíly na jednom disku.

[NN]

To take, ale myslel jsem ten nerozdeleny root:

38GB /

[Josef Kufner]

Ano, jde to. Jsou v podstatě dva způsoby, jak to udělat.

1. Přesunout vše na jiný disk. Původní disk zašifrovat. Vše přesunout zpět.
2. Zašifrovat oddíl na místě bez přesunu dat a doufat, že to vyjde.

Pokud máš dostatek volného místa na disku, můžeš použít místo druhého disku ten samý disk. Napřed zmenšíš aktuální oddíl na polovinu a vytvoříš za ním nový oddíl. Do nového oddílu zkopíruješ ten první. Pak zlikviduješ původní oddíl, vytvoříš šifrovaný oddíl a nakopíruješ data zpět.

Pro vytvoření šifrovaného oddílu bych doporučoval použít instalátor a nechat si nainstalovat minimální bootovatelný systém. Při kopírování dat zpět pak zachovej konfiguraci bootloaderu (Grub) a konfiguraci oddílů /etc/fstab a /etc/crypttab – vůbec doporučuju si ten minimální systém odkopírovat stranou (alespoň /etc), abys pak mohl kouknout, co jsi ještě zapoměl nastavit. Před šifrováním se ujisti, že máš v původním systému nainstalované nástroje prošifrování (cryptsetup, luks a lvm) a je ideální mít stejnou verzi jádra, jako je na instalačce.

Druhá možnost, výrazně riskantnější, je disk zašifrovat na místě a data nijak nepřesouvat. Návody na to najdeš. Na první pohled se zdá, ze https://www.johannes-bauer.com/linux/luksipc/ to má celkem správně a hlavně tam má pěkné obrázky a vysvětlení, proč to není až tak triviální operace.

Ať už to uděláš jakkoliv, tak jako tak si v první řadě udělej kompletní zálohu a ujisti se, že ta záloha je v pořádku. Je docela pravděpodobné, že ji využiješ.

[Jendа]

Návody na to najdeš. Na první pohled se zdá, ze https://www.johannes-bauer.com/linux/luksipc/ to má celkem správně a hlavně tam má pěkné obrázky a vysvětlení, proč to není až tak triviální operace.

To vypadá zastarale (2015) (což nemusí znamenat že je to nefunkční), už pár let má tohle LUKS přímo v sobě.

[Josef Kufner]

Na tom odkazu se mi líbily ty obrázky, co se na disku děje. Přijde mi to docela dobře vysvětlené. Jinak cryptsetup-reencrypt je určitě ten správný nástroj.

Otázka ještě je, jestli (a jak) tam dostat kolem toho LVM, aby se dal přidat šifrovaný swap pro podporu bezpečného uspávání na disk. Ovšem pokud takový požadavek není, tak by opravdu mělo stačit spustit cryptsetup-reencrypt a pak upravit konfiguraci bootování a připojování disku.

[Jendа]

Ano. Zmenšíš / o pár MB (aby se tam vešla LUKS hlavička), spustíš cryptsetup-reencrypt, upravíš konfiguraci zavádění systému (crypttab, fstab, initramdisk), aby s šifrováním počítal.