LINUX.ORG.RU

Загрузка с шифрованного LUKS раздела с получением ключа по сети

 , ,


0

1

Задумка такая: есть два раздела, первый небольшой с базовой системой, второй шифрованный с полноценным дистрибутивом Linux. При запуске компьютера запускается система с первого раздела, подключается к серверу ключей, получает по сети ключ для монтирования диска (криптографию оставим пока), монтирует шифрованный раздел и передает управление ему.
Вопрос в том, как именно на практике передать управление на другой раздел. Допустим, моя система с первого раздела загрузилась и получила ключ для шифрованного LUKS раздела, как запустить систему с него? Надо сделать что-то вроде chroot для всей системы с подменой системного диска (initramfs пусть будет одинаковая). Или запустить grub с этого шифрованного раздела.
Спасибо.


Поздравляю, ты изобрел initramfs! Бери готовый пример и вперед, делай глупость.

t184256 ★★★★★ ()
Ответ на: комментарий от t184256

дополнение

Спасибо, ушел читать. Это делается в рамках дипломной работы, пользой мне видится то, что все системные файлы и БД зашифрованы на харде, ключ только в ОЗУ, и если наш сервер расположен в облаке или обслуживается в сторонней организации, сисадминам гораздо сложнее похитить или модифицировать наши данные, чем если бы они лежали в открытом виде, т.к. одно дело - забрать домой «сломавшийся» диск или слить бэкап, и совсем другое - снять дамп ОЗУ запущенного сервера. А, как вариант, пока сделать упрощенную версию - вся система на открытом диске и монтируются только определенные папки, как /etc, /home, /opt - смысл похожий?

usr13 ()
Ответ на: дополнение от usr13

посмотри в гугле три слова: dropbear, ssh, luks.

Вопросы отпадут сами собой.

dober ()

Смена корневой ФС выполняется с помощью pivot_root(8). А вообще да, выше правильно отметили, что правильный механизм для таких вещей уже придуман и называется initramfs.

intelfx ★★★★★ ()
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: дополнение от usr13

Сама концепция «подключается к серверу ключей, получает по сети ключ для монтирования диска (криптографию оставим пока)» кажется мне полным бредом. На основании чего ты дашь хосту ключ? Почему он не выдастся, когда хост скомпрометируют?

t184256 ★★★★★ ()
Ответ на: комментарий от t184256

Тут только за счет обфускации получается защита, согласен. Расчет больше на защиту от рядовых сисадминов или утерю жесткого диска, от активной атаки не поможет.

usr13 ()
Ответ на: комментарий от usr13

ну так может сделать как умные люди придумали?

t184256 ★★★★★ ()
Ответ на: комментарий от t184256

Имеете в виду dropbear+luks? Как раз что-то такое и хотел найти, не получалось нагуглить. Думаю, это оптимальное решение.

usr13 ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.