LINUX.ORG.RU
решено Форум — Security  

Шифрование разделов в debian

 ,


0

1

В дебиане и производных есть стандартное шифрование разделов без LVM. При этом предполагается, что раздел свопа тоже будет зашифрован в обязательном порядке. Т.е. при запуске нужно будет вводить ключевую фразу для свопа (если взять произвольную, то и суспенд не заработает, как я понимаю) и для хомяка. Можно ли как-то обойтись одной ключевой фразой на оба раздела и не вводить ее дважды?

Да. Положи ключ от одного тома на другой. Пример: 

root /dev/disk/by-id/ata-KINGSTON_SV300S37A60G_50026B723706AD6D-part2 none luks,discard
swap /dev/disk/by-id/ata-KINGSTON_SV300S37A60G_50026B723706AD6D-part3 /dev/urandom cipher=aes-xts-plain64,size=256,swap
home /dev/disk/by-id/ata-ST3000VN000-1H4167_W300HWBV-part1 /etc/luks/home.bin luks
srv  /dev/disk/by-id/ata-Hitachi_HDS721010CLA330_JP2940N101DHWV-part1 /etc/luks/srv.bin luks
Есть и более другие варианты типа keyutils.

Gotf ★★★
()
Последнее исправление: Gotf (всего исправлений: 1)

После непродолжительной борьбы с ленью я сдался и сделал LVM с шифрованием на весь диск, т.к. это позволяет избавится от ручного логина в систему не потеряв в безопастности.

siphonops ★★★
() автор топика
Ответ на: комментарий от siphonops

в приведенном конфиге совсем другое написано. ключ от root вводится при загрузке, ключи от home и srv лежат на root, ключ от swap рандомный каждую загрузку

Deleted
()
Ответ на: комментарий от Deleted

в приведенном конфиге совсем другое написано. ключ от root вводится при загрузке, ключи от home и srv лежат на root, ключ от swap рандомный каждую загрузку

Если шифровать вместе с рутом, то LVM имеет преимущество удобства, да и расшифровать его сложнее, как мне кажется, чем несколько отдельных разделов.

ключ от swap рандомный каждую загрузку

Этот вариант не позволяет использовать гибернацию (хотя она мне и не требуется, но мало ли вдруг).

siphonops ★★★
() автор топика
Ответ на: комментарий от siphonops

я бы лично делал шифрование диска (или раздела), а сверху lvm. ты вроде так и сделал в итоге?

Deleted
()
Ответ на: комментарий от Deleted

Ну да, так и сделал. /boot/ + шифрованный LVM. Поначалу я просто боялся тормозов и хотел оставить корень незашифрованным, т.к. ноут очень старый. Но в результате на производительности не сказалось.

siphonops ★★★
() автор топика
Ответ на: комментарий от siphonops

LVM с шифрованием на весь диск

Это правильное решение.

расшифровать его сложнее, как мне кажется, чем несколько отдельных разделов

В смысле взломать? Нет, принципиальной разницы нету. Более того, есть даже обратный пример: использование xts-plain на устройствах больше определённого размера сильно повышает шансы для одной из технологий атаки (xts-plain64 решает эту проблему).

Gotf ★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Security