LINUX.ORG.RU
Форум — Security  

[encryption] swap random key > password

 


0

1

На данный момент своп шифруется при каждой загрузке случайным ключем, настраивал это еще при установке Lenny на ноут с год тому назад.
Появилась потребность в мобильности и нужно использовать hibernate.
На данный момент:

crypttab 

sda2_crypt /dev/sda2 /dev/urandom cipher=aes-cbc-essiv:sha256,size=256,swap
sda3_crypt UUID=XXXXXXXXXXXXXXX none luks

fstab 

# /etc/fstab: static file system information.
#
# <file system> <mount point>   <type>  <options>       <dump>  <pass>
proc            /proc           proc    defaults        0       0
/dev/mapper/sda3_crypt /               ext3    errors=remount-ro 0       1
# /dev/sda1       /boot           ext3    defaults        0       2
UUID=YYYYYYYYYYYYYYYY       /boot           ext3    defaults        0       2
/dev/mapper/sda2_crypt none            swap    sw              0       0
/dev/cdrom        /media/cdrom0   udf,iso9660 user,noauto     0       0

tmpfs /tmp tmpfs defaults 0 0
# none /proc/xen xenfs defaults 0 0

resume 

RESUME=/dev/mapper/sda2_crypt

Перечитываю мануалы, везде приводят хау-ту как использовать рандомный ключ при загрузке, а вот как установить по паролю не нашел. Киньте в меня что-ли примером или парой команд.

★☆

Ответ на: комментарий от GotF

Эммм, а если? 

dd if=/dev/random of=/root/swapkey bs=1 count=256
chmod 600 /root/swapkey
crypttab 
sda2_crypt UUID=ZZZZZZZZZZZZZZZ /root/swapkey cipher=aes-cbc-essiv:sha256,size=256,swap
sda3_crypt UUID=XXXXXXXXXXXXXXX none luks
«/» > CRYPTDISKS_MOUNT=«» 
# Run cryptdisks at startup ?
CRYPTDISKS_ENABLE=Yes

# Mountpoints to mount, before starting cryptsetup. This is useful for
# keyfiles on removable media. Seperate mountpoints by space.
CRYPTDISKS_MOUNT="/"

# Default check script, see /lib/cryptsetup/checks/
# Takes effect, if the 'check' option is set in crypttab without a value
CRYPTDISKS_CHECK=vol_id

# Default precheck script, see 
# Takes effect, if the 'precheck' option is set in crypttab without a value
CRYPTDISKS_PRECHECK=

Как я понимаю, пароль будет запрашиваться только один раз при загрузке на / после чего своп будет шифроваться ключевым файлом. Кроме того, при необходимости можно просто сгенерить новый ключевой файл и перезагрузиться. Гибернация должна работать при такой схеме. Верно?

Umberto ★☆
() автор топика
Ответ на: комментарий от Umberto

>> Гибернация должна работать при такой схеме. Верно?

У меня смутные сомнения. При этом ведь будет монтироваться [i]не[/i] отмонтированный, по причине гибернации, /.

GotF ★★★★★
()
Ответ на: комментарий от GotF

Эм, но ведь, данные-то откуда восстанавливаться содержатся в
/etc/initramfs-tools/conf.d/resume

RESUME=/dev/mapper/sda2_crypt

Впрочем, как и остальные, следовательно / всегда должен монтироваться, или я не так понял.

Umberto ★☆
() автор топика
Ответ на: комментарий от Umberto

>> /etc/initramfs-tools/conf.d/resume

Этот файл сорсится хуком при генерации initrd. Намёк ясен? ;-)

GotF ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Security