ti-enxame.com

Criptografia de disco completo com autenticação sem senha no Linux

Eu tenho uma configuração de criptografia de disco razoavelmente padrão no Debian 5.0.5: não criptografado /boot partição, e criptografado sdaX_crypt que contém todas as outras partições.

Agora, esta é uma instalação de servidor sem interface e quero poder inicializá-lo sem um teclado (agora posso inicializá-lo apenas com um teclado e um monitor conectado).

Até agora, tenho uma ideia de mudar /boot partição em uma unidade USB e faça pequenas modificações para inserir a chave automaticamente (acho que há apenas uma chamada para askpass no script de inicialização em algum lugar). Desta forma, posso inicializar sem cabeça, só preciso ter um pen drive na hora da inicialização.

A meu ver, o problema é que

  1. Preciso investir tempo para descobrir todos os detalhes para que funcione,
  2. Se houver uma atualização, que regenera initrd, preciso regenerar a partição de inicialização no USB, o que parece tedioso.

A pergunta: existe uma solução padrão de baixa manutenção disponível para o que eu quero fazer? Ou deveria estar procurando em outro lugar?

16
Alex B

Você pode configurar seu sistema para exigir uma chave em vez de uma senha e alterar alguns scripts para pesquisar essa chave em um stick USB. Eu encontrei um explicação detalhada para este processo no Debian Lenny. Existem algumas notas no final que descrevem as mudanças necessárias para novas versões do Debian.

7
Marcel Stimberg

Mandos (que eu e outros escrevemos) resolve este problema:

Mandos é um sistema que permite que os servidores com sistemas de arquivos raiz criptografados sejam reinicializados de forma autônoma e/ou remota. Veja a página do manual de introdução para mais informações, incluindo uma lista FAQ).

Resumindo, o servidor de inicialização obtém a senha pela rede de maneira segura. Veja o README para detalhes.

5
Teddy

Mas então de que adianta ter criptografia de disco total, se você está apenas deixando as chaves em texto simples?

Para que isso funcione, você precisa de algo parecido com o que a plataforma de computação confiável deveria ser antes que a Microsoft e a Big Media a sequestrassem para seus próprios propósitos malignos de subjugar o usuário.

A ideia é ter um chip contendo as chaves na placa-mãe, e fazer com que ele forneça as chaves somente quando for verificado que o software em execução foi devidamente assinado por uma autoridade confiável (você). Desta forma, você não deixa as chaves à vista e não precisa inicializar o servidor interativamente.

É uma pena que nunca vi Trusted Computing usado em bom uso, o que poderia realmente ser útil para o usuário final.

5
user6097