it-swarm-es.tech

Cifrado de disco completo con autenticación sin contraseña en Linux

Tengo una configuración de cifrado de disco bastante estándar en Debian 5.0.5: sin cifrar /boot partición y cifrado sdaX_crypt que contiene todas las demás particiones.

Ahora, esta es una instalación de servidor sin cabeza y quiero poder iniciarla sin un teclado (ahora mismo puedo iniciarla solo con un teclado y un monitor conectados).

Hasta ahora tengo una idea de mudarme /boot particionar a una unidad USB y hacer pequeñas modificaciones para ingresar automáticamente la clave (creo que solo hay una llamada a askpass en el script de arranque en alguna parte). De esta manera puedo arrancar sin cabeza, solo necesito tener una unidad flash en el momento del arranque.

Como yo lo veo, el problema es que

  1. Necesito invertir tiempo en averiguar todos los detalles para que funcione,
  2. Si hay una actualización, que regenera initrd, necesito regenerar la partición de arranque en el USB, lo que parece tedioso.

La pregunta: ¿existe una solución estándar de bajo mantenimiento disponible para lo que quiero hacer? ¿O debería buscar en otra parte?

16
Alex B

Puede configurar su sistema para que requiera una clave en lugar de una contraseña y cambiar algunos scripts para buscar esta clave en una memoria USB. Encontré una explicación detallada para este proceso en Debian Lenny. Hay algunas notas al final que describen los cambios necesarios para las versiones más nuevas de Debian.

7
Marcel Stimberg

Mandos (que yo y otros hemos escrito) resuelve este mismo problema:

Mandos es un sistema para permitir que los servidores con sistemas de archivos raíz encriptados se reinicien sin supervisión y/o de forma remota. Consulte la página del manual de introducción para obtener más información, incluida una lista FAQ.

En resumen, el servidor de arranque obtiene la contraseña a través de la red, de forma segura. Consulte el README para obtener más detalles.

5
Teddy

Pero entonces, ¿cuál es el punto de tener un cifrado de disco completo, si simplemente deja las claves en texto plano?

Para que eso funcione, necesitaría algo como lo que se suponía que era la Plataforma de Computación Confiable antes de que Microsoft y Big Media la secuestraran para sus propios propósitos malvados de someter a los usuarios.

La idea es tener un chip que contenga las claves en la placa base y que dé las claves solo cuando se verifique que el software en ejecución fue firmado correctamente por una autoridad de confianza (usted). De esta manera, no deja las claves a la vista y no tiene que iniciar el servidor de forma interactiva.

Es una pena que nunca haya visto a Trusted Computing hacer un buen uso, que en realidad podría ser útil para el usuario final.

5
user6097