Comment charger LUKS passphrase de l'USB, retombant au clavier?

Beaucoup de ma solution est dérivé de la poste, À l'aide d'UNE Clé USB Pour Le LUKS Passphrase.

1. Créer un aléatoire de mot de passe:

   dd if=/dev/urandom bs=1 count=256 > passphrase
   

2. Insérez un lecteur USB. dmesg sortie affichera le nom de l'appareil; assumer /dev/sdd. La Figure de sa taille:

   blockdev --getsize64 /dev/sdd
   

3. J'ai décidé d'installer la phrase, à la fin de la raw de l'appareil, pensant qu'il pourrait survivre à toute utilisation accidentelle de la clé USB.

   dd if=passphrase of=/dev/sdd bs=1 seek=<size-256>
   

4. Ajouter le mot de passe pour le volume LUKS:

   cryptsetup luksAddKey /dev/sda5 passphrase
   

   Cela n'affecte pas la main entré de mot de passe de l'installateur. La phrase de passe de fichier peut être supprimé:

   rm passphrase
   

5. Trouver un nom unique pour la clé USB, de sorte que nous pouvons l'identifier lorsqu'ils sont présents:

   ls -l /dev/disk/by-id | grep -w sdd
   

   Vous devriez voir un lien symbolique. Je vais l'appeler /dev/disk/by-id/<ID>.

6. Modifier /etc/crypttab. Vous devriez voir une ligne comme:

   sdc5_crypt UUID=b9570e0f-3bd3-40b0-801f-ee20ac460207 none luks
   

   Modifier pour:

   sdc5_crypt UUID=b9570e0f-3bd3-40b0-801f-ee20ac460207 /dev/disk/by-id/<ID> luks,keyscript=/bin/passphrase-from-usb
   

7. La keyscript visés ci-dessus devront lire le mot de passe de l'appareil USB. Cependant, il doit faire plus que cela. Pour comprendre comment il est utilisé, vérifiez /usr/share/initramfs-tools/scripts/local-top/cryptrootle script qui s'exécute au démarrage pour déverrouiller le périphérique racine. Remarque lorsqu'un keyscript est réglé, c'est simplement de l'exécuter et de la sortie de canalisation à luksOpen avec aucune autre vérification. Il n'y a aucun moyen de signaler une erreur (la clé USB n'est pas présent) ou revenir à la saisie au clavier. Si la phrase de passe échoue, le keyscript lance à nouveau dans une boucle, jusqu'à un certain nombre de fois, mais on ne nous dit pas qui itération nous sommes sur. Aussi, nous n'avons aucun contrôle sur le moment où la keyscript est exécuté, de sorte que nous ne pouvons pas être sûr que Linux a reconnu le lecteur USB.

   Je me suis adressée à certains hacks:

   1. Sondage sur le lecteur USB et attendez 3 secondes pour qu'il apparaisse. Cela fonctionne pour moi, mais j'aimerais savoir une meilleure façon.

   2. Créer un fichier fictif /passphrase-from-usb-tried lors de la première exécution pour indiquer que nous avons été exécuté au moins une fois.

   3. Si nous avons été exécuté au moins une fois, ou le périphérique USB ne peut pas être trouvé, exécutez la askpass programme utilisé par cryptroot pour la saisie au clavier.

   Le script final:

   #!/bin/sh
   
   set -e
   
   if ! [ -e /passphrase-from-usb-tried ]; then
       touch /passphrase-from-usb-tried
       if ! [ -e "$CRYPTTAB_KEY" ]; then
           echo "Waiting for USB stick to be recognized..." >&2
           sleep 3
       fi
       if [ -e "$CRYPTTAB_KEY" ]; then
           echo "Unlocking the disk $CRYPTTAB_SOURCE ($CRYPTTAB_NAME) from USB key" >&2
           dd if="$CRYPTTAB_KEY" bs=1 skip=129498880 count=256 2>/dev/null
           exit
       else
           echo "Can't find $CRYPTTAB_KEY; USB stick not present?" >&2
       fi
   fi
   
   /lib/cryptsetup/askpass "Unlocking the disk $CRYPTTAB_SOURCE ($CRYPTTAB_NAME)\nEnter passphrase: "
   

   Enfin, nous devons veiller à ce que ce script est disponible dans l'initramfs. Créer /etc/initramfs-tools/hooks/passphrase-from-usb contenant:

   #!/bin/sh
   
   PREREQ=""
   
   prereqs() {
           echo "$PREREQ"
   }
   
   case "$1" in
           prereqs)
                   prereqs
                   exit 0
           ;;
   esac
   
   . "${CONFDIR}/initramfs.conf"
   . /usr/share/initramfs-tools/hook-functions
   
   copy_exec /bin/passphrase-from-usb /bin
   

8. Les pilotes USB ne sont pas présents dans mon initramfs. (Il semble qu'ils sont par défaut dans les versions ultérieures de Debian.) J'ai dû ajouter en ajoutant à /etc/initramfs-tools/modules:

   uhci_hcd
   ehci_hcd
   usb_storage
   

9. Quand tout est fait, la mise à jour de l'initramfs:

   update-initramfs -u