View source for Sblocco di partizioni criptate con una chiavetta USB in Debian

{{Stub}}

=Introduzione=

* Una volta avviata una installazione con delle partizioni cifrate, normalmente viene richiesta la password per sbloccare i volumi luks. È possibile sbloccare i volumi luks utilizzando un keyfile, che può essere nascosto in una chiavetta usb

* In pratica si abiliterà lo sblocco del volume con un keyfile
* Si scriverà il keyfile in un settore non utilizzato della chiavetta (creare una partizione più piccola, ed utilizzare lo spazio vuoto alla fine)
* Si abiliterà la creazione di iun dispositivo udev specifico all'inserimento
* Si imposterà lo script di sblocco automatico del volume leggendo il keyfile dalla chiavetta
* In caso non ci sia la chiavetta disponibile, verrà richiesta la password di sblocco

=Impostazione sblocco con keyfile=

=Partizionamento chiavetta=

 sudo fdisk -l /dev/sde

<pre>
Disk /dev/sde: 1.9 GiB, 2000683008 bytes, 3907584 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0xb4a7ed93

Device     Boot Start     End Sectors  Size Id Type
/dev/sde1        2048 3907583 3905536  1.9G  c W95 FAT32 (LBA)
</pre>

=Creazione device udev per chiavetta=

 sudoedit /etc/udev/rules.d/99-unlock-luks.rules 

<pre>
# ATTRS{serial}=$(udevadm info /dev/sde | grep ID_SERIAL_SHORT | cut -f 2 --delimiter='=')
SUBSYSTEMS=="usb", DRIVERS=="usb", ATTRS{manufacturer}=="USB", ATTRS{product}=="DISK", ATTRS{serial}=="90B90800FFAF17EA", SYMLINK+="usbkey%n"
SUBSYSTEMS=="usb", DRIVERS=="usb", ATTRS{manufacturer}=="USB", ATTRS{product}=="DISK", ATTRS{serial}=="90B90800FFAF17EA", SYMLINK+="usbkey%n"
</pre>

 sudo udevadm control --reload-rules

<pre>
#!/bin/sh
TRUE=0
FALSE=1

# flag tracking key-file availability
OPENED=$FALSE

# check and modprobe the USB driver if not already loaded
cat /proc/modules | busybox grep usb_storage >/dev/null 2>&1
USBLOAD=0$?
if [ $USBLOAD -gt 0 ]; then
modprobe usb_storage >/dev/null 2>&1
fi

# give the system time to settle and open the USB device
sleep 10

# check for the specifc /dev/usbkey device created by udev using /etc/udev/rules.d/99-unlock-luks.rules
if [ -b /dev/usbkey ]; then
# if device exists then output the keyfile from the usb key (hidden key is 4096 bytes long starting at 3905550 bytes)
#dd if=/dev/usbkey bs=512 skip=4 count=8 | cat
dd if=/dev/usbkey bs=512 skip=3905550 count=8 | cat
OPENED=$TRUE
fi

if [ $OPENED -ne $TRUE ]; then
#echo "FAILED to get USB key file ..." >&2
/lib/cryptsetup/askpass "Try LUKS password: "
else
echo "Success loading key file. Moving on." >&2
fi

sleep 2

</pre>

=Impostazione dello sblocco tramite script=

 sudoedit /etc/crypttab

 md1_crypt UUID=645431c0-44c2-4b17-8b7f-d9007f2bf3f2 none luks,keyscript=/usr/local/sbin/unlockusbkey.sh

=Riavvio e test=

 sudo update-initramfs -u -k all
 sudo reboot

=Riferimenti=
*[http://possiblelossofprecision.net/?p=300 Unlocking a luks volume with a USB key – /dev/blog]
*[http://www.finnie.org/2009/07/26/keyfile-based-luks-encryption-in-debian/ Keyfile-based LUKS encryption in Debian | Ryan Finnie]
*[https://wiki.archlinux.org/index.php/Dm-crypt/Device_encryption dm-crypt/Device encryption - ArchWiki]
*[http://unix.stackexchange.com/questions/39370/how-to-reload-udev-rules-without-reboot kernel - How to reload udev rules without reboot? - Unix & Linux Stack Exchange]
*[http://kaivanov.blogspot.it/2015/03/block-device-encryption-with-cryptsetup.html Linux Administration: Block device encryption with cryptsetup and LUKS]