Röviden… kell egy kulcs, meg kell mondani, hogy melyik disk legyen az, majd hozzá kell kapcsolni a saját rendszerünkhöz.
Nekem ZFS megy felette… (mert zfs encryption nincs FreeBSD-n)
dd if=/dev/random of=/root/disk.key bs=4096 count=1
geli init -e AES-XTS -K /root/disk.key -l 256 -s 4096 /dev/ada1
geli attach -k /root/disk.key /dev/ada1
Kitaláltam, hogy jól titkosítok minden fontos dolgot. A ZFS elméletileg magától is tudná, de pár helyen azt olvastam, hogy fuse alatt nem a legjobb, már ha egyáltalán működik. Nem kísérleteztem vele, mivel élő poolról van szó. Inkább az alábbi mutatványt hajtottam végre:
Hozzávalók:
1 db zpool
1 tartalék hdd (min. akkor mint a pool legnagyobb tagja)
idő
Első lépésben az éppen aktuális poolból ki kell szedni az adott disket:
# zpool replace zfsstore /dev/sdc /dev/sdd
Ezt jól végig kell várni…
Közben ellenőrizhetjük a következő paranccsal, hogy éppen hol tart:
# zpool status
Ha véget ért a móka, akkor lehet kinullázni a korábbi (jelen esetben sdc) diszket, majd kulcsot generálni és bekapcsolni a titkosítást:
# dd if=/dev/zero of=/dev/sdc bs=1M
# dd if=/dev/random of=/root/my.key bs=1 count=256
# cryptsetup --verbose --key-file /root/my.key luksFormat /dev/sdc -c aes -s 256 -h sha256
Ha ezekkel megvagyunk, elérhetővé kell tenni a titkosított diszket és visszaadni a zfsnek:
# cryptsetup --key-file /root/my.key luksOpen /dev/sdc sdc_enc
# zpool replace zfsstore /dev/sdd /dev/mapper/sdc_enc
Itt is ellenőrizgethetjük, hogy hol tartunk:
# zpool status
pool: zfsstore
state: ONLINE
status: One or more devices is currently being resilvered. The pool will
continue to function, possibly in a degraded state.
action: Wait for the resilver to complete.
scrub: resilver in progress for 1h2m, 33,57% done, 2h4m to go
config:
NAME STATE READ WRITE CKSUM
zfsstore ONLINE 0 0 0
replacing-0 ONLINE 0 0 0
sdd ONLINE 0 0 0
mapper/sdc_enc ONLINE 0 0 0 104G resilvered
disk/by-id/ata-WDC_WD15EADS-00S2B0_WD-WCAVY1312662-part7 ONLINE 0 0 0
errors: No known data errors
Hát ennyi.
Ezt okosan lehet még úgy csinálni, hogy a kulcsot ne tároljuk azon a gépen ahol éppen fut, meg ilyenek. Ezt már mindenki találja ki, hogy neki hogyan biztonságos… Lehet pendriveon, másik gépen, honlapon, eldugva a hdd egy nem használt részén, telefon sdkártyán, akárhogyan. Mindegyik megvalósítható.
Jó mulatást!
forrás: http://www.taeuber.org/how-to-use-zfs-and-encryption-on-a-ubuntu-home-server/