Posts Tagged ‘titkosítás’

Freebsd teljes disk titkosítás – GELI (DIY zfs encryption)

kedd, április 9th, 2013

Röviden… kell egy kulcs, meg kell mondani, hogy melyik disk legyen az, majd hozzá kell kapcsolni a saját rendszerünkhöz.

Nekem ZFS megy felette… (mert zfs encryption nincs FreeBSD-n)

dd if=/dev/random of=/root/disk.key bs=4096 count=1

geli init -e AES-XTS -K /root/disk.key -l 256 -s 4096 /dev/ada1

geli attach -k /root/disk.key /dev/ada1

ZFS encryption

hétfő, február 20th, 2012

Kitaláltam, hogy jól titkosítok minden fontos dolgot. A ZFS elméletileg magától is tudná, de pár helyen azt olvastam, hogy fuse alatt nem a legjobb, már ha egyáltalán működik. Nem kísérleteztem vele, mivel élő poolról van szó. Inkább az alábbi mutatványt hajtottam végre:

Hozzávalók:

1 db zpool

1 tartalék hdd (min. akkor mint a pool legnagyobb tagja)

idő

Első lépésben az éppen aktuális poolból ki kell szedni az adott disket:

# zpool replace zfsstore /dev/sdc /dev/sdd

Ezt jól végig kell várni…

Közben ellenőrizhetjük a következő paranccsal, hogy éppen hol tart:
# zpool status
Ha véget ért a móka, akkor lehet kinullázni a korábbi (jelen esetben sdc) diszket, majd kulcsot generálni és bekapcsolni a titkosítást:


# dd if=/dev/zero of=/dev/sdc bs=1M
# dd if=/dev/random of=/root/my.key bs=1 count=256
# cryptsetup --verbose --key-file /root/my.key luksFormat /dev/sdc -c aes -s 256 -h sha256

Ha ezekkel megvagyunk, elérhetővé kell tenni a titkosított diszket és visszaadni a zfsnek:


# cryptsetup --key-file /root/my.key luksOpen /dev/sdc sdc_enc
# zpool replace zfsstore /dev/sdd /dev/mapper/sdc_enc

Itt is ellenőrizgethetjük, hogy hol tartunk:

# zpool status

pool: zfsstore
state: ONLINE
status: One or more devices is currently being resilvered. The pool will
continue to function, possibly in a degraded state.
action: Wait for the resilver to complete.
scrub: resilver in progress for 1h2m, 33,57% done, 2h4m to go
config:

NAME STATE READ WRITE CKSUM
zfsstore ONLINE 0 0 0
replacing-0 ONLINE 0 0 0
sdd ONLINE 0 0 0
mapper/sdc_enc ONLINE 0 0 0 104G resilvered
disk/by-id/ata-WDC_WD15EADS-00S2B0_WD-WCAVY1312662-part7 ONLINE 0 0 0

errors: No known data errors

Hát ennyi.

Ezt okosan lehet még úgy csinálni, hogy a kulcsot ne tároljuk azon a gépen ahol éppen fut, meg ilyenek. Ezt már mindenki találja ki, hogy neki hogyan biztonságos… Lehet pendriveon, másik gépen, honlapon, eldugva a hdd egy nem használt részén, telefon sdkártyán, akárhogyan. Mindegyik megvalósítható.

Jó mulatást!

forrás:  http://www.taeuber.org/how-to-use-zfs-and-encryption-on-a-ubuntu-home-server/