Szyfrowanie gotowej instalacji Debian Lenny.

by jigallo

Uwaga: szyfrujemy wszystkie partycje prócz /boot! Jeżeli cię to mierzi, że /boot pozostanie niezaszyfrowany to przegraj go sobie na np. pendrive.

(1) Pierwsza sprawa - musimy mieć jakieś oprogramowanie do zarządzania zaszyfrowanymi dyskami i aktualizowania obrazu initrd. No to pobierzmy to oprogramowanie:

aptitude install cryptsetup initramfs-tools

(2) Musimy się upewnić, że moduły szyfrowania w ogóle są w obrazie initrd, więc dodajmy je do konfiguracji:

echo aes-i586 >>/etc/initramfs-tools/modules

echo dm-crypt >>/etc/initramfs-tools/modules

echo dm-mod >>/etc/initramfs-tools/modules

(3) Następnie musimy poinformować instalkę cryptsetup i inittab o mapowaniu partycji pomiędzy /dev/hda2 (dyskiem fizycznym) a /dev/mapper/root (jego zaszyfrowanym interfejsem):

echo "root /dev/hda2 none luks" >>/etc/crypttab

sed -i 's#/dev/hda2#/dev/mapper/root#' /etc/fstab

(4) Musimy teraz zmienić urządzenie roota dla gruba tak jakeśmy to zrobili w przypadku inittab, czyli:

sed -i 's#/dev/hda2#/dev/mapper/root#' /boot/grub/menu.lst

(5) Odtwarzamy obraz initrd poprzez wpisanie:

update-initramfs -k all -u

(6) Teraz pobieramy sobie jakieś LiveCD, żeby skopiować nasze dane, zaszyfrować partycję /root no i wgrać dane z powrotem. Backup można wykonać np. stosując tę komendę:

cp -ax /mnt/root/* /mnt/backup

(7) Kiedy już zrobimy sobie backup (skopiujemy dane) to trzeba wyczyścić tę partycję /root, żeby jakieś śmieci tam nie zostały przypadkiem:

shred -n1 -v /dev/hda2

(W tym miejscu zaznaczę, że jeśli dopiszesz do powyższej komendy -z to po pierwszym nadpisaniu losowymi danymi shred nadpisze cały dysk zerami, żeby ukryć, że czyściłeś dysk.)

(8) Teraz tworzymy zaszyfrowaną partycję:

cryptsetup luksFormat /dev/hda2

cryptsetup luksOpen /dev/hda2 root

(9) Jak już to zrobimy musimy stworzyć system plików dla tej partycji i ją zamontować, a potem wgrać z powrotem backup:

mkfs.ext3 /dev/mapper/root

mount /dev/mapper/root /mnt/root

cp -ax /mnt/backup/* /mnt/root/

(10) Teraz odpalamy komputer już nie z LiveCD i mamy pięknie zaszyfrowany dysk. Już z poziomu naszego zaszyfrowanego systemu szyfrujemy swapa (dodajemy swapa do /etc/crypttab i modyfikujemy /etc/fstab):

echo "swap /dev/hda3 /dev/random swap" >>/etc/crypttab

sed -i 's#/dev/hda3#/dev/mapper/swap#' /etc/fstab