LUKS gestione manuale dei volumi: cryptsetup
Attenzione. Questa guida è da considerarsi abbandonata, per via del tempo trascorso dall'ultima verifica.
Potrà essere resa obsoleta, previa segnalazione sul forum, se nessuno si propone per l'adozione. |
Versioni Compatibili Debian 7 "wheezy" Debian 8 "jessie" |
Introduzione
Questa guida contiene solo due esempi di script Bash per la gestione attraverso cryptsetup di volumi cifrati secondo lo standard LUKS (Linux Unified Keys Setup).
Per la parte relativa alla creazione dei volumi (sia su periferica fisica che su file) rimandiamo alla guida su LUKS e cryptmount
Automatizzazione dei passi necessari
Assumiamo di avere creato correttamente il volume criptato, la chiave e il filesystem. Ora dobbiamo solo creare uno script da eseguire come root, per fare tutte le operazioni di creazione e montaggio, o viceversa di smontaggio e rimozione automaticamente.
Di seguito sono riportati due script, uno per il caso di file montato ricorsivamente, l'altro per il caso di periferica ordinaria.
Script per file immagine
Con privilegi di amministrazione copiare il file successivo in /usr/local/sbin
, assegnandogli utente e gruppo root e permessi di esecuzione, dopodiché eseguirlo sempre con privilegi.
Si deve però modificare la variabile dello script seguente per utilizzare la propria home, anziché quella di root.
#!/bin/bash HOME_UTENTE="${HOME:-/home/nomeutente}" ### <-- DA MODIFICARE CON LA PROPRIA HOME #Utilizzo di un file immagine come periferica criptata case $1 in monta) if [ -f "$HOME_UTENTE"/immagine_cifrata ]; then echo "Impostazione periferica ricorsiva (loop)." /sbin/losetup /dev/loop0 "$HOME_UTENTE"/immagine_cifrata else echo "File: \"$HOME_UTENTE/immagine_cifrata\" non trovato!" >&2 exit 4 fi if [ $? = 0 ]; then /sbin/cryptsetup luksOpen /dev/loop0 criptata else echo "Impostazione periferica ricorsiva non riuscita." >&2 exit 3 fi if [ $? = 0 ]; then if ! [ -e "$HOME_UTENTE"/criptata ]; then mkdir "$HOME_UTENTE"/criptata fi && mount /dev/mapper/criptata "$HOME_UTENTE"/criptata else echo "Impotazione periferica non criptata non riuscita." >&2 /sbin/losetup -d /dev/loop0 exit 2 fi if [ $? != 0 ]; then echo "Impossibile montare la periferica criptata." >&2 /sbin/cryptsetup luksClose criptata /sbin/losetup -d /dev/loop0 exit 1 fi ;; smonta) umount /dev/mapper/criptata if [ $? = 0 ]; then echo "Smontaggio riuscito" /sbin/cryptsetup luksClose criptata else echo "Smontaggio non riuscito." >&2 exit 3 fi if [ $? = 0 ]; then /sbin/losetup -d /dev/loop0 if [ $? = 0 ]; then echo "Periferica criptata chiusa" touch "$HOME_UTENTE"/criptata.img else echo "Rimozione periferica ricorsiva non riuscita." >&2 exit 1 fi else echo "Chiusura periferica criptata non riuscita" >&2 exit 2 fi ;; *) echo "Usage: $1 {monta|smonta}" >&2 exit 1 ;; esac
Nello script è stato inserito il comando touch
per impostare all'ora attuale le date di ultimo accesso e modifica del file criptata.img
.
Nella prassi si è rivelata importante una modifica esplicita di queste informazioni del file, per sapere quali file cifrati sono stati aperti di recente, nel caso se ne vogliano fare delle copie di backup.
Se non si inserisce quella riga, programmi di backup (che spesso si appoggiano su librsync) possono non accorgersi che il file cifrato è stato cambiato o è stato aperto di recente e non lo considerano nel sincronizzare le varie copie.
Script per periferica ordinaria
Con privilegi di amministrazione copiare il file successivo in /usr/local/sbin
, assegnandogli utente e gruppo root e permessi di esecuzione, dopodiché eseguirlo sempre con privilegi.
Si deve però modificare la variabile dello script seguente per utilizzare la propria home, anziché quella di root.
In questo esempio inoltre viene usata la prima partizione di una scheda di memoria SD (/dev/mmcblk0p1
con lettore compatibile con il modulo sdhci
), se si utilizza una diversa memoria si deve cambiare il percorso.
#!/bin/bash HOME_UTENTE="${HOME:-/home/nomeutente}" ### <-- DA MODIFICARE CON LA PROPRIA HOME PATH_MEMORIA="/dev/mmcblk0p1" ### <-- DA MODIFICARE CON IL PATH /dev/... DELLA PROPRIA MEMORIA case $1 in monta) echo "Verifica presenza SD:" if [ -b "$PATH_MEMORIA" ] ; then echo "." else echo "La periferica ($PATH_MEMORIA) non è inserita!" >&2 exit 2 fi if ! [ -e "$HOME_UTENTE"/criptata ]; then mkdir "$HOME_UTENTE"/criptata fi && /sbin/cryptsetup luksOpen "$PATH_MEMORIA" criptata && mount /dev/mapper/criptata "$HOME_UTENTE"/criptata || { echo "Il file system cifrato non può essere montato." >&2 /sbin/cryptsetup luksClose criptata exit 1 } ;; smonta) #Smonto il file system criptato e controllo che lo smontaggio sia avvenuto correttamente umount /dev/mapper/criptata if [ $? != 0 ]; then echo "Smontaggio non riuscito." >&2 exit 2 fi #Chiudo il nodo in /dev/mapper e controllo /sbin/cryptsetup luksClose criptata if [ $? = 0 ]; then echo "Nodo cifrato in /dev/mapper rimosso." else echo "Chiusura periferica criptata non riuscita" >&2 exit 1 fi ;; *) echo "Usage: $1 {monta|smonta}" >&2 exit 1 ;; esac
Guida scritta da: GipPasso | Debianized 40% |
Estesa da: | |
Verificata da:
| |
Verificare ed estendere la guida | Cos'è una guida Debianized |