Volumi criptati LUKS - Creazione e uso con cryptmount: differenze tra le versioni

=='''Prerequisiti e preparazione del sistema'''==

==='''Kernel precompilato Debian'''===

La prima cosa da controllare prima di cimentarsi nella criptazione è l'abilitazione del kernel a usare l'algoritmo AES. I nuovi kernel precompilati di Lenny non contengono più, come quelli di Etch, i moduli necessari. Per abilitarli bisogna installare un pacchetto:<pre>aptitude install loop-aes-modules-`uname -r`</pre>

In un terminale eseguiamo<pre>cat /proc/crypto</pre> e con il kernel 2.6.26 di Lenny dovremmo ottenere (in base anche ai moduli caricati) qualcosa tipo<pre>name        : aes

Ovviamente a noi interessa la sezione che inizia con '''name        : aes'''. Se non dovesse comparire dobbiamo controllare che il modulo '''aes''' sia caricato e ottenere un'output simile a questo: <pre>lsmod | grep aes

Se l'output dovesse essere vuoto dobbiamo caricare il modulo '''aes''' con l'usuale comando '''modprobe aes'''.

AES ci serve per la cifratura, ora dobbiamo pensare all'hash. Per l'hash serve l'algorito sha256 (ovviamente potremmo voler usare lo sha512, per cui basterebbe cambiare il 256 in 512 in ogni occorrenza). Dovrebbe essere precompilato nel kernel debian, ma non è detto che sia caricato (in /proc/crypto, soprariportato, non è infatti presente) quindi carichiamolo:<pre>modprobe sha256_generic</pre>

Nel file /proc/crypto si dovrebbero essere aggiunte le seguenti righe:<pre>name        : sha256

Infine l'ultimo modulo da caricare nel kernel è dm-crypt, la cui assenza impedisce a cryptsetup di completare le operazioni richieste.<pre>modprobe dm-crypt</pre>

==='''Kernel personalizzato'''===

Se non usaimo un kernel precompilato debian, dobbiamo controllare che l'algoritmo di cifratura sia stato compilato: dal menu "'''Linux Kernel Configuration'''" seguiamo la voce "'''Cryptographic options  --->'''" e abilitiamo la voce <pre>AES cipher algorithms</pre> o la strettamente legata <pre>AES cipher algorithms (i586)</pre>

Sistemato il kernel passiamo all'installazione del software necessario:<pre>aptitude install cryptsetup</pre>che installerà tutte le dipendenze necessarie (piccole: l'installazione completa di tutte le sue dipendenze sta sotto i 2MB di spazio disco!).

=='''Preparazione del file o della periferica'''==

==='''Creare una loop device da un file'''===

Per preparare un file di dimensione fissata (in base alla quantità e tipo di dati che vorremo salvare cifrati) usiamo il comando dd:<pre>dd if=/dev/zero of=/home/nomeutente/immagine_cifrata ibs=1M count=10</pre>per creare un file da poi usare di 10MB nella home di "nomeutente" (perdonate la poca fantasia).

Autentichiamoci come root e montiamo il file appena creato in loop. Prima di tutto impostiamo il file appena creato come una loop device (ammettendo che questa sia la prima periferica in loop del sistema):<pre>/sbin/losetup /dev/loop/0 /home/nomeutente/immagine_cifrata</pre>

==='''Creare la partizione criptata'''===

Per chi invece di cifrare un file montato in loop, deve cifrare una block device ordinaria, basta che sappia quale nome le abbia assegnato il kenrel (con precisione, perché la procedura seguente cancellerà tutti i dati nella periferica).

Creiamo la partizione LUKS:<pre>cryptsetup --verify-passphrase --verbose --hash=sha256 --cipher=aes-cbc-essiv:sha256 --key-size=256 luksFormat /dev/periferica

==='''Mappare e montare la partizione criptata'''===

A questo punto dobbiamo dare istruzioni al device mapper di mappare la periferica LUKS appena creata in una block device virtuale sulla quale scrivere i nostri dati in chiaro (e poi essi saranno scritti cifrati su /dev/periferica):<pre>cryptsetup luksOpen /dev/periferica criptata</pre>Questo creerà la periferica '''/dev/mapper/criptata''', sulla quale noi andremo a creare il file system che più ci interessa (su periferiche piccole come quella in esempio non conviene usare un file system con indicizzazione come reiserfs o ext3, bensì un più semplice ext2 o una fat):<pre>mkfs -t ext2 /dev/mapper/criptata</pre>Non ci rimane che montarla in una cartella di prova per verificare che sia tutto corretto (funzionamento, dimensioni desiderate ecc.):<pre>mount -t auto /dev/mapper/criptata /mnt/prova</pre>

=='''Rimozione della periferca criptata'''==

Per rimuovere la periferica cifrata bisogna innanzi tutto smontarla, poi bisogna dire a cryptsetup di chiudere la periferica (il che automaticamente eliminerà il nodo creato dal device mapper):<pre>umount /mnt/prova

/sbin/cryptsetup luksClose criptata</pre>

==='''Rimozione di una loop device'''===

Nel caso che la nostra periferica sia un file montato in loop, è consigliabile eliminare il collegamento che il nostro file immagine ha con la periferica loop cui l'abbiamo associato; questo ci permetterà di spostare o eliminare il file senza creare malfunzionamenti nelle periferiche di loop, così come ci consentirà di aprire nuove periferiche in loop ripartendo dalla numero 0:<pre>/sbin/losetup -d /dev/loop0</pre>

=='''Automatizzazione dei passi necessari'''==

In entrambi i casi il montaggio della periferica criptata avviene nella cartella "criptata" nella home dell'utente; è necessario quindi creare la cartella:<pre>mkdir /home/'''nomeutente'''/criptata</pre>

==='''Scritp per file immagine'''===

Nello script ho inserito il comando touch per impostare all'ora attuale le date di ultimo accesso e modifica del file criptata.img.

Ho ritenuto importante una modifica esplicita di queste informazioni del file, perché può risultare molto più comodo sapere quali file cifrati sono stati aprerti di recente, nel caso se ne vogliano fare delle copie di backup.

Se non si inserisce quella riga, programmi di backup (che spesso si appoggiano su librsync) non possono accorgersi che il file cifrato è stato cambiato o è stato aperto di recente e non lo considerano nel sincronizzare le varie copie.

==='''Scritp per periferica ordinaria'''===