Forum Debian Users Gang

morfik napisał(-a):

Czy cryptsetup nie może po prostu użyć normalnego hasła dla wszystkich voluminów po tym jak się je wpisze na starcie systemu?

W sumie dlaczego miałby to zrobić? Skoro to inny wolumin, to otwierany jest oddzielnie. Ten decrypt_derived chyba działa tak jakbyś dla woluminu mającego tego używać podawał keyfile a nie wpisywał ręcznie hasło, tyle że bierze to z wprowadzonego hasła. Przy czym to tylko tak na logikę na podstawie informacji z tego posta, nigdy tego nie używałem.

Czasem nie chodzi tu o kombinację nagłówek sda2_crypt + ten Twój ciąg, a nie sam ciąg? W sumie bez sensu, że tak strzelam. ;) Ewentualnie spróbuję to porządnie ogarnąć albo będę siedział cicho już.

Chyba powoli rozumiem zasadę działania tego mechanizmu. Ten drugi keyslot jest tworzony na wzór keyfile ale jak to z keyfile bywa, zwykle się go trzyma na zewnętrznym dysku (np. pendirve) i ktoś może go podejrzeć i zgrać. A tutaj ładuje się do pamięci jeden klucz szyfrujący który jest trzymany w hexalnej postaci przez dmsetup, ten ciąg zawsze będzie inny dla każdej zaszyfrowanej partycji, dlatego nadaje się na keyfile, do którego dostęp można uzyskać tylko po podaniu odpowiedniego hasła.  Bez hasła nie będzie klucza, nie będzie ciągu i nie będzie można go wydobyć z dmsetup. Więc to działanie by było ok ale tylko w przypadku gdyby był zajęty jeden slot. Wtedy wszystkie partycje mające hexowy zapis klucza binarnego jako hasło byłyby zależne od nagłówka pierwszej partycji i wtedy jakby coś się stało z tym nagłówkiem, wszystkie inne partycje zależne od partycji pierwszej by były udupione. :] Ale póki istnieje drugie hasło w nagłówku, zawsze będzie można uzyskać dostęp do "zależnych" partycji i nadal nie rozumiem dlaczego nie można użyć normalnego hasła i przekazać go tak jak to robi truecrypt. Bo w nim, gdy się da auto montowanie partycji, to zamontuje on wszystkie, które mają takie samo hasło. Czyli można mieć 5 partycji, 3 na jedno hasło, 2 na drugie, i po podaniu jakiegoś hasła, o ile to jest prawidłowe, zostaną odszyfrowane 2 lub 3 partycje. Czemu czegoś takiego nie można z luksem zrobić?

To przypomina trochę odszyfrowanie jednego dysku przez prawdziwy keyfile, który jest fizycznie zlokalizowany np. w katalogu /root na zaszyfrowanym systemie. Wtedy po odszyfrowaniu systemu uzyskuje się dostęp do keyfile i można zamontować kontener przy jego pomocy.  Można sprecyzować normalny keyfile w /etc/crypttab i na dobrą sprawę nie ma większej różnicy między jednym i drugim rozwiązaniem. No chyba, że się nada złe prawa do pliku, wtedy będzie można odczytać keyfile na działającej maszynie, zaś dostęp do tabeli z kluczami w dmsetup wymaga uprawnień roota.

Zastanawia mnie czy to był główny powód powstania tego skryptu.