Newsgroup: it.comp.os.linux.debian
Titolo: Squeeze e partizioni cifrate

In fase di installazione ho creato un volume cifrato con l'intenzione di
usarlo come partizione home. Solo che devo aver sbagliato la procedura,
non so.
Di fatto il volume cifrato ce l'ho (dm-crypt con passphrase) ma è lì,
inerte. Tra l'altro pensavo che ad un certo punto mi venisse richiesta
la passphrase, invece niente. 
Mo' che faccio? Ho provato a montare la partizione ma mi viene
richiesta una chiave che non ho mai stabilito, boh?
Inoltre ho notato che non sono stati installati pacchetti come
cryptsetup e cryptmount.
Suggerimenti?
Grazie
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
   Chiunque dice che con i soldi non si compra la felicita', impari a
   spenderli meglio.

 Suggerimenti?
Io di solito preferisco farmi la cosa a manina. Quindi installo il
sistema di base e una volta up&running installo cryptsetup, creo il
volume LVM da dedicare alla home criptata, creo il device LUKS sopra di
esso, configuro crypttab e fstab e monto il tutto.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 esso, configuro crypttab e fstab e monto il tutto.
Ok, ovviamente a questo punto farò anch'io così. Continuo a chiedermi
perché non sono riuscito a farlo in fase di installazione, mah.
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
Mettere in ordine la casa mentre i tuoi figli sono ancora piccoli e' come
spalare il viale prima che smetta di nevicare.
		-- Phyllis Diller

 esso, configuro crypttab e fstab e monto il tutto.
Mi mostreresti come fai a montare automaticamente la home cifrata?
Gli howto che ho consultato finora spiegano come creare un device
cifrato.
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
 C'e' chi piange sul latte versato, e chi si consola sorbendosi un te'.

 cifrato.
Per prima cosa devi definire la partizione o il volume da dedicare alla
home crittata. Io ho usato LVM ed ho creato il volume chome in vg0.
# lvcreate -L 50G -n chome vg0
Quindi dopo aver installato cryptsetup crei il device di tipo luks sul
volume di cui sopra con il comando:
# cryptsetup luksFormat /dev/vg0/chome
Poi editi il file /etc/crypttab e inserisci il device cifrato da montare
al mount, ovvero /dev/vg0/chome
$ cat /etc/crypttab
# <target name>	<source device>	<key file> <options>
chome		/dev/vg0/chome	none       luks,noearly,tries=3
Questo fa sï¿œ che al boot ti venga richiesta la password per sbloccare il
device crittato. Se la sbagli per 3 volte il boot prosegue senza
partizione. Se invece la password ï¿œ corretta viene creato un device con
nome /dev/mapper/chome che puoi montare normalmente da fstab:
$ grep chome /etc/fstab
/dev/mapper/chome    /home   ext4   defaults,nosuid,nodev    0 0
Tutto qui.


 # Lvcreate -L 50G -n chome vg0
Sul sito di dm-crypt leggo:
But I don't want to use LVM!
You don't need LVM. Device-mapper is an all-purpose kernel feature, not
tied to LVM in any way. 
Tu come mai hai deciso di usarlo?
-- 
                     Dona i tuoi cicli di clock alla ricerca!
 
http://boinc.berkeley.edu/
                          --------------------
            Il crimine non paga ...  bene come la politica.
            		-- A. E. Newman

 Tu come mai hai deciso di usarlo?
Per vari motivi. Il primo è per standard, visto che in tutte le mie
installazioni il partizionamento è:
/dev/sda1	root
/dev/sda2	swap
/dev/sda3	/var (opz.)
/dev/sda4	LVM
e poi creo tutti i volumi necessari. Il secondo motivo è che sul mio PC
mi capita spesso per vari motivi di creare nuovi volumi, eliminarne di
esistenti, cambiarne le dimensioni, ecc.ecc. Senza LVM questo significa
nel migliore dei casi continuare a riavviare e nel peggiore non poter
fare nulla. Inoltre LVM supporta gli snapshot, cosa MOLTO utile almeno
fino a quando btrfs non sarà un po' più maturo.


 device crittato.
Una domanda: e se volessi usare un certificato (contenuto, ad esempio, su 
di una penna usb) per montare la partizione?
Enrico


In questo caso devi innanzitutto accertarti che il device che ospita la
chiave (non è un certificato ma una semplice chiave AES) sia montato
molto presto nella fase di boot, prima del servizio cryptdisks (in
Debian parte come /etc/rcS.d/S10cryptdisks) e poi passi come chiave al
posto di none il nome del file della chiave.
In alternativa puoi usare come chiave il primo settore della chiave USB
utilizzando i 400 e rotti bytes del MBR e specificando il nome del
device come chiave.
Infine come ultima possibilità (che è poi la più flessibile in assoluto)
puoi richiedere che venga lanciato uno script (opzione
keyscript=) il cui output è la chiave da usare per decrittare il device.
Quest'ultima modalità tra le altre cose permette di poter garantire la
sicurezza anche di server remoti, 
p.es
. ospitati nei datacenter. In
particolare è possibile far sì che quando il server parte contatti un
host remoto usando una connessione cifrata (
p.es
. ssh), venga lanciato
un controllo di integrità sul sistema (usando TPM o qualcosa tipo
tripwire/rkhunter utilizzando i dati ospitati in remoto) e solo se
l'ambiente è sano sparare la chiave per poter sbloccare il device crittato.
Con questo sistema 
p.es
. il crackdown di indymedia non avrebbe avuto
successo.
