이를 수행하는 가장 좋은 방법 중 하나는 암호화 키가있는 스마트 카드를 사용하여 암호화 된 블록 장치의 키를 잠금 해제하는 것입니다. 비밀번호 문구 (도구에서 “PIN”이라고 함)를 한 번만 입력하면 캐시됩니다. 이것은 사용자가 가지고있는 것 (개인 키를 추출 할 수없는 스마트 카드 자체)과 알 수있는 것 (암호)으로 암호화 된 데이터를 보호하는 이점이 있습니다.

다음 /etc/crypttab과 같이 형식을 지정하십시오 .

mapper-name /dev/disk/raw-device /var/lib/filename-containing-encrypted-key \
    luks,keyscript=/lib/cryptsetup/scripts/decrypt_opensc

데비안과 파생어에서 initramfs-tools는 키 스크립트를 인식하고 스마트 카드에 자동으로 액세스하는 데 필요한 모든 도구와 데몬을 자동으로 복사합니다.

스마트 카드 설정 및 키 생성 (및 암호화)에 대한 정보는에서 찾을 수 있습니다 /usr/share/doc/cryptsetup/README.opensc.gz.

이 목적 으로 Yubikey 4 또는 Yubikey NEO 를 다른 용도로 사용할 수 있습니다 .

구현 노트 :이 기능은 가장자리가 거칠고 YMMV와 같이 즉시 작동하지 않습니다. 마지막으로 성공했을 때 다음 해킹을 추가해야했습니다.

• systemd암호화 된 장치를 설정하는 전체 프로세스를 비참하게 시도하기 때문에 비활성화 /etc/crypttab하지만 keyscript큰 실패로 이어지는 것은 무엇인지 알 수 없습니다 . 운 좋게도 데비안에서는 여전히을 선택 해제 할 수 있습니다 systemd.

• /etc/initramfs-tools/hooks/yubipin내장 기능이 Yubikey를 initramfs에서 사용할 수 있도록 충분한 지원을 설치하지 않았으므로이 Fixer -Upper 스크립트를 설치하십시오. 이것을 조정해야 할 수도 있습니다.

  #!/bin/sh
  
  PREREQ=cryptroot
  
  prereqs()
  {
      echo "$PREREQ"
  }
  
  case $1 in
  prereqs)
      prereqs
      exit 0
      ;;
  esac
  
  # /scripts/local-top/cryptopensc calls pcscd with the wrong path
  ln -s ../usr/sbin/pcscd ${DESTDIR}/sbin/pcscd
  mkdir -p "${DESTDIR}/usr/lib/x86_64-linux-gnu"
  # opensc-tool wants this dynamically, copy_exec doesn't know that
  cp -pL /usr/lib/x86_64-linux-gnu/libpcsclite.so.1 "${DESTDIR}/usr/lib/x86_64-linux-gnu/libpcsclite.so.1"
  mkdir -p "${DESTDIR}/lib/x86_64-linux-gnu"
  # without this, pcscd aborts with a pthread_cancel error
  cp -pL /lib/x86_64-linux-gnu/libgcc_s.so.1 "${DESTDIR}/lib/x86_64-linux-gnu/libgcc_s.so.1"
  # this gets copied as a dangling symlink, fix it
  rm "${DESTDIR}/usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist"
  cp -pL /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist "${DESTDIR}/usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist"
  # pcscd needs this to open the reader once it has found it
  cp -pL /lib/x86_64-linux-gnu/libusb-1.0.so.0 "${DESTDIR}/lib/x86_64-linux-gnu/libusb-1.0.so.0"
  

• /etc/initramfs-tools/scripts/local-bottom/killpcscd정리할 다른 스크립트를 설치하십시오 .

  #!/bin/sh
  
  set -e
  
  PREREQ=cryptopensc
  
  prereqs()
  {
      echo "$PREREQ"
  }
  
  case $1 in
      prereqs)
          prereqs
          exit 0
          ;;
  esac
  
  # because cryptopensc does not do it properly
  killall pcscd
  

답변

crypt-root UUID=c5a2cf25-0aae-457e-874f-fca7ea3d5742 none luks
crypt-data UUID=96d79323-246d-49e0-9149-ec3a4cfc1c1e /etc/crypt-data.key luks

Tm90IHJlYWxseSBteSBwYXNzd29yZC4K

-rw------- 1 root root 59 Sep 14 23:57 /etc/crypt-data.key