Установка Linux Ubuntu 14.04 на шифрованный системный раздел

Spacer

Сопутствующие статьи

Поделитесь этим сайтом с друзьями!

Если вам оказалась полезна или просто понравилась эта статья, тогда не стесняйтесь - поддержите материально автора. Это легко сделать закинув денежек на Yoomoney № 410011416229354.

Или на телефон +7(928)274-0281.

Даже небольшая сумма может помочь написанию новых статей :)

Или поделитесь ссылкой на эту статью со своими друзьями.

Важно! Эта статья для людей, которые разбираются в компьютерах на уровне выше среднего. Если вы не знаете что такое конфигурационные файлы, разделы диска, как работать с терминалом - тогда обращайтесь к специалисту. Чтобы не тратить свое время и нервы.

Казалось бы зачем эта статья, ведь Ubuntu 14.04 можно установить на шифрованный системный раздел через мастер установки, там есть такая опция. Опция есть, но она проблемная - нет никаких дополнительных настроек. Мастер установки тупо использует весь указанный диск целиком, создавая на нем три раздела - root, boot и swap. Разделы рут и swap как и положено внутри шифрованного контейнера, а раздел boot голый! И это главная проблема - незашифрованный раздел boot на том же самом диске. То есть нет другой возможности защиты кроме физического извлечения диска. А если защищать диск таким образом, тогда зачем вообще шифровать?

Поэтому несмотря на наличие опции в мастере установки, все равно приходится делать установку вручную.

Эта статья описывает последовательность действий для ручной установки Ubuntu 14.04 на зашифрованный диск. Если у вас Ubuntu 16.04, прочитайте статью "Шифрование Ubuntu 16.04". В целом там все так же, но есть пара отличий.

Для начала немного теории.

Для чего нужно шифрование данных на диске

Это единственный надежный способ защиты информации, в условиях, когда возможен физический доступ посторонних людей к компьютеру. Пароль на запуск любой операционной системы - Windows, Linux или Mac OS, может спасти только от детей. Любой специалист обойдет парольную защиту за пару минут - примерно столько времени нужно для того, чтобы воткнуть в компьютер флешку и загрузить свою операционную систему с нее.

А вот зашифрованные данные вскрыть уже гораздо труднее. Или вообще невозможно без цифрового ключа или ключевой фразы. Конечно существуют разные алгоритмы шифрования и внутри этих алгоритмов существуют разные параметры - все это влияет на устойчивость к взлому. При использовании нестойких алгоритмов или уязвимых параметров можно получить доступ к зашифрованным фалам и папкам. Но в общем случае можно считать что шифрование это надежная защита данных.

Наиболее распространенный способ защиты данных это шифрование файлов. На диске создается шифрованная папка, в нее записываются файлы. Теоретически это надежно, если используется алгоритм AES и ключи большой длины. Но остается неочевидная уязвимость данных при таком способе шифрования. Дело в том, что операционная система остается незащищенной. А это дает злоумышленнику возможность установить в систему специальную программу, (кейлогер, руткит) которая будет запускаться при старте ОС и отслеживать действия пользователя и таким образом рано или поздно злоумышленник получит пароль или ключевой файл для доступа к зашифрованным папкам и файлам. Либо сможет получить сами эти данные после того, как пользователь откроет зашифрованный файл.

Значит, действительно стойкая защита данных на диске это шифрование не отдельных файлов и папок, но и всей операционной системы. Для надежной защиты необходимо шифрование всего диска. "На поверхности" не должно оставаться ничего. В этой статье будет дана инструкция как создать шифрованный системный раздел и диск в ОС Linux Ubuntu 14.04.

Шифрованная файловая система в Linux поддерживается на уровне ядра операционной системы. То есть не нужно искать какие-то навороченные криптографические программы и более того, использование шифрованных разделов Linux происходит прозрачно - пользователю ничего не нужно знать о шифровании и ничего не нужно делать для шифрования своих файлов и папок.

Для того, чтобы создать надежную шифрованную систему под Linux нужно понимать какие части этой системы нужно защищать. Их четыре:

  • Системная область - обозначается как root или /.
  • Загрузочная область - обозначается как /boot. Может располагаться на отдельном разделе или на разделе root в виде папки.
  • Область пользовательских данных - обозначается как /home. Может располагаться на отдельном разделе или на разделе root в виде папки.
  • Область виртуальной памяти - обозначается как swap.  Чаще всего размещается на отдельном разделе, но может располагаться на разделе root в виде файла.

Защищать нужно все эти области.

В статье будет рассмотрена упрощенная конфигурация - /boot на отдельном разделе и диске, а swap, root и /home совмещены на одном разделе одного диска. Но для более сложных случаев распределения разделов технология защиты будет такая же.

С шифрованием областей root, swap и home никаких трудностей нет, а вот с защитой /boot есть проблема. Дело в том, что из этой области системный загрузчик запускает initrd и ядро Linux. Если эту область зашифровать, тогда загрузчик не сможет запустить ядро и соответственно запуск ОС будет невозможен. То есть зашифровать /boot нельзя, но и оставлять открытой тоже нельзя, ведь в этом случае будет возможна подмена ядра, на другое, содержащее зловредный код, который перехватит пароль для расшифровки диска..

Выход в том, чтобы разместить раздел /boot на съемном носителе, на флешке. Флешка будет своего рода электронным ключом к системе. Без нее запуск ОС с зашифрованного диска будет невозможен. То есть защита раздела /boot осуществляется на физическом уровне - извлечением его из компьютера.

Таким образом общая схема защиты такова:

  • Разделы root, swap и /home размещаются на полностью зашифрованном жестком диске.
  • Раздел /boot размещается на съемном носителе.

Установка шифрованной Убунты будет выполняться с использованием Ubuntu Live. Почему именно Live? Ведь дистрибутив Alternate позволяет сделать тоже самое без плясок с бубном, там опции шифрования есть в установщике. Лично мне не нравится то, что Alternate это исключительно установочный дистрибутив, больше его никак нельзя использовать - ни для диагностики, ни для работы. К тому, же установщик Alternate работает в консоли, а это как-то архаично в 21 веке. Так, что Live.

Эта инструкция применима к LTS релизу 14.04. Для установки предыдущих релизов читайте другую статью - установка Убунту 10.04 и 12.04 на шифрованный диск.

Итак.

Шаг первый

Необходимо загрузиться с диска или флешки Ubuntu Desktop 14.04 Live. Соответственно должен к компьютеру быть подключен жесткий диск на который будет выполнена установка. А также нужно приготовить чистую флешку емкостью от 100 Мб и выше.

Инструкция: Запись образа Ubuntu ISO на флешку.

Шаг второй, подготовка жесткого диска и флешки

На жестком диске нужно создать один пустой, размеченный в файловую систему cleared. Разметка диска может быть MS-DOS или GPT - это неважно. Этот раздел будет выполнять роль криптоконтейнера.

На флешке также нужно создать один раздел, но с файловой системой Ext2.

Шаг третий, шифрование системного диска

Шифрование всего раздела на жестком диске выполняется командой:

sudo cryptsetup --cipher aes-xts-plain --key-size 512 --verify-passphrase luksFormat /dev/sda1

Важное примечание.

Эта команда выдаст запрос и на его подтверждение нужно ввести слово YES, именно так, заглавными буквами. Этот запрос сделан для того, чтобы убедиться в том, что у вас на клавиатуре включен именно английский язык! После этого нужно будет дважды ввести ключевую фразу. Эта фраза должна быть длинной и не должна содержать часто повторяющихся знаков. В идеале это должен быть произвольный набор букв и цифр. Эту фразу лучше придумать заранее, еще до начала работы по созданию системы.

При вводе ключевой фразы, в терминале не будут отображаться никакие знаки, поэтому печатать нужно внимательно. Но фраза будет запрошена дважды, так что если вы ошибетесь программа об этом сообщит.

После успешного создания криптоконтейнера, для дальнейшей работы нужно подключить этот шифрованный диск:

sudo cryptsetup open /dev/sda1 crypted

Эта команда выдаст запрос на ключевую фразу, которая была введена в предыдущей команде.

Шаг четвертый, создание шифрованных разделов

Следующий этап это создание шифрованных разделов внутри криптоконтейнера LUKS. Для создания этих разделов используется механизм LVM.

sudo pvcreate /dev/mapper/crypted
sudo vgcreate ubuntu /dev/mapper/crypted
sudo lvcreate -L 2600M -n swap ubuntu
sudo lvcreate -l 100%FREE -n root ubuntu
sudo mkswap /dev/mapper/ubuntu-swap
sudo mkfs.ext4 /dev/mapper/ubuntu-root

Примечание.

Размер swap раздела должен быть примерно на 20-30% больше чем размер оперативной памяти. Раздел root не менее 5-7 Гигабайт.

В итоге у вас терминал должен выглядеть примерно так:

Шаг пятый, установка Ubuntu на шифрованный диск

После создания зашифрованных разделов нужно запустить инсталлятор, ярлык которого есть на рабочем столе. Установка обычная, важно лишь до запуска установщика отмонтировать флешку куда будет записан /boot, и правильно указать разделы для установки.

Далее нужно выбрать ручную разметку диска:

И далее вот таким образом подключить разделы и указать диск для установки загрузчика (boot loader) GRUB:

Если вы не ставили отметку "Фоматировать" для раздела root, тогда будет выдан запрос:

Его можно игнорировать нажав кнопку "Далее".

После этого нужно проходийти мастер установки до конца дождаться окончания установки. По завершении установки, установщик предложит перезагрузить компьютер.

Перезагружать нельзя! Нужно остаться в Live Ubuntu, чтобы завершить настройку загрузки.

Впрочем это некритично. Даже если вы по ошибке сделаете перезагрузку можно будет снова загрузиться в Ubuntu Live.

Шаг шестой, подключение криптоконтейнера

Примечание. Этот шаг пропускается если вы сделали перезагрузку после завершения установки!

Сначала нужно выполнить следующие команды:

sudo swapoff -a
sudo dmsetup remove_all

Эти две команды размонтируют шифрованный контейнер. Это нужно для того, чтобы далее подключить криптоконтейнер с настройками по умолчанию. Это можно сделать двумя способами:

Способ первый, через графический интерфейс

Кликните на кнопке диска в панели быстрого запуска:

Далее будет запрос ключевой фразы:

Способ второй, через терминал:

Нужно выполнить команду:

echo "luks-$(ls -la /dev/disk/by-uuid | grep $(basename /dev/sda1) | cut -d ' ' -f 11)"

Ее вывод будет выглядеть так: luks-b224aaf0-774a-4548-a256-b11c5a657902

Примечание. Если вывод команды не содержит такую строку, значит пробуйте другой параметр -f : 10, 12 и смотрите на результат. От версии к версии формат команды ls -la меняется. И вывод UUID диска может быть не на 11 позиции. Например в версии 14.04.3 он на 10 позиции! Можно просто выполнить команду ls -la /dev/disk/by-uuid и посмотреть все диски и все UUID. А затем вручную составить строку luks-UUID.

Нужно скопировать эту строку и вставить в следующую команду:

sudo cryptsetup open /dev/sda1 luks-b224aaf0-774a-4548-a256-b11c5a657902

Прмечание.

Для чего все это? Дело в том, что в отличии от предыдущих версий, Ubuntu 14.04 не берет имя подключаемого криптоконтейнера из файла /etc/crypttab. Она автоматически формирует его из префикса luks- и UUID разздела где размещен криптоконтейнер. То есть нельзя в /etc/crypttab написать какое-то имя типа crypted как в предыдущих версиях. Нужно чтобы это имя соответствовало имени по умолчанию. На самом деле в настройках dm-crypt можно указать использование пользовательского имени криптоконтейнера. Но лучше делать так чтобы все работало "из коробки".

Для проверки можно выполнить команду:

sudo cryptsetup status /dev/mapper/luks-b224aaf0-774a-4548-a256-b11c5a657902

Чтобы убедится что все впорядке.

Шаг седьмой, настройка загрузки с шифрованного диска.

Нужно выполнить вот эти команды:

  1. sudo mount /dev/mapper/ubuntu-root /mnt
  2. sudo mount /dev/sdb1 /mnt/boot
  3. sudo mount -o bind /dev /mnt/dev
  4. sudo mount -t proc proc /mnt/proc
  5. sudo mount -t sysfs sys /mnt/sys  

Проверьте, чтобы правильный диск был примонтирован в /mnt/boot! Это должна быть флешка с разделом boot.

Далее следующие команды:

  1. sudo chroot /mnt /bin/bash
  2. echo "luks-$(ls -la /dev/disk/by-uuid | grep $(basename /dev/sda1) | cut -d ' ' -f 11) UUID=$(ls -la /dev/disk/by-uuid | grep $(basename /dev/sda1) | cut -d ' ' -f 11) none luks,discard" > /etc/crypttab
  3. update-initramfs -u
  4. update-grub
  5. exit

Примечание. После второй команды лучше выполнить проверочную cat /etc/crypttab чтобы посмотреть строку которая записана в crypttab. Она должны быть примерно такой "luks-0eac1061-1dca-4a66-8497-7f3dda2b843a UUID=0eac1061-1dca-4a66-8497-7f3dda2b843a none luks,discard":

Вы можете изучить формат файла /etc/crypttab и сделать запись вручную, без использования команды echo (команда № 2). Особенно в том случае, если вы используете эту инструкцию для другого дистрибутива.

Или, перед выполнением полной команды echo, выполнить ее в усеченном формате, с выводом только в терминал. Чтобы убедиться в том, что строка формируется правильно.

Теперь можно пользоваться установленной зашифрованной Ubuntu. Конечно в BIOS необходимо указать загрузку с той флешки, где установлен раздел /boot!

После установки можно сделать оптимизацию и ускорение Ubuntu 14.04.

Примечание 1

Важно понимать, что даже при таком тотальном шифровании сохраняются уязвимости.

  • Во-первых нужно сохранять в тайне ключевую фразу. Если вы ее запишите на стикер и приклеите на монитор это не хорошо. Если злоумышленник получит ключевую фразу, он сможет открыть ваш зашифрованный диск используя какой-либо Live дистрибутив Linux.
  • Во-вторых нужно на физическом уровне защищать загрузочную флешку. Не оставляйте ее без присмотра. Выключили компьютер - извлеките флешку и поместите ее в надежное место. Если ваша загрузочная флешка будет в свободном доступе, злоумышленник может установить на нее свой код для перехвата пароля.
  • В-третьих нельзя оставлять без присмотра включенный компьютер. Когда компьютер включен, доступен и зашифрованный диск и загрузочная флешка.

Также необходимо понимать, что шифрование это защита на то время когда ваш компьютер выключен, а вас рядом нет. Но когда вы работаете на компьютере сохраняется возможность попадания на ваш компьютер вредоносных программ из Интернет. Такие программы могут "украсть" вашу информацию в то время как вы пользуетесь компьютером и Интернет.

Поэтому важно принимать и другие меры защиты. Не "шарахаться" где попало в Интернет. Не устанавливать непроверенные программы. Использовать брандмауэр. А при более серьезных требованиях к безопасности нужно использовать другие средства, например tcb, SELinux, iptables.

Примечание 2

Сделайте копию загрузочной флешки, проще всего командой dd. Запишите этот образ на другую флешку или на лазерный диск. Копия на другую флешку удобнее поскольку при необходимости вы сразу ее сможете использовать. Но в любом случае эту копию, на чем бы она ни была, нужно будет хранить в защищенном месте. А после обновления ядра или загрузчика необходимо будет обновлять копию флешки.

P.S.

Если вы живете в г. Краснодар, для вас есть простой способ установить Ubuntu Linux на шифрованный системный раздел - позвоните по телефону, который указан ниже и договоритесь со специалистом. Подробнее...

Иван Сухов, 2014 г

При написании этой статьи была использована информация из публикации в блоге Андреаса Хёртера.

Поделитесь этим сайтом с друзьями!

Если вам оказалась полезна или просто понравилась эта статья, тогда не стесняйтесь - поддержите материально автора. Это легко сделать закинув денежек на Yoomoney № 410011416229354.

Или на телефон +7(928)274-0281.

Даже небольшая сумма может помочь написанию новых статей :)

Или поделитесь ссылкой на эту статью со своими друзьями.

  Copyright digital.workshop 1999 - 2021.  
Это произведение доступно по лицензии Creative Commons Attribution-NoDerivs 3.0.
Developed by digital.workshop