Ashram de Swâmi Petaramesh - Retailler à la volée une LVM chiffrée LUKS - Commentaires

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Mon, 02 Jun 2008 15:03:03 +0200

@ccal : Tu as raison, ça s'appelle une erreur de copié/collé de ma part. J'ai suffixé mes propres clés en .bin ce qui n'est pas nécessaire, je l'ai viré de quelques entrées dans le commentaire ci-dessus pour les raccourcir, et je l'ai oublié dans l'autre... Je vais corriger l'erreur ci-dessus, merci :-)

Retailler à la volée une LVM chiffrée LUKS - ccal

ccal — Mon, 02 Jun 2008 14:56:34 +0200

c'est /etc/keys/.sdb1.key sans l'extention .bin dans /etc/crypttab non ?

Retailler à la volée une LVM chiffrée LUKS - mitch

mitch — Sun, 01 Jun 2008 13:53:55 +0200

Super !!! Merci beaucoup !

M'en vais bidouiller mon EeePC moi ... gnark gnark gnark :-)

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Sun, 01 Jun 2008 08:25:11 +0200

@mitch : Chiffrement de la carte SD du EEEPC d'asus avec luks (montage automatique au boot, inutilisable sans la machine).

C'est ce que je fais sur le mien (la carte SD reste dedans en permanence, me sert de "disque dur étendu" grâce à un jeu de liens symboliques, est montée automatiquement au boot avec l'ensemble du système chiffré).

Rien n'est plus simple. Il suffit de chiffrer la carte SD en LUKS avec un fichier-clé aléatoire que je conserve dans /etc/keys (le root filesystem étant lui-même chiffré, cela ne pose pas de problème), le fichier-clé ayant été initialement généré avec une instruction du genre :

dd if=/dev/random of=/etc/keys/.sdb1.key bs=1 count=512

Avant de chiffrer la carte SD avec :

cryptsetup luksFormat /dev/sdb1 /etc/keys/.sdb1.key

(Ouvrir ensuite manuellement le container et créer un filesystem dedans avec mke2fs.)

Il suffit ensuite de mettre dans /etc/crypttab:

SD_card /dev/sdb1 /etc/keys/.sdb1.key luks,check,checkargs=ext3

et dans /etc/fstab :

/dev/mapper/SD_card /mnt/SD_card ext3 noatime 0 0

C'est tout !

N.B.: Si l'on veut que le montage de la carte SD chiffrée survive à une suspension ou une hibernation du système, il faut utiliser un noyau supportant "USB_PERSIST", c'est-à-dire au moins un 2.6.24. J'utilise celui-ci sur mon EeePC. (Attention, il est vulnérable à l'affreuse faille de "local privilege escalation")

Retailler à la volée une LVM chiffrée LUKS - mitch

mitch — Sat, 31 May 2008 20:13:22 +0200

Nickel, merci pour ce billet technique. Clair, pertinent, qui permet d'apprendre énormément de chose (comme d'hab. quoi!).

Il ne te reste plus qu'à rédiger des billets du style :

Chiffrement de la carte SD du EEEPC d'asus avec luks (montage automatique au boot, inutilisable sans la machine).
Un billet qui explique comment résoudre simplement le bug https://bugs.launchpad.net/gnome-mo... et le quidam moyen pourra chiffrer toute sa production simplement.

Merci encore pour la qualité de tes billets.

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Thu, 29 May 2008 13:53:28 +0200

@Gab : Oui, c'est tout l'intérêt des LVM et systèmes apparentés, que de s'affranchir des limites strictes, bêtes et méchantes qui s'appliquent aux partitions de disques...

Aucun outil libre, à ma connaissance, ne permet de redimensionner une partition autrement que par la fin, aucun outil libre ne permet d'en déplacer le début (sauf à recopier l'ensemble de la partition vers l'avant du disque si on a la place suffisante).

Note que si l'on aime les acrobaties risquées, on peut déplacer une partition vers le début du disque avec un bête "dd" et la partition s'écrasera alors elle-même pendant sa propre copie. Ça marche, c'est sauvage à faire, mais il vaut mieux que rien n'interrompe le processus avant le coup de fdisk final...

Il existe un outil qui permet de retailler, copier et déplacer les partoches dans tous les sens, mais c'est un outil commercial que je ne citerai donc pas ici, et d'autant moins qu'il est très risqué de l'utiliser pour retailler un disque qui a été initialement partitionné avec des outils différents et qui n'avaient pas forcément la même vision de la géométrie du disque. Ah, les différentes visions de la géométrie d'un disque de nos jours, c'est rien que du bonheur... Faut même parfois faire gaffe selon la version de noyau avec laquelle on a booté la machine, je me suis parfois vu obligé de lancer fdisk en forçant manuellement une vision particulière de la géométrie d'un disque pour pouvoir retailler sans casser des trucs qui avaient été faits par gparted sur un live-CD utilisant une autre version de noyau.

Tiens, la machine sur laquelle je suis, là :

Selon le noyau (dmesg) :

[sda] 312581808 512-byte hardware sectors (160042 MB)

Selon fdisk :

# fdisk -l /dev/sda
Disque /dev/sda: 160.0 Go, 160041885696 octets
255 heads, 63 sectors/track, 19457 cylinders
Units = cylindres of 16065 * 512 = 8225280 bytes

Selon hdparm :

RawCHS=16383/16/63, TrkSize=0, SectSize=0, ECCbytes=4
BuffType=unknown, BuffSize=8192kB, MaxMultSect=16, MultSect=?8?
CurCHS=16383/16/63, CurSects=16514064, LBA=yes, LBAsects=312581808

Tu noteras peut-être une certaine différence de la vision de la géométrie C/H/S selon qu'on pose la question à fdisk ou hdparm, et je ne préfère même pas savoir ce que le BIOS en pense...

Il y a des cas où ce genre de chose peut avoir des conséquences franchement rigolotes...

Retailler à la volée une LVM chiffrée LUKS - Gab

Gab — Thu, 29 May 2008 13:15:11 +0200

Vu comme ça, certes. Mais j'ai toujours trouvé ça contraignant de devoir avoir de la place //après// pour redimensionner une partition. A ma connaissance il n'y a pas de méthode si on a de la place //avant// ou //ailleurs// (à part avec lvm).
Le cas le plus général, en tous cas que j'ai le plus souvent croisé, est que d'un coup une partition ne sert plus (parce qu'on l'a déplacé sur un disque qu'on vient d'acheter, par exemple), et cette partition n'est pas du tout derrière celle qu'on voudrait agrandir.
Et là, ta méthode ne fonctionne pas, d'où la qualification de 'cas particulier' ;)

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Thu, 29 May 2008 08:27:23 +0200

@gab (re) : A part insister sur le fait que ce que tu présente un cas très particulier

Pour revenir là-dessus, il me semble que ce que tu considères comme un "cas particulier" est le fait d'étendre une partition alors qu'on dispose d'espace libre adjacent. Si tu y réfléchis une seconde, tu t'apercevras que toute extension de partition nécessite au préalable de disposer d'espace disque libre adjacent, et que si l'on n'en a pas, il faut donc en faire ;-)

Il me semble donc que ce "cas particulier" ramène donc bel et bien à un cas général.

D'autre part, s'agissant de l'extension d'une LVM chiffrée sur laquelle est installée tout un système, on n'aura généralement sur le disque pas d'autres partitions qu'un petit /boot et une grosse partition pour la LVM chiffrée. S'il reste de la place, soit elle aura été laissée libre "pour le cas où, un jour...", soit elle aura été utilisée pour des partitions spécifiques, typiquement temporaires, qui peuvent être supprimées sans casse (mon cas), soit elle aura été utilisée pour un quelconque espace de stockage additionnel que l'on pourra sans problème recopier sur un support externe le temps d'effectuer les modifications nécessaires (puisque par définition ce qui n'est pas à l'intérieur de la LVM chiffrée n'est pas vital au fonctionnement du système...).
Et il y a bien sûr aussi le cas de figure de l'extension de la LVM après recopie de l'ensemble du système sur un disque plus gros, situation commune où la présence d'espace libre derrière la LVM coule de source.

Décidément, je trouve ce cas particulier vraiment bien général ;-)

Retailler à la volée une LVM chiffrée LUKS - Le Joker

Le Joker — Wed, 28 May 2008 20:44:58 +0200

charge guruïque .

C'est un truc de sanglier ca !

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Wed, 28 May 2008 18:17:00 +0200

Mouarf, c'est pas parce que ça marche que c'est particulier, on n'est pas sous Windows :-D

Retailler à la volée une LVM chiffrée LUKS - Gab

Gab — Wed, 28 May 2008 18:05:43 +0200

@S.A.S. Swâmi

> j'émets quelques légers doutes quant à l'utilité pratique de ton commentaire...

A part insister sur le fait que ce que tu présente un cas très particulier? Aucun :)

Retailler à la volée une LVM chiffrée LUKS - krysalia

krysalia — Wed, 28 May 2008 15:55:18 +0200

Ouais. Mais t'as un système d'exploitation bien rangé qui tourne bien... On ne peut pas tout avoir :D

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Wed, 28 May 2008 14:30:09 +0200

@Krysalia : J'adore m'adonner aux trucs les plus débridés, hélas, ma charge guruïque m'en laisse trop peu le loisir :-}

Retailler à la volée une LVM chiffrée LUKS - krysalia

krysalia — Wed, 28 May 2008 14:20:38 +0200

Quoiii ? en ces temps de disette tu t'adonnes au luks le plus débridé ?
y'en a qui ont de la chance ici :}

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Wed, 28 May 2008 08:40:10 +0200

Tiens, j'ai eu le plaisir de voir hier soir qu'une corrective que j'ai apportée au package cryptsetup a été acceptée et incorporée aux futurs packages cryptsetup Ubuntu...

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Tue, 27 May 2008 15:45:04 +0200

@ccal : Merci, le typo que tu m'as signalé est corrigé.

> Tu utilises aes-cbc-essiv:sha256 pour chiffrer ?

C'est ce que propose cryptsetup par défaut pour LUKS, mais pour des raisons de performances j'utilise généralement une clé plus courte (AES128 ou 192, surtout pour du swap ou du temp) qui me semblent bien suffisants en termes de sécurité (au rapport du contenu des machines), le "SHA256" ici étant pour les IVs.

Retailler à la volée une LVM chiffrée LUKS - ccal

ccal — Tue, 27 May 2008 15:36:21 +0200

Correction :
- updfate-initramfs -u
+ update-initramfs -u

Tu utilises aes-cbc-essiv:sha256 pour chiffrer ?

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Tue, 27 May 2008 15:02:33 +0200

UNIX Sex: {look; find; talk; grep; touch; finger; find; flex; unzip; mount; workbone; fsck; yes; gasp; fsck; yes; eject; umount; makeclean; zip; split; done; exit}

Retailler à la volée une LVM chiffrée LUKS - Christine

Christine — Tue, 27 May 2008 14:42:25 +0200

@Chompitiarve : c'est vrai, en cherchant bien j'ai trouvé
dur
incorporer
à l'intérieur
à l'extérieur
plus gros
plus drôle
erreur
j'agrandirai le volume physique
manuellement
vraiment terrifiante
montées
changement de taille
truly bad

Finalement, ça peut l'faire ;-))

Retailler à la volée une LVM chiffrée LUKS - Chompitiarve

Chompitiarve — Tue, 27 May 2008 14:07:30 +0200

@Christine
Pourquoi digresser? On est en plein dans le sujet, non ?
Bon, d'accord ça suppose une certaine orientation-objet de nos penchants, un fau(x)con n'y suffira peut-être pas ...

:-)

Retailler à la volée une LVM chiffrée LUKS - Christine

Christine — Tue, 27 May 2008 13:18:52 +0200

Et ben dis donc, pour trouver matière à digression sexuelle, je vais ramer ;-))

Retailler à la volée une LVM chiffrée LUKS - Le Joker

Le Joker — Tue, 27 May 2008 12:57:41 +0200

Tout cela est bel et bien beau mais n'a quand même rien a voir avec les paysages magnifiques de la Patagonie septentrionale surtout vus par l'oeuil d'un Yaka-Faucon en vol, fut-il d'élevage.

Retailler à la volée une LVM chiffrée LUKS - Swâmi Petaramesh

Swâmi Petaramesh — Tue, 27 May 2008 12:50:18 +0200

@Gab : Sauf que ton truc avec fdisk ne marche QUE si les partoches /tmp et swap sont physiquement à côté de la partoche que tu veux redimensionner!

Te ferai-je remarquer que c'était précisé dans le texte ?

> en plus si tu te plante d'un octet lors de la re-création, toute le partoche dégage...

Tu ne peux pas te planter "d'un octet". Tu peux te planter d'un cylindre ;-)

> Bref, un peu dangereuse, cette méthode :)

Te ferai-je remarquer que c'était précisé en gras dans le texte ?

Maintenant, si tu en connais une "pas dangereuse", je suis preneur ; dans le cas contraire, j'émets quelques légers doutes quant à l'utilité pratique de ton commentaire...

Retailler à la volée une LVM chiffrée LUKS - Gab

Gab — Tue, 27 May 2008 12:37:19 +0200

Sauf que ton truc avec fdisk ne marche QUE si les partoches /tmp et swap sont physiquement à côté de la partoche que tu veux redimensionner!
Si elles sont ailleurs, tu vas rien agrandir du tout.
Il faut bien préciser qu'agrandir une partition de cette manière n'est possible que s'il y a de l'espace disque derrière. Et en plus si tu te plante d'un octet lors de la re-création, toute le partoche dégage...
Bref, un peu dangereuse, cette méthode :)