リモートサーバーのディスク全体暗号化

それが対処する脅威について正確に理解する

ディスク全体暗号化は、保存データを保護します。マシンが起動してボリュームがロック解除されると、鍵はカーネルメモリに存在し、ファイルシステムは十分な権限を持つ任意のものから読み取り可能になります。仮想化プラットフォームでは、ゲストRAMをダンプできるハイパーバイザーオペレーターも含まれます。

つまり、FDEは次のものを防ぎます：電源オフ時のハードウェア押収、ライフサイクル終了時にデータセンターを離れるドライブ、仮想ディスクイメージのコールドコピー。しかし、実行中のシステム上の攻撃者や、実行中のVMに対するハイパーバイザーレベルの敵は防げません。これらが正直な境界であり、それらを省略するガイドは安心を売っているにすぎません。

リモートロック解除の問題

ラップトップでは、ブート時にパスフレーズを入力します。2000キロ離れたサーバーでは、誰かがそれを供給する必要があります。そして、明白な解決策はすべて目的を無効にします — 同じディスク上のキーファイル、またはプロバイダーが保存するキーは、暗号化を単なる飾りにします。

正しい答えは2つあります。専用サーバーおよびGPUサーバーでは、アウトオブバンドコンソールを使用してください：IPMIがブート画面を提供し、ローカルで操作するようにパスフレーズを入力します。VPSでは、初期ramdiskにdropbear-initramfsを配置し、マシンがSSH接続を受け入れるところまでブートし、その接続を介してロック解除し、ブートを続行します。

セットアップ

クリーンな方法は、インストール時に暗号化することです。仮想メディアを介してカスタムISOをブートし、暗号化されていない/bootと、それ以外すべてのためのLUKS2コンテナでパーティション分割し、そこにインストールします。鍵導出関数としてArgon2idを選択してください。これはLUKS2のデフォルトであり、メモリハードであり、ブルートフォースに対して重要です。

任意の専用、GPU、またはストレージプランでプロビジョニング時にLUKSを注文すると、パーティション分割を代行します。最初のブート時にコンソールを介してパスフレーズを入力し、それが当社のインフラストラクチャに触れることはありません。料金はかからず、復旧手段もありません。これは同じことを2回言っているのと同じです。

• cryptsetup luksFormat --type luks2 --pbkdf argon2id /dev/sdaX
• 暗号化されていない/boot、それ以外はすべてコンテナ内
• VPSの場合、リモートアンロックのためにapt install dropbear-initramfs
• SSHキーを/etc/dropbear/initramfs/authorized_keysに追加
• 何かを置く前に完全な再起動をテスト
• 安全な場所に保存されたパスフレーズを持つ2番目のキースロットを保持

人々が間違える2つのこと

1つ目は、キースロットが1つしかないことです。LUKS2は8つをサポートします。少なくとも2つを使用し、2つ目にはパスワードマネージャーに保管された長いランダムなパスフレーズを保持してください。忘れたパスフレーズは復元不可能であり、復元不可能とは復元不可能という意味です。

2つ目は、データをマシンに載せる前に再起動をテストしていないことです。設定を誤ったdropbear initramfsは、最初の予期しない再起動を、二度と戻らないマシンに変えてしまいます。マシンがまだ空のうちに、意図的に2回再起動してください。