Szyfrowanie dysku zdalnego serwera

Bądź precyzyjny co do zagrożenia, które adresuje

Pełne szyfrowanie dysku chroni dane w spoczynku. Gdy maszyna zostanie uruchomiona, a wolumin odblokowany, klucz jest w pamięci jądra, a system plików jest czytelny dla wszystkiego z wystarczającymi uprawnieniami — w tym, na platformie zwirtualizowanej, dla operatora hiperwizora, który może zrzucić pamięć gościa.

Więc FDE pokonuje: przejęcie sprzętu przy wyłączonym zasilaniu, dyski opuszczające centrum danych pod koniec życia oraz zimną kopię obrazu wirtualnego dysku. Nie pokonuje: atakującego na działającym systemie ani przeciwnika na poziomie hiperwizora przeciw działającej maszynie wirtualnej. To uczciwe granice i każdy przewodnik, który je pomija, sprzedaje pocieszenie.

Problem zdalnego odblokowania

Na laptopie wpisujesz hasło przy starcie. Na serwerze dwa tysiące kilometrów dalej coś musi je dostarczyć, a oczywiste rozwiązania wszystkie niweczą cel — plik klucza na tym samym dysku lub klucz przechowywany przez dostawcę oznacza, że szyfrowanie jest dekoracyjne.

Są dwie poprawne odpowiedzi. Na naszych dedykowanych serwerach i serwerach GPU użyj konsoli poza pasmem: IPMI daje ekran startowy i wpisujesz hasło tak jak lokalnie. Na VPS umieść dropbear-initramfs w początkowym ramdisku, aby maszyna uruchomiła się na tyle, by przyjąć połączenie SSH, odblokujesz przez to połączenie, a start będzie kontynuowany.

Konfiguracja

Czysta ścieżka to zaszyfrowanie podczas instalacji. Uruchom niestandardowe ISO przez nośnik wirtualny, podziel na niezaszyfrowany /boot i kontener LUKS2 na wszystko inne, a następnie instaluj. Wybierz Argon2id jako funkcję wyprowadzania klucza — to domyślna opcja LUKS2 i jest odporna na pamięć, co ma znaczenie przeciw brute force.

Zamów LUKS przy provisioning na dowolnym planie dedykowanym, GPU lub storage, a my zrobimy partycjonowanie; Ty wprowadzasz hasło przez konsolę przy pierwszym starcie i nigdy nie dotyka ono naszej infrastruktury. Nie ma opłaty ani ścieżki odzyskiwania, co jest tym samym stwierdzeniem wypowiedzianym dwa razy.

• cryptsetup luksFormat --type luks2 --pbkdf argon2id /dev/sdaX
• Niezaszifrowany /boot, wszystko inne w kontenerze
• apt install dropbear-initramfs na VPS do zdalnego odblokowania
• Dodaj swój klucz SSH do /etc/dropbear/initramfs/authorized_keys
• Przetestuj pełny restart, zanim cokolwiek na nim umieścisz
• Trzymaj drugi slot klucza z hasłem przechowywanym w bezpiecznym miejscu

Dwie rzeczy, które ludzie mylą

Pierwsza to posiadanie tylko jednego slotu klucza. LUKS2 obsługuje osiem; użyj co najmniej dwóch, z drugim trzymającym długie losowe hasło w menedżerze haseł. Pojedyncze zapomniane hasło jest nie do odzyskania, a nie do odzyskania znaczy nie do odzyskania.

Drugim jest nietestowanie restartu przed umieszczeniem danych na maszynie. Źle skonfigurowany dropbear initramfs zamienia pierwszy nieplanowany restart w maszynę, która nigdy nie wróci. Celowo zrestartuj ją dwa razy, gdy jest jeszcze pusta.