Schlüsselkarte erzeugen¶

Für den höchstwahrscheinlichen Fall, dass die SD-Karte bereits ein handelsübliches Dateisystem^[5] besitzt, wird sie vermutlich auf dem Desktop erschienen sein, was dafür spricht, dass sie z.B. als /media/disk eingehängt wurde. Die Karte soll jetzt mit dem ext3-Dateisystem formatiert werden. ext3 hat den Vorteil, dass keine zusätzlichen Kernelmodule für dieses Dateisystem geladen werden müssen.

Die SD-Karte wird

umount /media/disk          # Dies ist ein Beispiel. Einhängepunkt muss ggf. angepasst werden. 

ausgehängt und dann mit

mkfs.ext3 /dev/mmcblk0          # Dies ist ein Beispiel. Gerätename muss ggf. angepasst werden. 

formatiert. Dann wird sie mit

mkdir /media/disk
mount /dev/mmcblk0 /media/disk          # Dies ist ein Beispiel. Gerätename muss ggf. angepasst werden. 

erneut ins System gehängt. Mit

dd if=/dev/urandom of=/media/disk/keyfile bs=4k count=1 

wird dann ein 4kB großer Zufallsdatenstrom als Schlüsseldatei keyfile auf der Karte erzeugt. Mit der Schlüsseldatei soll das zukünftige System alternativ zur Passworteingabe entschlüsselt werden können.

Systemanpassung¶

Mit

cryptsetup luksAddKey /dev/sdX2 /media/disk/keyfile          # Dies ist ein Beispiel. Gerätename muss ggf. angepasst werden. 

wird die Schlüsseldatei als neuer Schlüssel für das LVM-Volume /dev/sdX2 hinzugefügt. sdX2 muss selbstverständlich durch einen gültigen Gerätenamen ersetzt werden. Der Schlüssel wird hinzugefügt, nachdem das bisherige Passwort eingegeben wurde.

Bevor weitere Änderungen vorgenommen werden, sollte die aktuelle initrd-Datei gesichert werden. Für z.B. initrd.img-2.6.28-15-generic erledigt dies

cp /boot/initrd.img-2.6.28-15-generic /boot/initrd.img-2.6.28-15-generic.backup          # Dies ist ein Beispiel. Versionsnamen müssen ggf. angepasst werden. 

Mit dieser Kopie kann zur Not aus Archiv/GRUB heraus das momentane (sicher funktionierende) System gestartet werden, falls es zu Problemen kommen sollte (s.u.). Jetzt werden die oben ermittelten Kernel-Module in die Liste der zu ladenden Module angefügt. Dazu wird /etc/initramfs-tools/modules (in diesem Beispiel) in einem Editor^[6] mit Root-Rechten um die Zeilen

sdhci_pci
mmc_block

erweitert. Dies ermöglicht es, dass die SD-Karte bereits im frühen boot-Stadium der initram richtig erkannt werden kann. Die Datei /etc/crypttab legt fest, welche verschlüsselten Datenträger wie entschlüsselt werden. crypttab wird jetzt dahingehend geändert, dass statt einer Passworteingabe ein Skript /sbin/keyscript läuft, dessen Standardausgabe einer der (in diesem Beispiel zwei) Schlüssel ist, und zwar entweder das Passwort (wie gehabt) oder das keyfile auf der SD-Karte. Zuvor wird wieder eine Sicherungskopie gemacht:

cp /etc/crypttab /etc/crypttab.backup 

Dann wird die Datei /etc/crypttab in einem Editor geöffnet und die Zeile

lukslvm UUID=<VOLUME_ID> none luks

ersetzt mit

lukslvm UUID=<VOLUME_ID> none luks,keyscript=/sbin/keyscript

<VOLUME_ID> sollte eine UUID sein und hier nicht geändert werden. Nach dem Speichern kann der Editor wieder geschlossen werden. Jetzt wird das eigentliche Skript als Datei /sbin/keyscript erstellt. Hierbei gilt es zwischen Plymouth und USplash zu unterscheiden, da beide Bootsplash-Systeme anders angesprochen werden.

USplash

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

#!/bin/sh

modprobe usb-storage 1>&2                                                       # Zur Sicherheit, evtl. nicht notwendig
sleep 10                                                                        # Kann u.U. verkürzt werden
if [ -b /dev/disk/by-uuid/68560947-b5e5-494d-87e9-0d293d436cea ]		# UUID muss angepasst werden
  then
    mkdir /keytmp 1>&2
    mount /dev/disk/by-uuid/68560947-b5e5-494d-87e9-0d293d436cea /keytmp 1>&2	# UUID muss angepasst werden
    cat /keytmp/keyfile                                                         # Ausgabe der oben mit dd erzeugten Schlüsseldatei "keyfile"
    umount /keytmp 1>&2
  else
    if [ -p /dev/.initramfs/usplash_outfifo ] && [ -x /sbin/usplash_write ]
      then 
        /sbin/usplash_write "INPUTQUIET Enter password: "
        tmpin="$(/bin/cat /dev/.initramfs/usplash_outfifo)"
      else
	sleep 5
        echo -n "Enter password: " 1>/dev/tty1
        stty -echo </dev/console 1>&2
        read tmpin </dev/console 1>&2
        stty echo </dev/console 1>&2
    fi
    echo -n $tmpin
fi

Plymouth

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19

#!/bin/sh
# keyscript.sh

if [ -b /dev/disk/by-uuid/68560947-b5e5-494d-87e9-0d293d436cea ];then           # UUID der Partition des Sticks
    mkdir /keytmp 1>&2
    mount /dev/disk/by-uuid/68560947-b5e5-494d-87e9-0d293d436cea /keytmp 1>&2   # UUID der Partition des Sticks
    cat /keytmp/keyfile                                                         # Ausgabe der erzeugten Schluesseldatei "keyfile"
    umount /keytmp 1>&2
  else
    if [ -x /bin/plymouth ] && plymouth --ping;then
	plymouth ask-for-password --prompt="LUKS-Passphrase for /dev/mapper/root:"
    else
        echo -n "LUKS-Passphrase for /dev/mapper/root"
        stty -echo
        read passphrase
        echo -n $passphrase
        stty echo;
    fi
fi

Die UUIDs müssen mit der der SD-Karte ersetzt werden. Das Skript versucht, die SD-Karte zu erkennen. Wenn dies gelingt, wird sie als Verzeichnis /keytmp der initial ram disk eingehängt. Das keyfile wird ausgelesen und an cryptsetup übergeben. Wird keine SD-Karte gefunden (weil diese z.B. nicht eingesteckt wurde), wird ein Passwort mittels des entsprechenden Bootsplash-Systems (USplash/Plymouth) oder über die Console (read) angenommen und dieses dann an cryptsetup übergeben.

Nach dem Speichern von keyscript kann der Editor geschlossen werden. Das Skript wird dann ausführbar gemacht^[7]. Schließlich werden alle Änderungen in die neue initial ram disk mit

update-initramfs -u 

überführt. Das System erkennt automatisch, dass aus der /etc/crpyttab das /sbin/keyscript ausgeführt wird und lädt diese Datei in die neue aktualisierte initial ram disk.