Удаленное разблокирование томов зашифрованных luks в CentOS6 через ssh

Приведенный ниже материал является адаптацией и дополнением метода удаленного разблокирования томов, предложенного «Michael Scherer» в bagzilla redhat, применительно к CentOS 6 x64. Суть метода заключается в модификации initramfs.

Установка дополнительных пакетов

В initramfs мы добавим ssh-сервер dropbear, его нет в стандартных репозиториях, по этому нужно подключить внешний — epel:

rpm -Uhv http://download.fedoraproject.org/pub/epel/6/x86_64/epel-release-6-7.noarch.rpm yum -y install dropbear 

Модификация initramfs

В CentOS 6 для генерации initramfs используется довольно удобная система- dracut, дополнительный модуль для которой мы и будем создавать. Он представляет из себя папку в /usr/share/dracut/modules.d со скриптами установки и необходимыми файлами.

cd /usr/share/dracut/modules.d mkdir 40unlock cd 40unlock 

Основной скрипт установки модуля:

cat > install << 'EOF' #!/bin/bash  cat /etc/shadow|grep root > ${moddir}/shadow  dracut_install /lib64/libnss_compat.so.2  dracut_install /lib64/libnss_files.so.2  dracut_install /lib64/libnss_dns.so.2  inst_dir "/etc/dropbear"  inst "${moddir}/dropbear_rsa_host_key" "/etc/dropbear/dropbear_rsa_host_key"  inst_dir "/home"  inst_dir "/home/root"  inst_dir "/home/root/.ssh"  inst "${moddir}/.profile" "/home/root"  [ -s "${moddir}/authorized_keys" ] && inst "${moddir}/authorized_keys" "/home/root/.ssh/authorized_keys"  inst "/etc/localtime"  inst "${moddir}/nsswitch.conf" "/etc/nsswitch.conf"  inst "/etc/resolv.conf"  inst "/etc/host.conf"  inst "/etc/hosts"  inst "${moddir}/shadow" "/etc/shadow"  inst "${moddir}/passwd" "/etc/passwd"  inst "${moddir}/shells" "/etc/shells"  inst "${moddir}/unlock" "/bin/unlock"  inst_hook pre-trigger 01 "$moddir/remote-ssh.sh"  inst_hook pre-pivot 01 "$moddir/clean.sh"  dracut_install sed awk dropbear ifconfig route blkid cut killall true mkdir  dracut_install -o ps find grep less cat tac head tail false rmdir rm touch vi ping ssh scp lsmod EOF 

Он берет из shadow зашифрованный пароль root, для возможности удаленного входа по паролю, если вам нужна авторизация по ключу, то положите в эту же папку файл authorized_keys c публичным ключём внутри и правами доступа 600. Также происходит установка всех необходимых конфигурационных файлов, команд и динамических библиотек. Файлы hosts, resolv.conf и host.conf берутся системные. Ставятся 2 хука: первый(remote-ssh.sh) запускает dropbear еще до запроса пароля и второй(clean.sh) убивает процесс dropbear перед сменой корневой фс. В «dracut_install -o» указаны опциональные команды, которые могут быть установлены в initramfs при наличии в основной системе.

Скрипт «проверки»:

cat > check << 'EOF' #!/bin/sh exit 0 EOF 

Если не хотите чтобы этот модуль использовался dracut по умолчанию, то поменяйте код выхода на 255, а так при обновлении ядра новый initramfs будет включать в себя этот модуль.

Скрипт установки модулей ядра:

cat > installkernel << 'EOF' #!/bin/bash instmods e1000 EOF 

Включение нужных модулей ядра в initramfs, в данном случае для поддержки сетевой карты intel e1000, замените на свой( посмотреть можно командой lspci -k ).

Теперь создадим все необходимые конфигурационные файлы и наши скрипты.

echo 'root:x:0:0:root:/home/root:/bin/sh' > passwd echo '/bin/sh' > shells echo 'export PATH=/sbin:/usr/sbin:$PATH' >.profile dropbearkey -t rsa -f dropbear_rsa_host_key 

«Создаем» root пользователя, указываем список системных «шелов», модифицируем переменную PATH и генерируем rsa ключ для dropbear.

cat >nsswitch.conf << 'EOF' passwd:  files shadow:  files group:  files initgroups: files hosts:  files dns bootparams: files ethers:  files netmasks: files networks: files protocols: files rpc:  files services: files automount: files aliases: files EOF 

Указываем откуда брать пользователей и как преобразовывать dns имена.

Скрипт подъема сетевых интерфейсов и запуска dropbear:

cat >remote-ssh.sh << 'EOF' #!/bin/sh /sbin/modprobe e1000 /sbin/ifconfig lo 127.0.0.1/8 /sbin/ifconfig lo up /sbin/ifconfig eth0 192.168.100.203/24 /sbin/ifconfig eth0 up /sbin/route add default gw 192.168.100.1 /bin/mkdir -p /var/log /usr/sbin/dropbear -E -m -p 2222 -a -K 600 > /var/log/lastlog EOF 

После modprobe подставьте подгрузку модуля необходимого для вашей сетевой карты( тот что указывали в скрипте installkernel ), также замените сетевые настройки и имя интерфейса на свои, подразумевается, что ip статистический, если выдача происходит через dhcp — в сркрипт install надо будет добавить установку dhclient и всех необходимых для него библиотек.

Скрипт остановки dropbear:

cat > clean.sh << 'EOF' #!/bin/sh /usr/bin/killall dropbear EOF 

Скрипт разблокировки всех luks томов, требующих ввода пароля:

cat > unlock << 'EOF' if [ -f /etc/crypttab ] ; then sed '/^$/d;/^#/d' /etc/crypttab > /tmp/crypttab n=1 line="`sed -n "$n"p /tmp/crypttab`" while [ -n "$line" ]; do   name="`echo $line|awk '{ print $1 }'`"   dev="`echo $line|awk '{ print $2 }'`"   key="`echo $line|awk '{ print $3 }'`"   if [ "$key" = "none" ]; then     luksname="$name"     if [ "${dev%%=*}" = "UUID" ]; then       device="`blkid -t $dev|cut -d: -f1`"     else       device=$dev     fi     echo "Password [$device ($luksname)]:"      while :;     do       cryptsetup luksOpen $device $luksname && break     done   fi   n=$((n+1))   line="`sed -n "$n"p /tmp/crypttab`" done sed -i /cryptsetup/c\ true /pre-pivot/* [ "$1" = "-noexit" ] && exit 0 killall plymouth killall cryptroot-ask fi exit 0 EOF 

Тут мы сначала создаем «чистый» crypttab без закоментированных и пустых строк, затем в цикле перебираем и расшифровываем все тома для которых нужен пароль. Так как модуль luks от dracut перед сменой корневой фс отключает все неиспользуемые luks тома, то модифицируем срикпты лежащие в /pre-pivot, чтобы этого не происходило. Если скрипту передать параметр -noexit, то процессы препятствующие загрузке не будут убиты и можно будет из initramfs модифицировать основную систему, предварительно смонтировав нужные разделы. Для продолжения загрузки нужно отмонтировать ранее вручную смонтированные разделы и выполнить команду:
killall cryptroot-ask

Разблокировка делается именно так, а не методом предложенным в bugzilla потому, что все остальные luks тома( отличные от root ) будут подключаться только после смены корневой фс, тоисть dropbear у нас еще будет висеть(если убрать хук на его убиение), но ниодной команды в нем уже не выполнить.

В итоге в папке /usr/share/dracut/modules.d/40unlock у вас должны быть следующие файлы:

[root@crypt 40unlock]# ls -al итого 56 drwxr-xr-x.  2 root root 4096 Окт 31 17:36 . drwxr-xr-x. 32 root root 4096 Окт 31 17:35 .. -rwxr-xr-x.  1 root root   17 Окт 31 17:35 check -rwxr-xr-x.  1 root root   36 Окт 31 17:36 clean.sh -rw-------.  1 root root  427 Окт 31 17:36 dropbear_rsa_host_key -rwxr-xr-x.  1 root root 1066 Окт 31 17:35 install -rwxr-xr-x.  1 root root   27 Окт 31 17:36 installkernel -rw-r--r--.  1 root root  222 Окт 31 17:36 nsswitch.conf -rw-r--r--.  1 root root   35 Окт 31 17:36 passwd -rw-r--r--.  1 root root   34 Окт 31 17:36 .profile -rwxr-xr-x.  1 root root  270 Окт 31 17:36 remote-ssh.sh -rw-r--r--.  1 root root    8 Окт 31 17:36 shells -rwxr-xr-x.  1 root root  740 Окт 31 17:36 unlock 

Теперь даем права исполнения для всех скриптов и пересобираем initramfs.

chmod a+x check clean.sh install installkernel remote-ssh.sh unlock dracut -f  

При следующей загрузке можно будет зайти удаленно через ssh и разблокировать все luks тома требующие ручного ввода пароля командой:

unlock 

Минусы:
Это не будет работать если система запущенна в виртуальной мащине и сетевая карта является virtio устройством. Вероятно до запуска udev она не успевает распознаться. Как вариант обхода можно попробовать на хук pre-trigger повесить скрипт- который будет добавлять правила udev, выполняющееся перед правилом luks( а разблокировка происходит именно за счет udev- при нахождении luks тома запускается соответствующая команда) и запускающее скрипт remote-ssh.sh.
Пример:

SUBSYSTEM!="block", GOTO="luks_end" ACTION!="add|change", GOTO="luks_end" ENV{ID_FS_TYPE}=="crypto_LUKS", RUN+="/bin/remote-ssh.sh" LABEL="luks_end" 

Этот вариант я не тестировал.

Ссылки по теме:

Dracut + encrypted root + networking
Dracut manual

PS: Приведенный код скриптов достаточно просто скопировать в консоль и выполнить- все запишется в соответствующий файл.