Разблокировка зашифрованного раздела root удалённо через SSH

[oermolaev]

не актуально

Хочу предложить свой перевод статьи из персонального блога системного администратора Carlos Alberto Lopez Perez, которая была найдена путём целенаправленных поисков:

«Разблокировка зашифрованного раздела root удалённо через SSH»

Корректность перевода проверена на практике. Кое что пришлось исправить под современные реалии. Итак:

Если вы собираетесь поднять новый сервер в удалённом датацентре, или уже имеете один, или несколько серверов в облаке, то вы, вероятно, хотели бы зашифровать их жесткие диски. Думаете потребуется какое-то устройство KVM для ввода пароля, всякий раз когда придется перезапустить удалённый сервер? Нет!
Благодаря описываемому здесь изящному способу, вы сможете удалённо вводить пароль во время загрузки. Хитрость состоит во внедрении небольшого сервера SSH — Dropbear в initramfs, который и позволит ввести пароль для корневого раздела при загрузке.
Для вас, счастливых обладателей Debian, задача решается предельно просто:
1. Устанавливаем ваш сервер с шифрованным root-разделом
2. Устанавливаем требуемые пакеты:

Код Выделить Развернуть

apt-get install openssh-server dropbear busybox
3. Копируем SSH ключ, который был сгенерирован автоматически:
    3.1. Здесь надо предварительно временно разрешить доступ по ssh для root, для чего в файле /etc/ssh/sshd_config указываем

Код Выделить Развернуть

PermitRootLogin yes
вместо

Код Выделить Развернуть

PermitRootLogin without-password
и выполнить

Код Выделить Развернуть

service ssh force-reload
    3.2. Копируем ключ на локальный компьютер

Код Выделить Развернуть

scp root@my.server.ip.addr:/etc/initramfs-tools/root/.ssh/id_rsa ~/id_rsa.initramfs
4. Если ваш сервер получает IP-адрес автоматически (DHCP), пропустите этот шаг, в противном случае вы должны указать IP конфигурацию в строке загрузки ядра. Для этого отредактируйте в файле /etc/default/grub строку:
GRUB_CMDLINE_LINUX="ip=<client-ip>:<server-ip>:<gw-ip>:<netmask>:<hostname>:<device>:<autoconf>" используя формат определённый в документации в nfsroot.txt (https://www.kernel.org/doc/Documentation/filesystems/nfs/nfsroot.txt). Например:

Код Выделить Развернуть

GRUB_CMDLINE_LINUX="ip=192.168.122.192::192.168.122.1:255.255.255.0::eth0:none"
Перезагрузите конфигурацию grub:

Код Выделить Развернуть

update-grub
5. Перезагрузитесь

Код Выделить Развернуть

reboot
6. И разблокируйте удалённо введя в терминале следующую строку:

Код Выделить Развернуть

ssh -o "UserKnownHostsFile=~/.ssh/known_hosts.initramfs" \
-i "/home/<username>/id_rsa.initramfs" root@my.server.ip.addr \
"echo -ne \"MyS3cr3tK3y\" >/lib/cryptsetup/passfifo"
где  MyS3cr3tK3y — это пароль, с использованием которого был зашифрован корневой раздел сервера. Пробел в начале строки позволит избежать сохранения парольной фразы в истории команд терминала.

[свернуть]

[oermolaev]

Более свежий вариант:
НА СЕРВЕРЕ:
1. Устанавливаем сервер SSH dropbear:

Код Выделить Развернуть

~# apt install dropbear
2. Меняем номер порта на котором будет слушать dropbear, чтобы разойтись с сервером openssh при проверке ключа машины в файле known_hosts. Для этого редактируем файл /etc/dropbear-initramfs/config - добавляем строку:

Код Выделить Развернуть

DROPBEAR_OPTIONS="-p 4748 -s -j -k -I 60"
где
-s      Запрет логина по паролю
-j      Запрет проброса локального порта
-k      Запрет проброса удаленного порта
-p [address:]port
      Listen on specified tcp port (and optionally address),
      up to 10 can be specified
      (default port is 22 if none specified)
-I Таймаут до разрыва соединения если не передается никаких данных, в секундах
3. В файле /etc/default/grub описываем параметры сетевого интерфейса:

Код Выделить Развернуть

GRUB_CMDLINE_LINUX="ip=192.168.11.95::192.168.11.191:255.255.255.0::enp2s0:none"
в соответствии с nfsroot.txt

ip=<client-ip>:<server-ip>:<gw-ip>:<netmask>:<hostname>:<device>:<autoconf>: <dns0-ip>:<dns1-ip>:<ntp0-ip>

4. Обновляем grub:

Код Выделить Развернуть

~# update-grub
5. Конвертируем ключ dropbear в формат openssh, тем самым получаем приватный ключ для initramfs:

Код Выделить Развернуть

~# /usr/lib/dropbear/dropbearconvert dropbear openssh /etc/dropbear-initramfs/dropbear_rsa_host_key /etc/dropbear-initramfs/id_rsa

6. Получаем публичный ключ:

Код Выделить Развернуть

~# dropbearkey -y -f /etc/dropbear-initramfs/dropbear_rsa_host_key | grep rsa > /etc/dropbear-initramfs/id_rsa.pub

НА КЛИЕНТЕ:
1. Копируем свой публичный ключ в файл authorized.keys на сервер:

Код Выделить Развернуть

~$ scp /home/<username>/.ssh/id_rsa.pub root@192.168.11.95:/etc/dropbear-initramfs/authorized.keys
2. Копируем вновь созданный приватный ключ сервера клиенту:

Код Выделить Развернуть

~$ scp root@192.168.11.95:/etc/dropbear-initramfs/id_rsa /home/<username>/.ssh/id_rsa_server
НА СЕРВЕРЕ
7. Обновляем initramfs:

Код Выделить Развернуть

~# update-initramfs -u
Перегружаем сервер и подключаемся к нему c КЛИЕНТА:

Код Выделить Развернуть

~$ ssh -i "/home/<username>/.ssh/id_rsa_server" root@192.168.11.95 -p 4748
Выполняем команду:

Код Выделить Развернуть

~ # cryptroot-unlock
Разблокируем известным вам паролем, после чего имеем возможность подключиться к серверу openssh на стандартный порт.