Криптоконтейнеры LUKS

---

© Игорь Стецюк

Введение

Думаю все преимущества криптования и контейнеров очевидны, по этому предлагаю сразу приступить к делу. И так, в качестве подготовки создаем все необходимые каталоги mkdir -p ./container/mount ; cd ./container и переходим в папку ./container. Все команды выполняем от обычного пользователя.

Создание контейнера с паролем

1. Создаем файл обьемом 100 мегабайт со всяким мусором:
   
   dd if=/dev/urandom of=container.img bs=1M count=100
   100+0 записей получено
100+0 записей отправлено
скопировано 104857600 байт (105 MB), 31,3595 c, 3,3 MB/c



2. Инициализируем созданный файл как luks систему с паролем:
   
   sudo cryptsetup -v -c aes-xts-plain64 -s 512 --hash sha512 --iter-time 5000 luksFormat ./container.img
   WARNING!
========
This will overwrite data on ./container.img irrevocably.
Are you sure? (Type uppercase yes): YES
Enter passphrase:
Verify passphrase:
Command successful.



3. Теперь файл смело можно называть контейнером, посмотрим информацию о нем:
   sudo cryptsetup luksDump ./container.img

   LUKS header information for container.img

   Version:           1
   Cipher name:       aes
   Cipher mode:       xts-plain64
   Hash spec:         sha512
   Payload offset:    4096
   MK bits:           512
   MK digest:         dd d2 0c fe 0f 81 1b 35 b5 bd da e0 db d8 f6 77 b9 60 bc cb 
   MK salt:           31 80 76 d8 2c e6 aa 0d 84 32 f1 6d b6 dd af 78 
                      c8 a5 09 9a f6 05 83 41 5c 06 93 46 19 f6 c8 d9 
   MK iterations:     43750
   UUID:              6e49e36c-0d08-4a6c-bbd1-1028143b2864

   Key Slot 0: ENABLED
       Iterations:             88397
       Salt:                   27 9c b3 8e cb 2a 01 a3 5b 37 71 4f f8 5d 02 1d 
                                 c0 f2 40 50 4d 8f 8c 9a 2e 62 a0 f0 75 c3 c1 4f 
       Key material offset:    8
       AF stripes:                4000
   Key Slot 1: DISABLED
   Key Slot 2: DISABLED
   Key Slot 3: DISABLED
   Key Slot 4: DISABLED
   Key Slot 5: DISABLED
   Key Slot 6: DISABLED
   Key Slot 7: DISABLED



4. Открываем контейнер:
   
   sudo cryptsetup luksOpen ./container.img container
   Enter passphrase for ./container.img:


5. Смотрим что у нас вышло:
   ls /dev/mapper/
   container@ control
   sudo dmsetup info container

   Name:              container
   State:             ACTIVE
   Read Ahead:        256
   Tables present:    LIVE
   Open count:        0
   Event number:      0
   Major, minor:      254, 0
   Number of targets: 1
   UUID: CRYPT-LUKS1-6e49e36c0d084a6cbbd11028143b2864-container

   lsblk -p

   NAME              MAJ:MIN RM   SIZE RO TYPE  MOUNTPOINT
   /dev/sda            8:0    0 149,1G  0 disk  
   +-/dev/sda1         8:1    0  94,1M  0 part  /boot
   +-/dev/sda2         8:2    0 972,7M  0 part  [SWAP]
   +-/dev/sda3         8:3    0  18,6G  0 part  /
   L-/dev/sda4         8:4    0 129,4G  0 part  /home
   /dev/loop0          7:0    0   100M  0 loop  
   L-/dev/mapper/container 254:0    0    98M  0 crypt 



6. Форматируем только что созданное блочное устройство. Выберем файловую систему NTFS для использования в том числе и на виндовсе, вы можете выбрать любую другую ФС.:
   sudo mkfs.ntfs -L CONTAINER /dev/mapper/container
   Cluster size has been automatically set to 4096 bytes.
Initializing device with zeroes: 100% - Done.
Creating NTFS volume structures.
mkntfs completed successfully. Have a nice day.



7. Монтируем контейнер, делаем папку контейнера своей
   user=$(id -nu); group=$(id -ng); sudo mount -o uid=$user,gid=$group /dev/mapper/container ./mount/


8. Все готово для работы, можно пользоватся, проверим:
   ls -la ./mount/
   drwxrwxrwx 1 igor users 4096 ноя 16 16:33 ./
drwxr-xr-x 4 igor users 4096 ноя 16 13:10 ../
   mount | grep container
   /dev/mapper/container on /home/igor/Templates/container/mount type fuseblk (rw,nosuid,nodev,relatime,user_id=0,group_id=0,default_permissions,allow_other,blksize=4096)


9. Для отключения контейнера:
   sudo umount ./mount
sudo cryptsetup luksClose container

Создание контейнера с ключем

1. Создаем файл размером 100 мегабайт для контейнера:
   dd if=/dev/urandom of=container.img bs=1M count=100
   
   100+0 записей получено
100+0 записей отправлено
скопировано 104857600 байт (105 MB), 31,1152 c, 3,4 MB/c
   


2. Создаем файл размером 1024 байта для ключа:
   dd if=/dev/urandom of=container.key bs=512 count=2
   
   2+0 записей получено
2+0 записей отправлено
скопировано 1024 байта (1,0 kB), 0,0123292 c, 83,1 kB/c

   


3. Инициализируем файл как luks систему:
   cryptsetup -v --cipher aes-xts-plain64 --key-size 512 --hash sha512 --iter-time 5000 luksFormat ./container.img -d ./container.key
   
   WARNING!
========
This will overwrite data on ./container.img irrevocably.

Are you sure? (Type uppercase yes): YES
Command successful.

   


4. Открываем контейнер:
   sudo cryptsetup luksOpen ./container.img -d ./container.key container
   

Все остальные действия смотрим из предыдущего примера (специально для dkws.org.ua), они идентичны. Для добавления нового ключа необходимо выполнить:

sudo cryptsetup luksAddKey ./container.img -d ./container.key ./container1.key sudo cryptsetup luksDump ./container.img

LUKS header information for ./container.img

Version:           1
Cipher name:       aes
Cipher mode:       xts-plain64
Hash spec:         sha512
Payload offset:    4096
MK bits:           512
MK digest:         4d 21 8e 35 d6 26 83 25 72 b7 5d 18 88 d5 17 d2 0f bf f3 fd 
MK salt:           90 9b 6a 93 32 61 7d 05 e6 78 4f c1 18 4c da 30 
                   2b 6e 02 00 a4 e9 02 83 d9 8b b6 46 33 95 bc e0 
MK iterations:     43750
UUID:              f460f35d-9cf0-4ea0-9c3f-5f90b6102169

Key Slot 0: ENABLED
    Iterations:             172041
    Salt:                   b3 90 16 13 d0 4f 33 58 8a 23 06 f7 ae 7a 6e 28 
                              4f 6b 7e 0f 9e 8a 99 92 37 5c e5 89 ea f2 eb ae 
    Key material offset:    8
    AF stripes:                4000
Key Slot 1: ENABLED
    Iterations:             34408
    Salt:                   49 c2 37 6c 4e 1b 32 cb e3 e1 b9 57 48 ee f0 17 
                              aa f5 7b bf f6 47 e2 24 5f 0e 67 a8 65 d2 47 8f 
    Key material offset:    512
    AF stripes:                4000
Key Slot 2: DISABLED
Key Slot 3: DISABLED
Key Slot 4: DISABLED
Key Slot 5: DISABLED
Key Slot 6: DISABLED
Key Slot 7: DISABLED

       Как видно уже занято 2 слота. Также хочу заметить что для контейнера с паролем также можно добавлять ключ, при этом вы сможете его открыть используя пароль или ключ, с одной стороны универсально, с другой менее безопасно.
       Для удаления всех ключей кроме того что мы авторизируемся используем sudo cryptsetup luksRemoveKey container.img -d ./container1.key, будут удалены все ключи кроме ./container1.key, если нужно удалить конкретный слот используем sudo cryptsetup luksKillSlot container.img 1, будет удален ключ первого слота (dkws.org.ua).

Попробуем добавить свободного места к существуещему контейнеру

1. Смотрим сколько места у нас свободного
   df -h | grep container
   /dev/mapper/container 98M 91M 8,0M 92% /home/igor/Templates/container/mount
   Как видим, свободно всего 8 мегабайт


2. Увеличим место на 100 мегабайт дописывая в конец файла информацию, но прежде обязтельно отмонтируйте и закройте контейнер
   dd bs=1M count=100 if=/dev/urandom >> ./container.img
   100+0 записей получено
100+0 записей отправлено
скопировано 104857600 байт (105 MB), 32,472 c, 3,2 MB/c



3. Открываем контейнер
   sudo cryptsetup luksOpen ./container.img container
   Enter passphrase for ./container.img:


4. Увеличиваем размер контейнера на все доступное место
   sudo cryptsetup resize container


5. Увеличиваем файловую систему на все доступное место, учтите что resize2fs изменяет размер для ext2, ext3, ext4 файловых систем
   sudo resize2fs /dev/mapper/container
   resize2fs 1.42.12 (29-Aug-2014)
Resizing the filesystem on /dev/mapper/container to 202752 (1k) blocks.
The filesystem on /dev/mapper/container is now 202752 (1k) blocks long.



6. Проверяем
   sudo mount /dev/mapper/container ./mount
df -h | grep container
   /dev/mapper/container 189M 90M 96M 49% /home/igor/Templates/container/mount

   как видим место увеличилось

Под Microsoft Windows зашифрованные диски LUKS могут использоваться с FreeOTFE.