linux - Red Hat linux - "turn off"加密检查

Question

我有一个使用 LUKS 加密系统的 Red Hat 6.5 Linux 实现，并且 - 由于不相关的原因 - 我想“关闭”启动加密检查一段时间。它会在某个时候再次打开，所以即使可以完全删除 LUKS 加密，这也不是我感兴趣的解决方案。

我想要的是在启动时自动提供 LUKS 密码，这样就不需要手动输入 - 因此逻辑上“关闭”加密，即使实际上仍然启用。

现在，虽然这对于辅助设备来说很简单，即。通过创建 key 文件，将 key 文件应用于加密设备并修改/etc/crypttab 以引用 key 文件，仍然需要在启动时至少输入一个密码 - 因为，如果主要设备是 LUKS 加密的，那么它在访问/etc/crypttab 之前必须先解密。

我看到有一种方法可以消除输入初始密码的要求，即:

1. 创建 key 文件
2. 将 key 文件应用于加密设备，即。使设备的 key 能够被解密
3. 将 key 文件复制到可移动的未加密设备(例如闪存驱动器)
4. append rd.luks.key= key 文件的绝对路径 : removable not-encrypted device to the booting kernel line in/boot/grub/grub.conf
5. 在启动时，确保插入了可移动的未加密设备并且可以被启动过程引用。

这一切看起来都不错，除了我不想涉及可移动的未加密设备。我只是想让服务器像未加密一样启动。

我能看到实现此目的的唯一方法是将可移动未加密设备替换为普通未加密设备。在这种情况下，启动过程将读取普通未加密设备，获取 key 并使用它来解密加密设备...嘿，禁用加密。

在我的系统中，我能找到的唯一满足正常未加密设备标准的设备是/dev/sda1，即。/boot ，所以我用步骤 3 和 4 执行了上述步骤，如下所示:

1. 如上
2. 如上
3. 将 key 文件复制到/boot/keyfile.key
4. 附加rd.luks.key=/boot/keyfile.key:/dev/sda1
5. 不适用

不幸的是，我似乎无法让它工作。

Red Hat 启动并且没有要求我输入密码(如预期的那样)，但是在启动过程结束时，它失败并显示“内核 panic - 不同步:试图杀死 init!...”

无论我使用以下哪一个，此行为都是相同的:

• rd.luks.key=/boot/keyfile.key:/dev/sda1
• rd.luks.key=/keyfile.key:/dev/sda1
• rd.luks.key=/keyfile.key
• rd.luks.key=/someKeyFileThatIknowDoesNotExist.key:/dev/sda1

所以我的问题如下:

1. 我正在尝试做的事情是否可行
2. 如果是，那么...
   • 我应该把 key 文件放在哪里
   • 我应该使用什么 rd.luks.key 值来引用 key 文件

在此先感谢您的帮助

Answer 1

经过大量挖掘，我终于找到了答案(它适用于 CentOS 6.6 和 7)。特别感谢以下 2 个资源:

• Disabling LUKS encryption
• RedHat Bug 751640 - dracut ignores crypttab keyfile

我所做的如下(作为root用户):

# insert a password into my chosen password file
echo -n "anypassword" > /etc/mypasswdfile

# instruct the LUKS device to take the password from my password file
vi /etc/crypttab and replaced the 3rd parameter "none" with "/etc/mypasswdfile"

# add my password file as a valid key for the luks device
cryptsetup luksAddKey /dev/sda2 /etc/mypasswdfile

# configure dracut to add the following 2 items to the initramfs (so accessible at boot)
echo 'install_items="/etc/mypasswdfile /etc/crypttab"' > /etc/dracut.conf.d/99-mypwfile.conf

# instruct dracut to apply the configuration
dracut -f

# reboot the server
reboot

就是这样。服务器重新启动而不请求密码。 (这可以通过 cryptsetup 命令从 LUKS 设备中删除/添加 key 文件来随意禁用/启用)