Zdalne odblokowanie cryptroot przez SSH

+ TworzÄc materiaÅ o automatyczym odblokowaniu partycji LUKS podczas + rozruchu systemu, na jego koÅcu postawiÅem tezÄ, Å¼e rozwiÄzanie nie + jest idealne, brakuje Årodka zapobiegajÄcego wyciekowi klucza w + momencie, gdy ktoÅ nie powoÅany uzyska fizyczny dostÄp do maszyny. + Po zapoznaniu siÄ z materiaÅem opisujÄcym przekierowanie konsoli + tty0 na port COM, wiemy, Å¼e moÅ¼emy zaszyfrowaÄ partycjÄ + z katalogiem gÅÃ³wnym i uÅ¼yÄ innego serwera do poÅaczenia szeregowego + i odblokowaÄ go przez konsolÄ. Problem niestety z tym rozwiÄzaniem + jest taki, Å¼e obecne komputery, mogÄ nie mieÄ w ogÃ³le portÃ³w COM lub + trzeba je wyprowadziÄ lub trzeba zakupiÄ odpowiedni moduÅ, ktÃ³rego + nie tyle cena co dostÄpnoÅÄ moÅ¼e byÄ utrudniona. Tak teÅ¼ byÅo w + moim przypadku. +

+ RozwiÄzanie tego problemu istnieje i polega ono na uruchomieniu + serwera SSH na etapie wykonywania czynnoÅci przez system w + initramfs. Do tego celu uÅ¼yjemy inne implementacji + protokoÅu SSH niÅ¼ OpenSSH, wykorzystamy oprogramowanie Dropbear - + jest to implemetacja obsÅugi protokoÅu SSH przeznaczona dla systemÃ³w + wbudowanych. DomyÅlnie wykorzystywana jest w dystrybucji OpenWRT. + Dla systemÃ³w opartych na Debianie w repozytoriach dostÄpnych jest + pakiet dropbear-initramfs, wiÄc niezbÄdne oprogramowanie + mamy podane jak na tacy. Pozostaje je tylko skonfigurowaÄ. +

+$ sudo apt install -y dropbear-initramfs
+

+ Podczas instalacji zostanie nam wyÅwietlony taki o to komunikat: +

+dropbear: WARNING: Invalid authorized_keys file, SSH login to initramfs won't work!
+

+ Ignorujemy go, a naszÄ konfiguracjÄ zaczniemy od wÅaÅnie + dodania klucza. MoÅ¼emy uÅ¼ywaÄ swojego dotychczasowego klucza lub + wygenerowaÄ nowy klucz dla serwera. Klucz zapisujemy w pliku + /etc/dropbear/initramfs/authorized_keys - oznaczyÅem + te ÅcieÅ¼kÄ nie bez powodu. OtÃ³Å¼ rÃ³Å¼ne wersje dropbear, + korzystajÄ z rÃ³Å¼nych ÅcieÅ¼ek, na szczÄÅcie jest tylko jedna + alternatywa (/etc/dropbear-initramfs/authorized_keys). + Wersje do Debiana 11 oraz Ubuntu 20.04 LTS, korzystajÄ ze starszej + wersji (dropbear-initramfs/). Tutaj opiszÄ wersjÄ nowszÄ, + starsza znajduje siÄ w ÅºrÃ³dÅach (drugi odnoÅnik). +

+ Po zapisaniu klucza moÅ¼emy przejÅÄ do konfiguracji + Dropbear-a. + W pliku /etc/dropbear/initramfs/dropbear.conf i odnajdujemy + w nim ujÄtÄ w komentarz opcjÄ DROPBEAR_OPTIONS usuwamy + symbol komentarza i zapisujemy w nim poniÅ¼sze opcje: +

+DROPBEAR_OPTIONS="-p 2222 -s"
+

+ Za pomocÄ opcji -p wskazujemy port, + a za pomocÄ -s wyÅÄczamy moÅ¼liwoÅÄ + zalogowania siÄ hasÅem. MoÅ¼na rÃ³Å¼nieÅ¼ dodaÄ opcje -I, ktÃ³ra + powoduje rozÅÄczenie sesji po podanym czasie nieaktywnoÅci. W ten + sposÃ³b dropbear zostaÅ skonfigurowany. +

+ Teraz musimy uruchomiÄ jeszcze sieÄ w trybie initramfs, + dokonujemy tego wpisujÄc poniÅ¼szÄ konfiguracjÄ do pliku + /etc/initramfs-tools/initramfs.conf. +

+# IP_ADDRESS::GATEWAY:NETMASK:HOSTNAME
+IP=172.29.141.62::172.29.128.1:255.255.240.0:debian
+

+ Komentarz w przykÅadzie pokazuje, jakie pole odpowiada za co. Po + zapisaniu zmian w plikach, moÅ¼emy przejÅÄ do wygenerowania nowego + obrazu initramfs oraz aktualizacji plikÃ³w konfiguracyjnych + GRUB-a. +

+xf0r3m@debian:~$ sudo update-initramfs -u
+update-initramfs: Generating /boot/initrd.img-6.1.0-23-amd64
+xf0r3m@debian:~$ sudo update-grub
+Generating grub configuration file ...
+Found linux image: /boot/vmlinuz-6.1.0-23-amd64
+Found initrd image: /boot/initrd.img-6.1.0-23-amd64
+Found linux image: /boot/vmlinuz-6.1.0-18-amd64
+Found initrd image: /boot/initrd.img-6.1.0-18-amd64
+Warning: os-prober will not be executed to detect other bootable partitions.
+Systems on them will not be added to the GRUB boot configuration.
+Check GRUB_DISABLE_OS_PROBER documentation entry.
+done
+

+ JeÅli potrzebujemy konfiguracji sieciowej z IPv6, to informacja o tym + jak to zrobiÄ znajduje siÄ w ÅºrÃ³dÅach (drugi odnoÅnik). Teraz moÅ¼emy + restartowaÄ nasz serwer i prÃ³bowaÄ siÄ logowaÄ. Serwer bÄdzie gotowy, + do poÅÄczenia, kiedy podczas rozruchu pokaÅ¼Ä nam siÄ informacje + sieciowe wprowadzone w pliku initramfs.conf. Na serwerze + moÅ¼e to wyglÄdaÄ to mniej wiÄcej tak: +

+  Booting `Debian GNU/Linux'
+
+Loading Linux 6.1.0-23-amd64 ...
+Loading initial ramdisk ...
+[    1.071903] piix4_smbus 0000:00:07.3: SMBus base address uninitialized - upgrade BIOS or use force_addr=0xaddr
+IP-Config: eth0 hardware address 00:15:5d:0a:11:67 mtu 1500 DHCP RARP
+IP-Config: eth0 guessed broadcast address 172.29.143.255
+IP-Config: eth0 complete:
+ address: 172.29.141.62    broadcast: 172.29.143.255   netmask: 255.255.240.0
+Please unlock disk sda5_crypt:  gateway: 172.29.128.1     dns0     : 0.0.0.0 
+         dns1   : 0.0.0.0
+ host   : debian
+ rootserver: 0.0.0.0 rootpath:
+ filename  :
+

+ Teraz serwer jest gotowy do poÅÄczenia, na moim komputerze wydaje + poniÅ¼sze polecenie i serwer powinien mi odpowiedzieÄ co jest pokazane + na przykÅadzie. +

+xf0r3m@immudex:~$ ssh -p 2222 -i ~/.ssh/id_rsa root@172.29.141.62
+The authenticity of host '[172.29.141.62]:2222 ([172.29.141.62]:2222)' can't be established.
+ED25519 key fingerprint is SHA256:ZJUHcaM30fDyjshd7kkSOQLFtfFXCDlhpFGlid2g8MY.
+This key is not known by any other names.
+Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
+Warning: Permanently added '[172.29.141.62]:2222' (ED25519) to the list of known hosts.
+Enter passphrase for key '/home/xf0r3m/.ssh/id_rsa':
+To unlock root partition, and maybe others like swap, run `cryptroot-unlock`.
+
+
+BusyBox v1.35.0 (Debian 1:1.35.0-4+b3) built-in shell (ash)
+Enter 'help' for a list of built-in commands.
+
+~ # cryptroot-unlock
+Please unlock disk sda5_crypt:
+cryptsetup: sda5_crypt set up successfully
+~ # Connection to 172.29.141.62 closed by remote host.
+Connection to 172.29.141.62 closed.
+

+ Po zalogowaniu siÄ zostanie zestawiona sesja powÅoki BusyBox. Od + samego systemu dostajemy podpowiedÅº: + To unlock root partition, and maybe others + like swap, run `cryptroot-unlock`., wpisujemy podane polecenie + i wÃ³wczas zostaniemy zapytani o hasÅo do odblokowania partycji LUKS. + Po prawidÅowym podaniu hasÅo, poÅÄczenie zostanie zakoÅczone a + rozruch systemu serwera ruszy dalej. +

+ Ta metoda jest uniwersalna i moÅ¼e byÄ stosowana nie zaleÅ¼nie od tego + czy mamy port COM czy teÅ¼ nie. +

+ Å¹rÃ³dÅa:
+

+ ~xf0r3m +