Криптофицируем FreeBSD

Теперь, когда диск зашифрован, его можно размечать, но сначала его надо присоединить. Обрати внимание, что работать мы будем с da0.eli. Буквы в конце названия устройства означают, что наш диск зашифрован с помощью криптографической подсистемы geli:

#/sbin/geli attach –k da0.key /dev/da0
Enter passphrase for da0:
#/sbin/gpart create –s gpt /dev/da0.eli
da0.eli created

Почему мы выбрали именно geli, а не другую криптосистему? Поскольку Geli — нативное средство шифрования, повышается производительность и криптостойкость системы в целом. Имеется масса преимуществ: прозрачность работы для конечного пользователя, поддержка целого ряда алгоритмов шифрования, возможность иметь несколько ключей, загрузка с зашифрованного корневого раздела, высокая скорость работы за счет простого криптования сектор — сектор, поддержка одноразовых ключей шифрования и многое другое.

Создаем раздел для корневой файловой системы в 2 Гбайт. Указываем тип freebsd-ufs:

#/sbin/gpart add –t freebsd-ufs –l rootfs –s 2g /dev/da0.eli
da0.elip1 added

По поводу SWAP на сегодняшний день ведется много споров. Нужен или не нужен — решать тебе. Но я считаю, что в наше время выделить под него место не так дорого, как это было лет двадцать назад. В лучшем случае его можно разместить на другом физическом диске, что снизит нагрузку на дисковую подсистему.

Если ты все-таки надумаешь воспользоваться этим вариантом, то у geli есть великолепная возможность зашифровать раздел подкачки временным ключом. Об этом можно почитать в руководстве по FreeBSD на официальном сайте. Формула, по которой я рассчитываю размер подкачки, очень проста: SWAP >= RAM.

#/sbin/gpart add –t freebsd-swap –l swap –s 9g /dev/da0.eli
da0.elip2 added

Под /var отдадим 90 Гбайт места:

#/sbin/gpart add –t freebsd-ufs –l varfs –s 90g da0.eli
da0.elip3 added

Под /tmp — 13 Гбайт, так как некоторые программы при компиляции занимают много места и могут переполнить его. Это сделает невозможным дальнейшее корректное функционирование ОС:

#/sbin/gpart add –t freebsd-ufs –l tmpfs –s 13g /dev/da0.eli
da0.elip4 added

Под /usr выделим 60 Гбайт, а под /home — оставшееся место:

#/sbin/gpart add –t freebsd-ufs –l usrtfs –s 60g /dev/da0.eli
da0.elip5 added
#/sbin/gpart add –t freebsd-ufs –l homefs  /dev/da0.eli
da0.elip6 added

Создаем ФС на наших разделах, кроме SWAP (da0.elip2):

#/sbin/newfs –O2 –U –j /dev/da0.elip1
#/sbin/newfs –O2 –U –j /dev/da0.elip3
#/sbin/newfs –O2 –U –j /dev/da0.elip4
#/sbin/newfs –O2 –U –j /dev/da0.elip5
#/sbin/newfs –O2 –U –j /dev/da0.elip6

Размонтируем /dev/da1p2 и смонтируем корневую ФС в /mnt. Потом создадим точки монтирования для остальных разделов:

#cd && /sbin/umount /mnt
#/sbin/mount /dev/da0.elip1 /mnt
#cd /mnt && /bin/mkdir var && /bin/mkdir tmp && /bin/mkdir usr && /bin/mkdir  home
#/sbin/mount /dev/da0.elip3 var
#/sbin/mount /dev/da0.elip4 tmp
#/sbin/mount /dev/da0.elip5 usr
#/sbin/mount /dev/da0.elip6 home

Теперь нам необходимо создать временный файл fstab для «правильной» установки FreeBSD:

#/usr/bin/vi /tmp/bsdinstall-tmp-fstab
/dev/da0.elip1 /mnt ufs rw 1 1
/dev/da0.elip3 /mnt/var ufs rw 1 1
/dev/da0.elip4 /mnt/tmp ufs rw 1 1
/dev/da0.elip5 /mnt/usr ufs rw 1 1
/dev/da0.elip6 /mnt/home ufs rw 1 1

Проверяем, что ничего не забыли, выходим из shell’а и ждем, когда завершится установка:

#/sbin/gpart show
#/bin/df -h
#exit

После инсталляции системы устанавливаем пароль суперпользователя. По желанию настраиваем сеть, часовой пояс, добавляем пользователей. В меню Final Configuration выбираем Exit => No => LiveCD. Логинимся под root’ом, монтируем устройство, на которое скопируем ядро ОС, и перемещаем туда папку с ключами:

#/sbin/mount /dev/da1p2 /mnt/mnt/ && cd /mnt/mnt
#/bin/cp –R  ../boot . && /bin/mv keys boot

Теперь, для того чтобы ОС загрузилась, нам надо «рассказать» ей, что же мы натворили. Для этого необходимо отредактировать файл /boot/loader.conf:

#/usr/bin/vi boot/loader.conf
geom_eli_load=«YES»
vsf.root.mountfrom=«ufs:/dev/da0.elip1»
geli_da0_keyfile0_load=«YES»
geli_da0_keyfile0_type=«da0:geli_keyfile0»
geli_da0_keyfile0_name=«/boot/keys/da0.key»
kern.geom.eli.threads=«4»
kern.geom.eli.batch=«1»

Первая строчка загружает модуль crypto.ko, без которого ОС не сможет понять наш диск. Вторая говорит, где находится корневая ФС. Дальнейшие три указывают, где лежит ключ шифрования, и связывают его с диском. Последние относятся к тюнингу подсистемы шифрования и необязательны. Они отвечают за количество процессов ядра, используемых для шифрования. Это дает прирост производительности в многопроцессорных системах за счет групповых операций при шифровании.

На последнем этапе надо привести в порядок файл /etc/fstab для уже установленной системы:

#vi ../mnt/etc/fstab
/dev/da0.elip1 / ufs rw 1 1
/dev/da0.elip2 none swap sw 0 0
/dev/da0.elip3 /var ufs rw 1 1
/dev/da0.elip4 /tmp ufs rw 1 1
/dev/da0.elip5 /usr ufs rw 1 1
/dev/da0.elip6 /home ufs rw 1 1

Post-install

Теперь перезагружаемся и выставляем в BIOS загрузку с нашего USB-устройства, где лежит ядро. При монтировании корневой ФС будет запрошена парольная фраза.

Если вдруг вылезли какие-то ошибки или ты что-то забыл — не паникуй. Можно загрузиться с установочного диска или флешки, перейти в режим Live CD и исправить ошибки.

Если у тебя Linux или Windows, значит ли это, что ты не сможешь воспользоваться средствами шифрования? Совсем нет. Для них имеются свои решения. Например, в Linux существует система шифрования LUKS/dm-crypt, на основе подсистемы шифрования ядра, которая позволяет иметь несколько паролей на один раздел и получать доступ к зашифрованным дискам из Windows с помощью FreeOTFE. Управление криптосистемой производится посредством утилиты cryptsetup. Еще один вариант, loop-AES представляет собой модификацию стандартного драйвера loop.ko, который позволяет производить шифрование на лету.

Для Windows существует EFS — компонент ОС, позволяющий сохранять информацию на жестком диске в зашифрованном виде. BitLocker позволяет зашифровать полностью диск, а не отдельные файлы и папки, как это делает EFS. Есть множество сторонних коммерческих и некоммерческих продуктов под эти и другие ОС: PGP, GnuPG, VeraCrypt (форк TrueCrypt), DiskCryptor, Challenger и так далее. Многие из этих продуктов доступны во FreeBSD и могут использоваться совместно.

Loading Completed

В заключение хочется отметить: даже если USB-устройство будет украдено или утеряно, без парольной фразы злоумышленник не сможет получить доступ к данным. Без флешки и пароля жесткий диск для него будет простым куском металла. И как написано в handbook:

Вне зависимости от того, как атакующий завладел жестким диском или выключенным компьютером, криптографическая подсистема geli FreeBSD может защитить данные файловой системы компьютера даже против очень заинтересованной атакующей стороны с достаточными ресурсами.

Также не стоит забывать, что шифрование существенно замедляет дисковую подсистему, и, возможно, каждый читатель сам для себя выберет алгоритм шифрования, длину ключа, количество попыток ввода парольной фразы, чтения ключа из файла по частям и прочее. Для искушенных параноиков можно добавить проверку целостности данных HMAC-SHA и зашифровать SWAP временным ключом уже на зашифрованном диске :).

Не стоит забывать о различных атаках на криптографические алгоритмы. Например, от одной из них — атаки на повторение — geli защитить не может. Об этом и о многом другом рассказано в man geli(8) (Russian man geli(8))