Ich habe mein home verschlüsselt. Dieses wird automatisch, beim anmelden gemountet. Da ich in mein home noch ein paar andere verschlüsselte Dateisysteme einhänge funktionieren die Standard-Mittel, wie /etc/crypttab nicht. Dabei ergibt sich das folgende Problem: Die Volumes werden beim booten eingehangen und zu diesen Zeitpunkt existiert mein home noch nicht.
Da ich faul bin möchte ich auch möglichst wenig Passwörter eingeben, weiterhin soll meine Freundin auch den Rechner anmachen können und nicht an meinen Passwort scheitern. Deswegen wird nur mein home via Passwort entschlüsselt, für die anderen Dateisysteme kommen key-files zum Einsatz. Diese liegen in meinen verschlüsselten home.
Da ich mir selbst nicht vertraue, möchte ich den sudo-Mechanismus oder suid-Bits nicht benutzten. Deswegen habe ich mir die beiden Skripte cryptdisks_start und cryptdisks_stop genauer angesehen. In einen ersten Schritt habe ich mir eine /etc/user_crypttab erzeugt.
root@walhalla ~ # cat /etc/user_crypttab # definition volume key options mountpoint mountoptions data--group-video_crypt /dev/mapper/data--group-video /home/rennecke/key-files/video-key luks /home/rennecke/Videos noatime |
Die ersten vier Parameter entsprechen denen, der crypttab, mountpoint und mountoptions sind entsprechen den gleichnamigen Optionen von mount.
Mein user_cryptdisks_start-Skript sieht wie folgt aus:
#!/bin/sh # user_cryptdisks_start - wrapper around cryptsetup which parses # /etc/user_crypttab, just like mount parses /etc/fstab. # Initial code stolen from cryptdisks_start by Jon Dowland <jon@alcopop.org> # Copyright (C) 2011 by Michael Rennecke <michael_rennecke@gmx.net> # License: GNU General Public License, v2 or any later # (http://www.gnu.org/copyleft/gpl.html) CRYPTTAB="/etc/user_crypttab" set -e if [ $# -lt 1 ]; then echo "usage: $0 <name>" >&2 echo >&2 echo "reads $CRYPTTAB and starts the mapping corresponding to <name>" >&2 exit 1 fi . /lib/cryptsetup/cryptdisks.functions INITSTATE="manual" DEFAULT_LOUD="yes" if [ -x "/usr/bin/id" ] && [ "$(/usr/bin/id -u)" != "0" ]; then log_warning_msg "$0 needs root privileges" exit 1 fi log_action_begin_msg "Starting crypto disk" mount_fs count= tablen="$(egrep -vc "^[[:space:]]*(#|$)" "$CRYPTTAB")" egrep -v "^[[:space:]]*(#|$)" "$CRYPTTAB" | while read dst src key opts mnt mopts; do count=$(( $count + 1 )) echo "" if [ "$1" = "$dst" ]; then ret= handle_crypttab_line_start "$dst" "$src" "$key" "$opts" <&3 || ret=$? echo "" fsck -pv /dev/mapper/$dst echo "" mount -o $mopts /dev/mapper/$dst $mnt elif [ $count -ge $tablen ]; then ret=1 device_msg "$1" "failed, not found in user_crypttab" else continue fi umount_fs log_action_end_msg $ret exit $ret done 3<&1 |
Zum Schluss noch mein user_cryptdisks_stop-Skript:
#!/bin/sh # user_cryptdisks_stop - wrapper around cryptsetup which parses # /etc/user_crypttab, just like mount parses /etc/fstab. # Initial code stolen from cryptdisks_stop by Jonas Meurer <jonas@freesources.org> # Copyright (C) 2011 by Michael Rennecke <michael_rennecke@gmx.net> # License: GNU General Public License, v2 or any later # (http://www.gnu.org/copyleft/gpl.html) CRYPTTAB=/etc/user_crypttab set -e if [ $# -lt 1 ]; then echo "usage: $0 <name>" >&2 echo >&2 echo "reads $CRYPTTAB and stops the mapping corresponding to <name>" >&2 exit 1 fi . /lib/cryptsetup/cryptdisks.functions INITSTATE="manual" DEFAULT_LOUD="yes" if [ -x "/usr/bin/id" ] && [ "$(/usr/bin/id -u)" != "0" ]; then log_warning_msg "$0 needs root privileges" exit 1 fi log_action_begin_msg "Stopping crypto disk" echo "" count= tablen="$(egrep -vc "^[[:space:]]*(#|$)" "$CRYPTTAB")" egrep -v "^[[:space:]]*(#|$)" "$CRYPTTAB" | while read dst src key opts mnt mopts; do count=$(( $count + 1 )) if [ "$1" = "$dst" ]; then umount $mnt ret= handle_crypttab_line_stop "$dst" "$src" "$key" "$opts" <&3 || ret=$? elif [ $count -ge $tablen ]; then ret=1 device_msg "$1" "failed, not found in user_crypttab" else continue fi log_action_end_msg $ret exit $ret done 3<& |
Die beiden Skripte kann nun root ausführen, um Dateisysteme einzuhängen. Bei jeden einhängen wird geschaut, ob ein fsck nötig ist. Mein Dank gilt meet-unix, er hat stand mit mit Rat zu Seite, da ich noch etwas Solaris-geschädigt bin. Anmerkungen, bitte als Kommentar hinterlassen.