Шифрование диска при помощи gbde

1. Получите права пользователя root

Настройка gbde требует права доступа администратора системы.

% su -

Password:

2. Включите поддержку gbde(4) в конфигурационный файл ядра

Добавьте следующую строку в файл конфигурации вашего ядра:

options GEOM_BDE

Перестройте ядро FreeBSD. Этот процесс описан в Гл. 8.

Перезагрузитесь, запустив новое ядро.

3. Альтернативой пересборке ядра является использование kldload для загрузки модуля gbde(4):

# kldload geom_bde

17.16.1.1. Подготовка зашифрованного жёсткого диска

В следующем примере предполагается, что в вашу систему вы добавляете новый винчестер, на котором будет располагаться единственный раздел с зашифрованными данными. Этот раздел будет монтироваться в каталог /private. gbde может также использоваться для шифрования /home и /var/mail, но это требует более сложной последовательности действий, что выходит за рамки этого вводного материала.

1. Подключите новый жёсткий диск

Установите новый диск в систему, как это описано в Разд. 17.3. В рамках этого примера раздел, соответствующий новому жёсткому диску, будет называться /dev/ad4s1c. Устройства /dev/ad0s1 * представляют существующие стандартные разделы FreeBSD нашей тестовой системы.

# ls /dev/ad*

/dev/ad0 /dev/ad0s1b /dev/ad0s1e /dev/ad4s1

/dev/ad0s1 /dev/ad0s1c /dev/ad0s1f /dev/ad4s1c

/dev/ad0s1a /dev/ad0s1d /dev/ad4

2. Создайте каталог для размещения файлов блокировок GBDE

# mkdir /etc/gbde

Файл блокировки gbde содержит информацию, которая нужна gbde для доступа к зашифрованному разделу. Не имея доступа к файлу блокировки, gbde не сможет расшифровать данные, хранимые в зашифрованном разделе, без значительного ручного вмешательства, что программно не поддерживается. Каждый зашифрованный раздел использует отдельный файл блокировки.

3. Инициализируйте раздел gbde

Перед началом работы с разделом gbde его необходимо проинициализировать. Эта инициализация производится только один раз:

# gbde init /dev/ad4s1c -i -L /etc/gbde/ad4s1c.lock

gbde(8) запустит редактор, что позволит вам задать в шаблоне различные конфигурационные параметры. При работе с файловыми системами UFS1 и UFS2 задайте значение sector_size равным 2048:

$FreeBSD: src/sbin/gbde/template.txt,v 1.1 2002/10/20 11:16:13 phk Exp $

#

# Sector size is the smallest unit of data which can be read or written.

# Making it too small decreases performance and decreases available space.

# Making it too large may prevent filesystems from working. 512 is the

# minimum and always safe. For UFS, use the fragment size

#

sector_size = 2048

[...]

gbde(8) дважды запросит ввод пароля, который будет использоваться для защиты данных. Пароль в обоих случаях должен вводиться одинаковый. Возможности gbde по защите ваших данных полностью зависят от качества выбранной вами ключевой фразы. 1

По команде gbde init создаётся файл блокировок для вашего раздела gbde, который в нашем случае будет иметь имя /etc/gbde/ad4s1c.lock. Для того, чтобы файлы блокировок корректно распознавались стартовым скриптом /etc/rc.d/gbde, их имена должны заканчиваться на ''.lock''.

Предостережение: Резервные копии файлов блокировок gbde должны храниться вместе с содержимым шифруемых разделов. Хотя удаление только блокировочного файла не сможет противостоять дешифрации атакующим раздела gbde, без этого файла даже легитимный пользователь не сможет получить доступ к данным без определённых и значительных усилий, что не поддерживается gbde(8) и его разработчиком.

4. Подключите зашифрованный раздел к системе

# gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c.lock

Будет выдан запрос на ввод ключевой фразы, которую вы выбирали во время инициализации зашифрованного раздела. Новое защищённое устройство будет видно в каталоге /dev под названием /dev/device_name.bde:

# ls /dev/ad*

/dev/ad0 /dev/ad0s1b /dev/ad0s1e /dev/ad4s1

/dev/ad0s1 /dev/ad0s1c /dev/ad0s1f /dev/ad4s1c

/dev/ad0s1a /dev/ad0s1d /dev/ad4 /dev/ad4s1c.bde

5. Создайте файловую систему на зашифрованном устройстве

Как только защищённое устройство будет подключено к системе, вы сможете создать на нём файловую систему. Для этого используется утилита newfs(8). Так как инициализация новой файловой системы UFS2 происходит быстрее, чем инициализация файловой системы старого формата UFS1, то рекомендуется использовать newfs(8) с параметром -O2.

# newfs -U -O2 /dev/ad4s1c.bde

Замечание: Запуск команды newfs(8) должен выполняться над подключенном разделе gbde, который идентифицируется по расширению *. bde в имени устройства.

6. Смонтируйте зашифрованный раздел

Создайте точку монтирования для зашифрованной файловой системы.

# mkdir /private

Смонтируйте защищённую файловую систему.

# mount /dev/ad4s1c.bde /private

7. Проверьте доступность зашифрованной файловой системы

Защищённая файловая система теперь должна быть доступна утилите df(1) и доступной для использования.

% df -H

Filesystem Size Used Avail Capacity Mounted on

/dev/ad0s1a 1037M 72M 883M 8%

/devfs 1.0K 1.0K 0B 100% /dev

/dev/ad0s1f 8.1G 55K 7.5G 0% /home

/dev/ad0s1e 1037M 1.1M 953M 0% /tmp

/dev/ad0s1d 6.1G 1.9G 3.7G 35% /usr

/dev/ad4s1c.bde 150G 4.1K 138G 0% /private