Chiffrez vos disques avec LUKS

Dans la suite de mes articles sur le chiffrement des disques système, je vous présente le chiffrement d’un système Linux avec LUKS incorporé dans un volume logique.

N’hésitez pas : Commentez

Publié le 25 avril 2024Â

Version PDF Version hors-ligne

Dans la suite de mes articles sur le chiffrement des disques système, dont vous trouverez les liens en fin de tutoriel Articles en lien avec le sujet , je vous présente le chiffrement d’un système Linux avec LUKS incorporé dans un volume logique.

LUKS, pour Linux Unified Key Setup est le système de chiffrement de volume intégré à Linux.

L’incorporation dans un volume logique permettra une souplesse telle que l’agrandissement du volume logique en ajoutant un disque physique au volume, le remplacement d’un disque en déplaçant son contenu en tâche de fond, l’utilisation de clichés, la gestion de RAID depuis LVM, etc.

L’installation a été faite à partir d’une distribution Ubuntu 18 Live et d’un système Debian Buster installé dans une machine virtuelle. L’utilisation d’une version plus récente ne devrait pas entraîner de difficultés supplémentaires.

L’installation depuis une distribution basée sur RedHat ou autre telle que Arch Linux n’a pas été testée, mais devrait être réalisable. Seule l’adaptation des commandes liées à la distribution (gestionnaire de paquets, par exemple) sera nécessaire.

Le système sera installé en UEFI .

LVM , pour Logical Volume Manager est un système qui permet une abstraction matérielle de l’espace disque.

Ci-dessous un schéma présentant l’utilisation de LVM et LUKS dans notre cas de figure.

Un ou plusieurs disques durs physiques (plus précisément des partitions) sont intégrés dans un Volume Group . Il sera possible d’ajouter des disques ultérieurement et d’en supprimer tant qu’aucune donnée n’est stockée dessus (des commandes permettent de déplacer des blocs occupés d’un disque physique à un autre). Ceci permet donc le remplacement d’un disque à chaud en migrant les blocs occupés sur un disque physique vers un autre disque.

Nous créerons nos volumes logiques dans ce Volume Group , dans lesquels nous encapsulerons nos conteneurs LUKS qui contiendront nos données chiffrées. Et enfin nous créerons notre (ou nos) système de fichiers dans ces conteneurs.

Il est tout à fait possible de créer un volume LUKS directement dans une partition, donc sans utiliser LVM, mais LVM permet une plus grande souplesse comme présenté en introduction. C’est également la méthode utilisée lors de l’installation d’un système Linux depuis l’interface graphique.

Il est également possible de monter un volume chiffré dans un fichier image monté en loopback, mais cet aspect ne sera pas traité ici.

Dans ce schéma, dans notre conteneur LUKS de gauche, il pourrait y avoir plusieurs partitions (par exemple une partition /home ) ou même un autre système de fichiers. Dans l’absolu, notre volume LVM pourrait même contenir plusieurs conteneurs LUKS .

Les installations depuis les live-cd permettent en général une installation automatique utilisant LUKS et LVM . Nous allons voir comment le faire manuellement et aussi gérer le fait que GRUB ne supporte que la version 1 de LUKS .

Nous commencerons par créer une partition FAT32 qui sera la partition ESP ( EFI System Partition ), puis nous ajouterons ensuite une partition de type « LVM2 PV » (PV pour Physical Volume ) qui contiendra nos conteneurs LUKS encapsulés dans des volumes logiques.

Nous créerons donc une partition /boot en LUKS 1, qui contiendra le noyau et l’ initramfs , et la partition racine / qui sera, elle, en LUKS 2, ceci permettant de n’avoir que la partition /boot en LUKS  1.

Nous ferons également en sorte que la clé de déverrouillage ne soit demandée qu’au niveau de GRUB .

LUKS 2 est considéré comme plus robuste que LUKS 1, et permet notamment la modification de l’algorithme de chiffrement.

Cependant, GRUB n’est pas compatible avec LUKS 2. Des patchs existent, mais ne sont pas toujours intégrés aux distributions.

Mon choix s’est donc porté sur un démarrage avec un volume boot chiffré en LUKS 1, le volume racine étant lui chiffré en LUKS 2.

Depuis le live-cd Ubuntu 18 démarré en UEFI , nous commençons par activer le clavier en français :

Nous ouvrons ensuite un terminal. (avec ctrl-alt-t sur Ubuntu):

Nous passons en root avec la commande :

Nous lançons ensuite GParted pour créer les partitions :

Il nous faudra commencer par créer une table de partitions, en GPT (pour l’ UEFI ) :

Nous créons ensuite une partition FAT32 pour l’ ESP  :

Et enfin une partition lvm2 pv pour le reste de l’espace disque :

Comme présenté au chapitre 2, il est nécessaire de créer les différentes structures utilisées par LVM :

Nous allons ensuite affecter notre volume physique (notre partition PV LVM2) à l’usage de LVM  :

ce qui retournera :

Cette opération écrira des métadonnées dans la partition à l’usage de LVM.

La commande pvdisplay permet de voir le détail des partitions physiques affectées à LVM :

Le champ « VG Name » est vide, le PV n’étant actuellement affecté à aucun groupe.

Nous créons ensuite notre Volume Group avec pour nom vg0  :

Rappel : un Volume Group peut contenir plusieurs disques physiques, ce qui ne sera pas le cas ici.

La commande vgdisplay nous donne le détail du Volume Group  :

Nous voyons dans les informations que le VG est redimensionnable et qu’il n’a aucun PE (bloc virtuel) alloué, ce qui est normal, nous n’avons créé à ce stade aucun volume logique.

Si nous réaffichons la commande pvdisplay après création du Volume Group , le champ « VG Name » contiendra vg0.

Nous créons ensuite un Logical Volume (un volume logique) pour /boot et un autre pour le /  :

La commande lvdisplay nous permet de voir le détail des volumes logiques (et dans quel Volume Group ils se trouvent, pertinent en cas de présence de plusieurs Volume Group  :

J’ai nommé ici mon volume de démarrage lvboot et mon volume racine lvroot.

Nous allons créer maintenant le volume LUKS pour la racine / dans la partition LVM :

Il nous sera demandé de confirmer l’écrasement du contenu du volume en tapant « YES » :

Il nous sera demandé le code du volume, sa « passphrase » ainsi que la confirmation :

La console sera bloquée pendant quelques secondes.

Le volume LUKS créé, il va nous falloir l’ouvrir :

Vous aurez la même latence que lors de la création du volume LUKS.

À ce stade, le volume LUKS que j’ai ici nommé root-crypt sera accessible depuis /dev/mapper/root-crypt .

Nous créons ensuite un système de fichiers Ext4 dans le volume LUKS  :

Nous effectuons enfin le montage du nouveau système de fichiers :

Deboostrap est un utilitaire permettant l'installation d’une base Debian dans le sous-répertoire d'un autre système déjà existant.

Pour effectuer notre installation, nous allons préparer un système de base avec Debootstrap , puis se placer à l’intérieur de celui-ci avec chroot pour effectuer les réglages nécessaires.

Pour pouvoir installer Debootstrap, il faudra commencer par ajouter « universe » en fin de la ligne principale du fichier /etc/apt/source.list .

Nous mettons ensuite à jour les dépôts et installons debootstrap :

Nous installons ensuite la base de la distribution Debian Buster dans le point de montage /mnt  :

Rappel : vous pouvez installer une autre version de Debian, le principe étant le même. Il pourrait y avoir de légères nuances sur la suite de l’installation non évoquées dans ce tutoriel.

Vous pouvez voir les versions supportées par Debootstrap en allant voir le dossier /usr/share/debootstrap/script .

Nous passons ensuite en chroot :

Pour effectuer un chroot sur un système existant, il est rarement nécessaire de monter /run dans celui-ci. Ce sera par contre indispensable pour ne pas avoir de problèmes avec LVM.

Nous commençons par créer un mot de passe root :

Vous pouvez aussi créer un utilisateur ayant les droits sudo comme cela est fait dans la distribution Ubuntu.

Nous installons ensuite cryptsetup dans le système chrooté :

Il vous sera alors demandé les réglages clavier, nous sélectionnerons un clavier AZERTY français :

Nous installons ensuite LVM Â :

Il est tout à fait possible d’installer cryptsetup et lvm en même temps avec la commande :

Nous allons préparer le conteneur LUKS pour la partition /boot . Pour rappel, la partition LVM qui accueillera ce conteneur a déjà été créée. Ce conteneur sera nommé boot-crypt.

Pour des raisons de facilité, j’ai utilisé le même mot de passe pour les deux volumes LUKS, mais rien n’empêche d’en utiliser des différents.

Nous ouvrons ce conteneur :

Rappel : Il y a aura un lag avant que la console vous redonne la main.

Nous créons ensuite le système de fichiers :

Le fichier crypttab est le fichier de définition des volumes cryptés utilisé pendant la séquence de démarrage. Il va contenir la correspondance entre les noms des volumes cryptés vus dans /dev , leur UUID, l’éventuel fichier de clé (pour ne pas avoir à saisir de code), et les options.

Pour remplir celui-ci, nous allons utiliser la commande blkid avec un filtrage grep et envoyer le contenu dans le fichier crypttab , ceci pour nos deux volumes LUKS actuels : lvroot-crypt et lvboot-crypt.

Nous nous retrouverons avec un fichier crypttab contenant :

qu‘il nous faudra remplacer par :

Les UUID étant, par définition, uniques, ils seront différents à chaque installation.

Nous complétons maintenant notre fichier fstab :

Nous lançons ensuite la commande :

Ceci nous permet de monter le volume /boot (root étant déjà monté) et du coup de vérifier qu’il n’y a pas d’erreurs. L’appel à la commande mount devra présenter /boot monté s‘il n’y a pas d’erreurs.

L’étape suivante sera l’installation d’un noyau.

Commençons par rechercher ceux disponibles dans les dépôts :

J’ai choisi dans mon cas de figure le noyau linux-image-4.19.0-20-amd64-unsigned , n’utilisant pas Secureboot, et ne souhaitant pas devoir utiliser des modules signés.

Il va nous falloir maintenant installer le chargeur d’amorçage GRUB .

Nous commençons par créer le dossier /boot/efi sur lequel devra pointer la partition ESP  :

Nous ajoutons l’entrée suivante dans le fstab pour la partition ESP (qui est en fait une partition FAT32 ) :

Nous installons ensuite GRUB proprement dit :

Pour que GRUB gère nos volumes chiffrés, il va nous falloir ajouter la ligne suivante dans le fichier /etc/default/grub  :

GRUB doit connaître l’UUID du volume racine.

Nous ajoutons celui-ci dans le fichier avec le même principe que pour le fichier crypttab  :

Nous modifions la ligne ajoutée :

Nous appliquons ensuite la configuration GRUBÂ :

Nous quittons ensuite le chroot avec :

Et copions les fichiers network/interfaces et resolv.conf depuis le live-cd :

Nous arrêtons ensuite le système :

Au démarrage, GRUB vous demandera le mot de passe :

Après un délai lié à l’ouverture du conteneur LUKS , vous aurez l’écran GRUB normal :

Le système demandera ensuite la clé de déverrouillage de la partition racine :

Sera ensuite redemandée la clé du volume /boot  :

Et vous aurez enfin la demande d’authentification habituelle du shell :

Il aurait également été possible de créer un volume chiffré pour le /home . La clé vous aurait alors également été demandée.

Il nous reste à ce stade à configurer le réseau, utiliser les locales en français, et positionner le fuseau horaire.

Ces réglages auraient pu être faits depuis le chroot.

Il nous reste à finaliser les réglages réseau en modifiant les fichiers / etc/network/interfaces et /etc/resolv.conf .

Vous pouvez afficher les différentes cartes réseau vues par le système avec la commande :

L’utilisation de NetworkManager (qui aurait dû être installé depuis le chroot) simplifie la gestion réseau, que vous devriez un minimum maîtriser si vous effectuez une installation en ligne de commande.

La configuration se fait par l’installation du paquet locales :

qu’il est nécessaire de paramétrer :

Ceci effectué et pour que les changements soient pris en compte, la session doit être fermée et réouverte.

Finalement, une synchronisation des paquets peut être utile :

La mise à jour du fuseau horaire se fera en reconfigurant tzdata  :

L’installation par debootstrap n’installe pas les dépôts de mises à jours (buster-updates et debian-security dans notre cas de figure). Il faudra les ajouter à la main puis effectuer un apt update suivi d’un apt-upgrade .

Nous allons paramétrer le système pour qu’une seule clé de déchiffrement ne soit demandée qu’au niveau de GRUB.

Nous allons créer un fichier de déverrouillage pour le volume /boot .

Commençons par créer un dossier pour les clés :

Nous créons le fichier proprement dit :

Nous affectons les bons droits au fichier :

Lecture seule pour root, et aucun accès pour les autres utilisateurs.

Nous ajoutons ensuite la clé au conteneur LUKS :

À ce stade, le conteneur est montable soit avec le code soit en passant le fichier .key en paramètre.

Dans le fichier /etc/crypttab, il va falloir remplacer :

Au redémarrage, la clé pour boot-crypt sera demandée au niveau de GRUB et celle pour root-crypt sera demandée ensuite, mais le système ne redemandera pas la clé pour /boot .

Dans le cas de figure présenté ici, j’ai utilisé la même clé pour le volume /boot et pour / .

Dans le cas ou une clé différente est souhaitée, il faudra appliquer le même processus que vu pour le volume de boot dans le précédent chapitre (luksAddKey).

Une fois la clé intégrée au volume LUKS , nous allons utiliser le système de hook d’initramfs pour y intégrer la clé.

Cela s’effectue en créant un fichier /etc/initramfs-tools/hooks/keyfile  :

Nous lui affectons les droits d’exécution :

Ceci va à chaque création/modification de/d’un initramfs y intégrer le fichier boot.key.

Nous modifions le fichier crypttab en conséquence en remplaçant :

Ceci permettra, dans l’initramfs, de passer le fichier boot.key en paramètre à LUKS par le biais de cat.

Nous mettons à jour l’initramfs :

Au redémarrage, la clé ne sera demandée qu’au niveau de GRUB.

Nous n’avons jusqu’à présent pas utilisé de partition de swap. Pour garder la sécurité, cette partition doit elle aussi être chiffrée.

Plutôt que de créer un volume LUKS, il est possible d’utiliser un simple fichier (swapfile) que l’on peut placer dans la partition / . Ceci simplifiera la configuration.

La commande suivante permet de créer le fichier :

Vous pouvez aussi créer le fichier avec la commande dd.

Je lui attribue les droits de lecture et d’écriture pour root :

Création du swap proprement dit :

Il faut ajouter une nouvelle entrée dans le fichier fstab :

et enfin, activer celui-ci :

Si vous avez besoin d’accéder au système depuis un live-cd, il vous faudra ouvrir le volume LUKS :

Il est supposé ici que le live-cd utilisé intègre la gestion de LVM, ce qui est le cas du live-cd d’Ubuntu utilisé pour la réalisation de ce tutoriel. Un live-cd autre qu’Ubuntu peut ne pas intégrer LVM par défaut.

Vous pourrez si besoin effectuer un chroot :

Le volume /boot n’est ici pas monté. Pour pouvoir le monter, il va falloir tout d’abord ouvrir le volume LUKS :

Idem dans le cas de présence d’autres partitions chiffrées telle qu’une partition pour /home .

L’utilisation de la commande mount -a permettra de monter tous les volumes utilisés par le système (ou d’indiquer des messages d’erreur en cas de problème de montage, en cas de volume LUKS, ceux-ci doivent préalablement être ouverts).

Si vous avez besoin d’effectuer un fcsk , n’oubliez pas que le volume LUKS doit être préalablement ouvert.

Une corruption au niveau de la structure LUKS proprement dite entraînera une perte des données. Un volume chiffré sera plus difficile à récupérer en cas de plantage.

Un volume LUKS va contenir plusieurs emplacements de mot de passe ou clé, nommés slots .

Pour lister les clés du volume lvroot :

Nous voyons ici la présence de deux clés, chacune présentée dans un keyslot. Vient ensuite une section token contenant un digest préfixé 0.

Ceci me permet de déterminer la différence entre un slot à passphrase et un slot à fichier de clé.

Pour changer le mot de passe, vous pouvez utiliser la commande :

Il vous sera demandé la clé à modifier et la nouvelle clé de remplacement :

Vous pouvez également ajouter une nouvelle clé avec cryptsetup luksAddKey et supprimer ensuite celle d’origine avec cryptsetup luksRemoveKey .

Il pourrait être envisagé d’ajouter l’utilisation du TPM , évitant la saisie du mot de passe tant que le disque n’est pas monté depuis une autre machine ou que la carte mère de la machine n’est pas changée. Cette option n’a cependant pas été testée dans le cadre de ce tutoriel.

Les prérequis seront dans ce cas :

Ce tutoriel nous a permis d’explorer le fonctionnement de LUKS ainsi que de LVM , et leur combinaison, dont l’installation est transparente quand automatisée via un Live-CD/Live-USB, mais cache une relative complexité.

Je remercie LittleWhite pour sa relecture technique ainsi que f-leb pour sa relecture orthographique.