web-dev-qa-db-ja.com

cryptsetup-luksのキーサーバー

自宅にはいくつかのマシンがあります。小さなNAS、ノートブック、リッテWebサーバーなどです。

これらのマシンの中には、デジタルライフ全体を保存するものがあるため、ほぼすべてのパーティションを暗号化しました。デバイスを起動するには、異なるマシンに約5つのパスフレーズを入力する必要があります。

小さなキー配布サーバーを探しています。RPI(または他の何か)ベースのシステムで、最初に起動してロックを解除し、他のマシンからキーファイルを取得できます。

認証は、SSHキー認証またはHTTPを介したx509-authによって実行できます。おまけとして、特定の時間キーサーバーに到達できない場合、または何らかの緊急信号を送信した場合、マシンは自動的にパーティションをロックする場合があります。

誰もそのようなツールを開発したとは信じられません...

1
philipp

かなり単純な HTTPS経由でキーを取得するためのキースクリプト をまとめました。私はあなたが信じているのと同じ問題を解決しようとしていました-毎回手動でロックを解除することなくリブートを許可しながら、マシンを対象外の盗難から保護します。

キーは他のサーバーに暗号化されて保存され、基本認証をかなり簡単に設定できます-もちろん、誰かが関連するマシンを盗まれた場合、これは特に役立ちません! キーを使用不可にすることで、盗難に迅速に手動で対応する必要があります。

あなたのシナリオでは、だれかが(おおよそ)同時にすべてのマシンをシャットダウンし、どのような場合でも「キーサーバー」はローカルネットワークでのみ利用可能であると予想されるでしょう。

(私のHTTPサーバーはパブリックインターネット上にありますが、GeoIPとISPのIP範囲を使用してアクセスを制限しているため、運が良ければある程度の保護を提供できます。)


私のアレンジメントでキーを暗号化しても、おそらくあまりメリットはありません。認めざるを得ません。 (しかし、それは物事をそれほど複雑にしません。)


mandos は同様の問題を解決するための試みですが、マシンが盗まれたように見える場合、キーが迅速かつ自動的に利用できなくなることを保証しようとします。これは、ダウンタイムと多少複雑なインフラストラクチャについての仮定が必要であることを意味します。

1
stupidpupil