Bug 45803
| Summary: | При создании initrd.img на незашифрованном / в него может попадать ключевой файл luks, расположенный на зашифрованном разделе | ||
|---|---|---|---|
| Product: | Sisyphus | Reporter: | Alexander <alxste> |
| Component: | make-initrd | Assignee: | Alexey Gladkov <legion> |
| Status: | NEW --- | QA Contact: | qa-sisyphus |
| Severity: | normal | ||
| Priority: | P5 | CC: | aen, antohami, glebfm, ldv, legion, placeholder, rider |
| Version: | unstable | ||
| Hardware: | x86_64 | ||
| OS: | Linux | ||
Вот еще разница - на "старом" ноутбуке я изначально устанавливал систему с созданием шифрованного раздела под /home, на "новом" я при установке системы просто оставил часть диска не размеченным, и потом уже создал там шифрованный раздел и перенес на него /home Вот если в этом файле:
/usr/share/make-initrd/features/luks/bin/get-dat
закомментировать вот эти строки (начиная с 74 строки):
# if [ -z "$keydev" ] && [ -f "$keyfile" ]; then
# mkdir -p -- "$DIR/${keyfile%/*}"
# cp -- "$keyfile" "$DIR/$keyfile"
# fi
То поведение становится ожидаемым - один запрос пароля при загрузке, один при просыпании и ключика уже нет в initrd:
# initrd-ls /boot/initrd-6.1.21-un-def-alt1.img | grep home
2 drwxr-xr-x 2 0 0 0 Jan 01 03:00:00 1970 ./home
2 drwxr-xr-x 2 0 0 0 Jan 01 03:00:00 1970 ./home/root
Но просто так их комментировать было бы неправильно - оно для чего то было сделано так специально. Но вот добавить куда-то какой-то параметр чтобы этим можно было бы управлять - было бы очень полезно
Вот есть еще во feature luks вот такой файлик: /usr/share/make-initrd/features/luks/guess/device там оно ищет uuid относящиеся к luks-устройствам, потом в /usr/share/make-initrd/features/luks/bin/get-data сравнивает эти uid-ы и найденные в crypttab.. Таким образом наименее "костыльным" способом обхода копирования ключей в открытый iintrd, является запись в crypttab исключающая uuid, например так: luks-swap /dev/nvme0n1p3vm ./home/.my-luks.key luks,discard В общем у меня, при такой записи ключик в initrd перестал копироваться. Но саму ситуацию копирования ключей в initrd с шифрованных носителей считаю небезопасной |
Description
Alexander 2023-04-10 14:07:56 MSK