debian-fde-dropbear
Différences
Ci-dessous, les différences entre deux révisions de la page.
Les deux révisions précédentesRévision précédenteProchaine révision | Révision précédente | ||
debian-fde-dropbear [2018/03/07 14:59] – [Avec Jessie (debian 8)] mention du fichier /etc/network/interfaces cequejevois | debian-fde-dropbear [2018/12/14 11:02] (Version actuelle) – [Complément et alternative] kippix | ||
---|---|---|---|
Ligne 34: | Ligne 34: | ||
Ensuite, il faut ajouter les clés ssh autorisées à se connecter pour déchiffrer le disque au fichier ''/ | Ensuite, il faut ajouter les clés ssh autorisées à se connecter pour déchiffrer le disque au fichier ''/ | ||
- | (cela peut être une copie de '' | + | (cela peut être une copie de '' |
==== À partir de stretch (debian 9) ==== | ==== À partir de stretch (debian 9) ==== | ||
Ligne 78: | Ligne 78: | ||
# enable dropbear explicitly | # enable dropbear explicitly | ||
DROPBEAR=y | DROPBEAR=y | ||
+ | |||
+ | //(ligne ci-dessus à ajouter si non déjà présente dans le fichier)// | ||
# network configuration. | # network configuration. | ||
Ligne 84: | Ligne 86: | ||
DEVICE=eth0 | DEVICE=eth0 | ||
IP=111.222.333.444:: | IP=111.222.333.444:: | ||
+ | Notez que les valeurs ''< | ||
Reconstruire l' | Reconstruire l' | ||
Ligne 133: | Ligne 136: | ||
===== Connexion à la machine ===== | ===== Connexion à la machine ===== | ||
+ | * seul l' | ||
+ | * il est possible de remplacer le message '' | ||
==== Avec Jessie (debian 8) ==== | ==== Avec Jessie (debian 8) ==== | ||
Ligne 140: | Ligne 145: | ||
Explications : | Explications : | ||
- | * L' | + | * L' |
* La phrase de passe est écrite dans le [[https:// | * La phrase de passe est écrite dans le [[https:// | ||
* Un fichier // | * Un fichier // | ||
Ligne 194: | Ligne 199: | ||
===== Complément et alternative ===== | ===== Complément et alternative ===== | ||
+ | ==== Activer l' | ||
+ | |||
+ | Dans certains cas, si vous utiliser du SoL (Serial over Lan) par exemple, et que vous avez besoin de debugger la séquence de boot, il peut-être utile de rediriger l' | ||
+ | |||
+ | Voici comment faire: | ||
+ | |||
+ | < | ||
+ | vi / | ||
+ | </ | ||
+ | |||
+ | GRUB_CMDLINE_LINUX=" | ||
+ | |||
+ | Ne pas oublier: | ||
+ | |||
+ | update-grub | ||
+ | |||
+ | ==== Nommage des interfaces réseau ==== | ||
+ | |||
+ | En prévention de l' | ||
+ | Buster, implémente les [[https:// | ||
+ | |||
+ | Et donc, nous vous conseillions de désactiver, | ||
+ | |||
+ | Cela ce fait par un argument à passer au kernel au moment du boot. | ||
+ | |||
+ | < | ||
+ | vi / | ||
+ | </ | ||
+ | |||
+ | GRUB_CMDLINE_LINUX_DEFAULT=" | ||
+ | |||
+ | De fait, le nommage en eth0 sera conservé. | ||
+ | |||
+ | Ne pas oublier: | ||
+ | |||
+ | update-grub | ||
==== Sécurisation de dropbear-initramfs ==== | ==== Sécurisation de dropbear-initramfs ==== | ||
Ligne 254: | Ligne 295: | ||
Il est important de se rappeler les limites d'une telle méthode. Si un attaquant obtient un accès root au système, il peut obtenir la clé de chiffrement ('' | Il est important de se rappeler les limites d'une telle méthode. Si un attaquant obtient un accès root au système, il peut obtenir la clé de chiffrement ('' | ||
- | Dans tous les cas, ça rend l' | + | Dans tous les cas, cela rend l' |
À noter aussi, [[http:// | À noter aussi, [[http:// | ||
+ | |||
+ | ===== Ajouter, modifier et supprimer des phrases de passes | ||
+ | |||
+ | Il est possible d' | ||
+ | |||
+ | ==== Détecter la partition chiffrée avec lsblk ==== | ||
+ | < | ||
+ | # lsblk | ||
+ | NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINT | ||
+ | fd0 | ||
+ | sda | ||
+ | ├─sda1 | ||
+ | ├─sda2 | ||
+ | └─sda5 | ||
+ | └─sda5_crypt | ||
+ | ├─foo--vg-root | ||
+ | ├─foo--vg-var | ||
+ | ├─foo--vg-swap_1 | ||
+ | ├─foo--vg-tmp | ||
+ | └─foo--vg-home | ||
+ | sr0 11:0 1 290M 0 rom | ||
+ | sr1 11:1 1 1024M 0 rom | ||
+ | </ | ||
+ | |||
+ | La partition chiffrée est donc '' | ||
+ | |||
+ | On peut vérifier que la partition est bien une partition Luks avec la commande suivante : | ||
+ | < | ||
+ | # cryptsetup -v isLuks /dev/sda5 | ||
+ | Command successful. | ||
+ | |||
+ | # cryptsetup -v isLuks /dev/sda1 | ||
+ | Device /dev/sda1 is not a valid LUKS device. | ||
+ | Command failed with code 22: Invalid argument | ||
+ | |||
+ | # cryptsetup -v isLuks / | ||
+ | Device / | ||
+ | Command failed with code 22: Invalid argument | ||
+ | </ | ||
+ | |||
+ | Toutes les commandes '' | ||
+ | |||
+ | ==== Pour ajouter une phrase de passe : ==== | ||
+ | |||
+ | < | ||
+ | # cryptsetup -v luksAddKey /dev/sda5 | ||
+ | Enter any existing passphrase: ********* | ||
+ | Key slot 1 unlocked. | ||
+ | Enter new passphrase for key slot: ********* | ||
+ | Verify passphrase: ********* | ||
+ | Key slot 1 unlocked. | ||
+ | Command successful. | ||
+ | </ | ||
+ | |||
+ | ==== Pour supprimer une phrase de passe : ==== | ||
+ | |||
+ | < | ||
+ | # cryptsetup -v luksRemoveKey /dev/sda5 | ||
+ | Enter passphrase to be deleted: ****** | ||
+ | Key slot 0 unlocked. | ||
+ | Key slot 0 selected for deletion. | ||
+ | Command successful. | ||
+ | </ | ||
+ | |||
+ | Dans le cas où la passphrase n' | ||
+ | < | ||
+ | # cryptsetup -v luksRemoveKey /dev/sda5 | ||
+ | Enter passphrase to be deleted: | ||
+ | No key available with this passphrase. | ||
+ | Command failed with code 1: Operation not permitted | ||
+ | </ | ||
+ | |||
+ | ==== Pour modifier une phrase de passe : ==== | ||
+ | |||
+ | - Ajouter une nouvelle phrase de passe. | ||
+ | - :!: rebooter pour tester la nouvelle phrase de passe (ignorez cette étape à vos risques et périls) | ||
+ | - Supprimer l' |
debian-fde-dropbear.txt · Dernière modification : 2018/12/14 11:02 de kippix