डेटा हानि के बिना LUKS को एन्क्रिप्ट और पुनः एन्क्रिप्ट करें

परिचय

यदि आप कभी भी डिस्क पर डेटा एन्क्रिप्ट करने के बारे में सोचते हैं, तो आप उनमें से एक सभ्य राशि जमा करते हैं, तो आप एन्क्रिप्टेड विभाजन बनाने से पहले और बाद में डेटा स्थानांतरित करने की आवश्यकता के बारे में पढ़ने के लिए परेशान थे। 500 जीबी को आगे और पीछे स्थानांतरित करने से कोई विशेष कठिनाई नहीं होती है, इस तरह की मात्रा को अस्थायी रूप से क्लाउड पर भी अपलोड किया जा सकता है, लेकिन अगर प्रत्येक 4 टीबी के 6 हार्ड ड्राइव को एन्क्रिप्ट करने की बात आती है, तो कार्य काफी जटिल है। किसी कारण से, इन-प्लेस पुनः एन्क्रिप्शन के बिना एलयूकेएस संस्करणों को एन्क्रिप्ट करने और फिर से एन्क्रिप्ट करने की क्षमता इंटरनेट पर खराब रूप से कवर की जाती है, हालांकि इसके लिए दो उपयोगिताओं हैं: क्रायसिपेटअप-रेनेक्रिप्ट , जो 2012 से क्रायसपर्सअप का हिस्सा रहा है, और तीसरे पक्ष का लुक्सिपेक जो एक साल पहले दिखाई दिया। दोनों उपयोगिताओं, सामान्य रूप से, एक और एक ही कार्य करते हैं - एक विभाजन को एन्क्रिप्ट करें यदि यह एन्क्रिप्ट नहीं किया गया है, या अन्य मापदंडों के साथ मौजूदा एक को फिर से एन्क्रिप्ट करें। अपनी जरूरतों के लिए, मैंने पहले, आधिकारिक का लाभ उठाया।

यह कैसे काम करता है?

मान लें कि आपके पास एक विशिष्ट डिस्क लेआउट है: एक विभाजन 1 MiB (4 KiB क्षेत्रों के लिए संरेखण) से शुरू होता है और डिस्क के अंत में समाप्त होता है।


एलयूकेएस हेडर एन्क्रिप्टेड डेटा से पहले, शुरुआत में स्थित है। हेडर के लिए न्यूनतम 2056 512-बाइट सेक्टरों की आवश्यकता होती है, अर्थात 1MiB से थोड़ा अधिक। विभाजन की शुरुआत से पहले का स्थान हमारे लिए स्पष्ट रूप से पर्याप्त नहीं है, इसलिए पहले हमें फ़ाइल सिस्टम के आकार को इसके अंत से कम करने की आवश्यकता है ताकि क्रायसिपेटअप-रेनेक्रिप्ट ब्लॉक को दाईं ओर, डिस्क के अंत तक स्थानांतरित कर दे, जिससे एलयूकेएस हेडर के लिए अनुभाग की शुरुआत में जगह बढ़ जाए। हेडर का अंतिम आकार कुंजी लंबाई, पासफ़्रेज़ के लिए स्लॉट की संख्या और अन्य मापदंडों पर निर्भर करता है, इसलिए मैं सावधानी बरतने और हेडिंग के तहत 4 MiB लगाने की सलाह देता हूं।

हम एन्क्रिप्ट!

सबसे पहले, फ़ाइल सिस्टम का आकार कम करें। Ext4 के मामले में, यह निम्नानुसार किया जाता है:

# e2fsck -f /dev/sdc1 e2fsck 1.42.12 (29-Aug-2014) Pass 1: Checking inodes, blocks, and sizes Pass 2: Checking directory structure Pass 3: Checking directory connectivity Pass 4: Checking reference counts Pass 5: Checking group summary information SAMS15TB: 17086/536592 files (0.4% non-contiguous), 341465037/366284385 blocks # dumpe2fs /dev/sdc1|grep 'Block count' dumpe2fs 1.42.12 (29-Aug-2014) Block count: 366284385 # resize2fs /dev/sdc1 366283361 resize2fs 1.42.12 (29-Aug-2014) Resizing the filesystem on /dev/sdc1 to 366283361 (4k) blocks. The filesystem on /dev/sdc1 is now 366283361 (4k) blocks long. 

जहाँ 366283361 = 366284385-1024 (4k के ब्लॉक), अर्थात 4 MiB से कम करें
यह ध्यान दिया जाना चाहिए कि यह विभाजन के आकार को कम नहीं करेगा, इसे कम करने की आवश्यकता नहीं है!

यह एक cryptsetup बेंचमार्क चलाने के लिए समझ में आता है। सबसे अधिक संभावना है, एईएस आपके कंप्यूटर पर सबसे तेज़ होगा, जैसा कि आधुनिक प्रोसेसर हार्डवेयर में तेजी लाते हैं। मेरे कंप्यूटर पर, सर्प सबसे तेज़ एल्गोरिथम निकला।

एन्क्रिप्शन प्रक्रिया के लिए ही हो रही है। चेतावनी! डेवलपर्स के आश्वासन के अनुसार, cryptsetup-reencrypt प्रयोगात्मक सॉफ्टवेयर है और आपके डेटा को मार सकता है, इसलिए बैकअप बेहतर बनाएं।

 # cryptsetup-reencrypt -c serpent-xts-plain64 -s 256 -N --reduce-device-size 4M /dev/sdc1 WARNING: this is experimental code, it can completely break your data. Enter new passphrase: Progress: 0.0%, ETA 1107:23, 168 MiB written, speed 21.5 MiB/s … 

-N पैरामीटर LUKS विभाजन बनाने की आवश्यकता को इंगित करता है, और --reduce-device-size फ़ाइल सिस्टम के बाद खाली स्थान को इंगित करता है।

एन्क्रिप्शन प्रक्रिया तेज नहीं है, मुझे इंतजार करना होगा, मुझे हर चीज के बारे में सब कुछ करने में लगभग 3 दिन लग गए। सुनिश्चित करें कि आप उस निर्देशिका से cryptsetup-reencrypt शुरू करते हैं जिसके पास आपकी पहुंच है, इसलिए आप CTRL + C के माध्यम से एन्क्रिप्शन प्रक्रिया को रोक सकते हैं और यदि कुछ गलत हुआ है तो उसे जारी रख सकते हैं।

एन्क्रिप्शन पूरा होने के बाद, हम डिस्क को डिवाइस मैपर से कनेक्ट करते हैं और इसे माउंट करते हैं:

 # cryptsetup luksOpen /dev/sdc1 crypt # mount /dev/mapper/crypt /media/hdd 

वह सब है। हमें एक एन्क्रिप्टेड ड्राइव प्राप्त हुआ जिसमें डेटा ट्रांसफर की आवश्यकता नहीं थी।