रूट विभाजन एन्क्रिप्शन के साथ FreeBSD 9.1 स्थापित करना

"यदि आपको व्यामोह है, तो इसका मतलब यह नहीं है कि आपका अनुसरण नहीं किया जा रहा है" © लोक ज्ञान

पोस्ट पढ़ने के बाद मैंने रूस में व्यापार करने का पहला नियम कैसे लागू किया , मेरा यह सवाल था:

यदि कंपनी एक सॉफ़्टवेयर उत्पाद (SaaS) विकसित कर रही है, और विकास प्रक्रिया में स्थानीय विकास और चरण सर्वर का उपयोग करना आवश्यक है? यदि "हमलावर" को डिस्क तक भौतिक पहुंच मिलती है और उसे परियोजनाओं के सभी स्रोत कोड नहीं दिए जाते हैं तो क्या होगा? और अगर हम स्क्रिप्ट, बावर्ची या कठपुतली के माध्यम से युद्ध के मैदान में कोड को रोल आउट करते हैं, तो हम भी युद्ध के मैदान में सभी पहुंच प्रदान करते हैं।

उत्तर स्पष्ट है: सभी का एन्क्रिप्शन मूल्यवान है। लेकिन जैसा कि हम सभी जानते हैं, वहाँ टन एन्क्रिप्शन विकल्प हैं। व्यक्तिगत फ़ाइलों के एन्क्रिप्शन से शुरू होकर क्रिप्टोकरंसी के निर्माण (उदाहरण के लिए ट्रू क्रिप्टेक) और पूर्ण डिस्क एन्क्रिप्शन के साथ समाप्त होता है।

आप कह सकते हैं "तो आप स्वयं नियम को तोड़ते हैं और अपने स्थानीय सर्वर को कार्यालय में रखते हैं?"। और मैं सहमत हूं, लेकिन आरक्षण के साथ। एक आरामदायक विकास के लिए, स्रोत के करीब, बेहतर, और क्षेत्रों में कानूनी संस्थाओं के लिए इंटरनेट की गति को देखते हुए, जो उचित मूल्य के लिए प्राप्त किया जा सकता है, एक विकसित और मंच सर्वर को कहीं दूर रखने से कष्टदायी दर्द होगा। यहां मैं एक ऐसी योजना के बारे में बात कर रहा हूं जिसमें विकास मशीनों पर कोई स्रोत कोड नहीं हैं। सभी कोड विकसित सर्वर के नेटवर्क शेयर पर है। और सामान्य तौर पर, एक स्थानीय गीगाबिट में पिंग और पिंग थोड़ा अलग चीजें हैं।

तो, चलिए एन्क्रिप्शन शुरू करते हैं।

दिया गया: FreeBSD पर सर्वर।
कार्य: सभी विभाजनों को एन्क्रिप्ट करें।

एन्क्रिप्शन योजनाएँ

एन्क्रिप्शन विकल्प क्या हैं?

• फ़ाइल सिस्टम एन्क्रिप्शन (जैसे ZFS)
• तृतीय पक्ष एन्क्रिप्शन
• किसी भी gbde और geli फ़ाइल सिस्टम के लिए मूल FreeBSD इंजन।

हम उन शर्तों को स्पष्ट करते हैं जिन्हें हमारी योजना को पूरा करना चाहिए:

1. संपूर्ण डिस्क का पारदर्शी एन्क्रिप्शन
2. कुंजी जमा करने या कर्नेल को लोड करने के लिए बाहरी मीडिया का अभाव
3. न्यूनतम आयरन आवश्यकताएँ

हम कह सकते हैं कि दूसरा बिंदु सिस्टम की क्रिप्टोग्राफ़िक ताकत को कम कर देता है, क्योंकि हम स्वेच्छा से एन्क्रिप्शन कुंजी (हम केवल पासवर्ड छोड़ते हैं) और फ्लैश ड्राइव को मना कर देते हैं, जिसे आवश्यक होने पर जल्दी से सर्वर से बाहर निकाला जा सकता है।

यह सही है, लेकिन अगर हम वर्चुअलाइजेशन का उपयोग करते हैं, तो सामान्य स्थिति में, हमें प्रत्येक वर्चुअल मशीन के लिए एक फ्लैश ड्राइव की आवश्यकता होती है, जो थोड़ा दुखद है।
ZFS को अपने काम के लिए काफी संसाधनों की आवश्यकता होती है, जो शर्तों के तीसरे बिंदु का खंडन करता है।

इसलिए हम सिस्टम के लिए सबसे सार्वभौमिक और देशी विकल्प चुनते हैं, अर्थात् जेली का उपयोग करके विभाजन का एन्क्रिप्शन। आप हैंडबुक में जेली के बारे में अधिक पढ़ सकते हैं।

नोट:

इस योजना का उपयोग करते समय, आपको यह सुनिश्चित करना होगा कि सर्वर तक कंसोल पहुंच है। दूरस्थ सर्वर के मामले में, केवीएम या इसके समकक्ष होना चाहिए। यह इस तथ्य के कारण है कि बूट में सिस्टम एन्क्रिप्टेड विभाजन के लिए पासवर्ड मांगेगा!

सिस्टम की तैयारी और स्थापना

पहले हमें एक ऑपरेटिंग सिस्टम छवि की आवश्यकता है (मैंने FreeBSD 9.1 x64 छवि का उपयोग किया है)। हम बूट करते हैं और स्थापना शुरू करते हैं।

FreeBSD 9 से शुरू होकर, परिचित sysinstall को bsdinstall से बदल दिया गया है। यह तथ्य डिस्क एन्क्रिप्शन के साथ इंस्टॉलेशन को थोड़ा आसान बनाता है, मुख्यतः क्योंकि लोड किए गए वातावरण को सिस्टम के पिछले संस्करणों की तुलना में उपयोग करना आसान है, उदाहरण के लिए, आवश्यक कर्नेल मॉड्यूल स्वचालित रूप से लोड किए जाते हैं।

• "स्वागत" मेनू में, "इंस्टॉल करें" चुनें
• कीबोर्ड लेआउट चुनना
• होस्ट नाम निर्दिष्ट करें
• हम आवश्यक सिस्टम घटकों का चयन करते हैं। (मैं स्रोत कोड जोड़ता हूं, इस तथ्य के कारण कि वैसे भी, आपको कर्नेल को फिर से बनाने की आवश्यकता है)
• अगला, "विभाजन" मेनू में, "शेल" चुनें

डिस्क विभाजन

डिस्क जिसका उपयोग हम 'da0' सिस्टम को स्थापित करने के लिए करते हैं। हम GPT मार्कअप का उपयोग करेंगे।

कर्नेल मॉड्यूल उस समय स्वचालित रूप से लोड होते हैं जब हमें उनकी आवश्यकता होती है, इसलिए हम जेली मॉड्यूल को लोड करना छोड़ सकते हैं और तुरंत डिस्क को विभाजित करने और क्रिप्टो विभाजन बनाने के लिए आगे बढ़ सकते हैं। यहाँ हमें क्या करना है:

1. GPT विभाजन योजना बनाएँ
2. बूट ब्लॉक बनाएं
3. बूट विभाजन बनाएँ और प्रारूपित करें
4. एक स्वैप विभाजन बनाएँ (यदि आवश्यक हो), और हाँ, यह भी एन्क्रिप्ट किया जाएगा
5. मुख्य एन्क्रिप्टेड विभाजन को बनाएँ और आरंभ करें
6. एन्क्रिप्टेड विभाजन प्रारूपित करें
7. माउंट फ़ाइल सिस्टम / mnt में
8. स्थापना जारी रखें

1. बूट ब्लॉक बनाना

सबसे पहले, सभी विभाजन हटाएं और एक GPT विभाजन योजना बनाएँ:

# gpart destroy -F da0 # gpart create -s gpt da0 

2. बूट ब्लॉक बनाएं

हम "freebsd-boot" प्रकार और 64K के आकार के साथ एक विभाजन बनाते हैं और बूटलोडर स्थापित करते हैं।

यह महत्वपूर्ण है:

वर्तमान में यह खंड 512K से बड़ा नहीं होना चाहिए। यह लोडर कोड प्रतिबंधों के कारण है।

 # gpart add -t freebsd-boot -s 64k –l gpboot da0 # gpart bootcode -b /boot/pmbr -p /boot/gptboot -i 1 da0 

3. बूट पार्टीशन बनाएं और फॉर्मेट करें

बूट लेबल के साथ 1 गीगाबाइट बूट विभाजन

 # gpart add -t freebsd-ufs -s 1g -l boot da0 

विभाजन पर एक फ़ाइल सिस्टम बनाएँ। -U ध्वज विभाजन पर सॉफ्ट-अपडेट को सक्षम करता है। सॉफ्ट-अपडेट का उपयोग करें या नहीं, आप तय करें। के लिए और खिलाफ तर्क हैं।

 # newfs -U gpt/boot 

4. एक स्वैप विभाजन बनाना

एक 4 गीगाबाइट विभाजन बनाएँ

 # gpart add -t freebsd-swap -l swap –s 4g da0 

5. एक एन्क्रिप्टेड वॉल्यूम बनाना और शुरू करना

बाकी जगह के लिए, मुख्य अनुभाग बनाएं

 # gpart add -t freebsd-ufs -l enc da0 

नोट: यह ufs टॉम नहीं है, यह geli tom है

गैली टॉम को इनिशियलाइज़ करें

 # geli init -b gpt/enc 

Geli सेक्शन एक्सेस करने के लिए पासवर्ड मांगेगा

हम एन्क्रिप्टेड सेक्शन को कनेक्ट करते हैं

 # geli attach gpt/enc 

6. एन्क्रिप्टेड वॉल्यूम को प्रारूपित करें

 # newfs -U gpt/enc.eli 

ध्यान दें, यहाँ हम '.eli' का संकेत देते हैं!

7. माउंट फ़ाइल सिस्टम / mnt में

एक एन्क्रिप्टेड वॉल्यूम माउंट करें

 # mount /dev/gpt/enc.eli /mnt 

चूंकि हमारे पास एक अलग बूट पार्टीशन है, इसलिए हमें इंस्टालेशन के दौरान अपने बूट पार्टिशन में / boot डायरेक्टरी को लिखना होगा

 # mkdir /mnt/boot2 # mount /dev/gpt/boot /mnt/boot2 # mkdir /mnt/boot2/boot # cd /mnt # ln -s boot2/boot boot 

हम एक संभावित वसूली के लिए जेली सेवा जानकारी की एक प्रति बनाते हैं। जब हम उन्हें एक विशेष रूप से बनाए गए फ़ोल्डर में रखते हैं, और सिस्टम को स्थापित करने के बाद, इन फ़ाइलों को बाहरी मीडिया में स्थानांतरित करने की सिफारिश की जाती है।

 # mkdir gelibackups # cp /var/backups/* gelibackups 

8. स्थापना जारी रखें

 # exit 

उसके बाद, सिस्टम इंस्टॉलेशन प्रक्रिया शुरू हो जाएगी। एक कप कॉफी, चाय या अन्य पेय पीने का समय।

स्थापना के बाद, हमें रूट पासवर्ड दर्ज करने, नेटवर्क कॉन्फ़िगर करने, उपयोगकर्ता बनाने के लिए कहा जाएगा।

जब आप स्क्रीन पर "मैनुअल कॉन्फ़िगरेशन" देखते हैं, जहां आपको नए इंस्टॉल किए गए सिस्टम में परिवर्तन करने के लिए "शेल" खोलने के लिए प्रेरित किया जाएगा। हम सहमत हैं। यह क्रिया हमें हमारे स्थापित सिस्टम के चेरोट कंसोल के साथ प्रदान करेगी।

विन्यास फाइल

जिन फ़ाइलों को हमें संपादित करने की आवश्यकता है वे हैं fstab (5), लोडर.कॉन्फ़ (5) और आर.कॉनफ (5)।

loader.conf

 # vi /boot/loader.conf 

निम्नलिखित पंक्तियाँ जोड़ें:

 geom_eli_load="YES" vfs.root.mountfrom="ufs:/dev/da0p4.eli" 

नोट:

यदि आपने स्वैप विभाजन नहीं बनाया है, तो एन्क्रिप्ट किया गया वॉल्यूम संभवतः ad0p3.eli होगा। आपको उद्धरण चिह्नों में दूसरी पंक्ति में GPT अनुभाग के लिए पथ को भी संलग्न करना चाहिए, यदि ऐसा नहीं किया जाता है, तो फ़ाइल को सिस्टम द्वारा सही तरीके से संसाधित नहीं किया जाएगा।

fstab

 # vi /etc/fstab 

निम्नलिखित पंक्तियाँ जोड़ें:

 /dev/gpt/enc.eli / ufs rw,noatime 1 1 /dev/gpt/boot /boot2 ufs rw,noatime 1 1 /dev/gpt/swap.eli none swap sw 0 0 

rc.conf

 # vi /etc/rc.conf 

स्वैप विभाजन को एन्क्रिप्ट करने के लिए, हैंडबुक से निम्न पंक्ति जोड़ें:

 geli_swap_flags="-e blowfish -l 128 -s 4096 -d" 

यह सेटअप पूरा करता है।
कंसोल में, टाइप करें:

 # exit 

और "रिबूट" चुनें।

लक्ष्य प्राप्त होता है। हमें एक पूरी तरह से एन्क्रिप्ट की गई डिस्क जानकारी मिली है जिसमें से आप पासवर्ड को जाने बिना नहीं पा सकते हैं।
अब, जब सिस्टम बूट होता है, तो कंसोल आपको एन्क्रिप्टेड विभाजन के लिए एक पासवर्ड दर्ज करने के लिए संकेत देगा। हमारे मामले में, यह रूट विभाजन है।

लेख लिखते समय, निम्नलिखित संसाधनों का उपयोग किया गया था:
नि: शुल्क हैंडबुक
एन्क्रिप्टेड रूट fs (सभी ufs) के साथ FreeBSD 9.0 स्थापित करना
FreeBSD पर डिस्क सेटअप