Bagaimana seharusnya seseorang mengatur enkripsi disk penuh pada OpenBSD?

Apakah ada metode yang disukai untuk mengatur enkripsi disk penuh di bawah OpenBSD, mirip dengan dm-cryptdi Linux?

Saya sedang mencari enkripsi disk penuh, seolah-olah seseorang mencuri notebook saya, mereka berpotensi mengakses data yang tersimpan di dalamnya. Alasan lain adalah saya tidak selalu berada di samping notebook saya, sehingga seseorang berpotensi membahayakan integritas netbook saya. Ini adalah dua masalah utama yang membuat saya percaya bahwa enkripsi full-disk penting bagi saya.

OpenBSD mendukung enkripsi disk penuh hanya sejak OpenBSD 5.3 . Versi sebelumnya membutuhkan partisi boot cleartext. Saya tidak tahu kapan installer dimodifikasi untuk mendukung instalasi langsung ke partisi terenkripsi (dengan bootloader masih belum terenkripsi tentu saja, karena sesuatu harus mendekripsi bit berikutnya).

Ada sedikit gunanya mengenkripsi partisi sistem¹. Jadi saya sarankan menginstal sistem secara normal, kemudian membuat gambar filesystem terenkripsi dan meletakkan data sensitif Anda ( /home, bagian dari /var, mungkin beberapa file di /etc) di sana.

Jika Anda tetap ingin mengenkripsi partisi sistem (karena Anda memiliki beberapa kasus penggunaan khusus, seperti beberapa perangkat lunak rahasia), dan Anda tidak menginstal sistem terenkripsi pada awalnya, inilah cara Anda dapat melakukannya.

Boot ke instalasi OpenBSD Anda dan buat file yang akan berisi gambar sistem file terenkripsi. Pastikan untuk memilih ukuran yang masuk akal karena akan sulit untuk mengubah nanti (Anda dapat membuat gambar tambahan, tetapi Anda harus memasukkan frasa sandi secara terpisah untuk setiap gambar). The vnconfighalaman manual memiliki contoh (meskipun mereka hilang beberapa langkah). Pendeknya:

dd if=/dev/urandom of=/ENCRYPTED.img bs=1m count=4096
vnconfig -k svnd0 /ENCRYPTED.img  # type your passphrase
{ echo a a; echo w; echo q; } | disklabel -E /svnd0  # create a single slice
newfs /dev/svnd0a
mount /dev/svnd0a /mnt
mv /home/* /mnt
umount /mnt
umount /dev/svnd0c

Tambahkan entri yang sesuai ke /etc/fstab:

 /ENCRYPTED.img  /dev/svnd0c  vnd rw,noauto,-k
 /dev/svnd0a     /home        ffs rw,noauto

Tambahkan perintah untuk memasang volume terenkripsi dan sistem file di dalamnya pada saat boot ke /etc/rc.local:

echo "Mounting encrypted volumes:"
mount /dev/svnd0c
fsck -p /dev/svnd0a
mount /home

Periksa apakah semuanya berfungsi dengan benar dengan menjalankan perintah ini ( mount /dev/svnd0c && mount /home).

Catatan yang rc.localdieksekusi terlambat dalam proses boot, jadi Anda tidak bisa meletakkan file yang digunakan oleh layanan standar seperti ssh atau sendmail pada volume terenkripsi. Jika Anda ingin melakukannya, masukkan perintah-perintah ini /etc/rcsebagai gantinya, tepat setelahnya mount -a. Kemudian pindahkan bagian-bagian sistem file yang Anda anggap sensitif dan pindahkan ke /homevolume.

mkdir /home/etc /home/var
mv /etc/ssh /home/etc
ln -s ../home/etc/ssh /home/etc
mv /var/mail /var/spool /home/var
ln -s ../home/var/mail ../home/var/spool /var

Anda harus mengenkripsi swap Anda juga, tetapi OpenBSD melakukannya secara otomatis saat ini.

Cara yang lebih baru untuk mendapatkan filesystem terenkripsi adalah melalui driver raid perangkat lunak softraid . Lihat halaman manual softraiddan bioctlatau OpenBD terenkripsi Lykle de Vries NAS HOWTO untuk informasi lebih lanjut. Versi terbaru dari OpenBSD mendukung boot dari volume softraid dan menginstal ke volume softraid dengan menjatuhkan ke shell selama instalasi untuk membuat volume.

¹ _{Sejauh yang saya tahu, enkripsi volume OpenBSD dilindungi untuk kerahasiaan (dengan Blowfish), bukan untuk integritas . Melindungi integritas OS adalah penting, tetapi tidak perlu untuk kerahasiaan. Ada beberapa cara untuk melindungi integritas OS juga, tetapi mereka berada di luar cakupan jawaban ini.}

Ketakutan dengan disiplin CRYPTO dimaksudkan oleh perancang OBSD untuk mendukung enkripsi disk penuh. Ada metode lain juga dengan SVND yang sekarang sudah usang.

http://geekyschmidt.com/2011/01/19/configuring-openbsd-softraid-fo-encryption pada dasarnya adalah cara grafis dari enkripsi cakram penuh softraid. Tentu saja tidak pernah mengikuti panduan secara membabi buta dan memastikan semua pengaturan bioctl sudah benar.