12.13 Шифрование дисковых разделов

Получите права пользователя root

Настройка gbde требует права доступа администратора системы.

% su -
	    Password:

Проверьте номер версии операционной системы

Для работы gbde(4) требуется FreeBSD 5.0 и выше.

# uname -r
	    5.0-RELEASE

Включите поддержку gbde(4) в конфигурационный файл ядра

При помощи вашего любимого текстового редактора добавьте следующую строку в файл конфигурации вашего ядра:

options GEOM_BDE

Выполните конфигурацию, компиляцию и установку нового ядра FreeBSD. Этот процесс описан в Chapter 9.

Перезагрузитесь, запустив новое ядро.

Подключите новый жёсткий диск

Установите новый диск в систему, как это описано в Section 12.3. В рамках этого примера раздел, соответствующий новому жёсткому диску, будет называться /dev/ad4s1c. Устройства /dev/ad0s1* представляют существующие стандартные разделы FreeBSD нашей тестовой системы.

# ls /dev/ad*
	    /dev/ad0        /dev/ad0s1b     /dev/ad0s1e     /dev/ad4s1
	    /dev/ad0s1      /dev/ad0s1c     /dev/ad0s1f     /dev/ad4s1c
	    /dev/ad0s1a     /dev/ad0s1d     /dev/ad4

Создайте каталог для размещения файлов блокировок GBDE

# mkdir /etc/gbde

Файл блокировки gbde содержит информацию, которая нужна gbde для доступа к зашифрованному разделу. Не имея доступа к файлу блокировки, gbde не сможет расшифровать данные, хранимые в зашифрованном разделе, без значительного ручного вмешательства, что программно не поддерживается. Каждый зашифрованный раздел использует отдельный файл блокировки.

Инициализируйте раздел gbde

Перед началом работы с разделом gbde его необходимо проинициализировать. Эта инициализация производится только один раз:

# gbde init /dev/ad4s1c -i -L /etc/gbde/ad4s1c

gbde(8) запустит редактор, что позволит вам задать в шаблоне различные конфигурационные параметры. При работе с файловыми системами UFS1 и UFS2 задайте значение sector_size равным 2048:

$FreeBSD: src/sbin/gbde/template.txt,v 1.1 2002/10/20 11:16:13 phk Exp $
	    #
	    # Sector size is the smallest unit of data which can be read or written.
	    # Making it too small decreases performance and decreases available space.
	    # Making it too large may prevent filesystems from working.  512 is the
	    # minimum and always safe.  For UFS, use the fragment size
	    #
	    sector_size     =       2048
	    [...]

gbde(8) дважды запросит ввод пароля, который будет использоваться для защиты данных. Пароль в обоих случаях должен вводиться одинаковый. Возможности gbde по защите ваших данных полностью зависят от качества выбранной вами ключевой фразы. [1]

По команде gbde init создаётся файл блокировок для вашего раздела gbde, который в нашем случае будет иметь имя /etc/gbde/ad4s1c.

Подключите зашифрованный раздел к системе

# gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c

Будет выдан запрос на ввод ключевой фразы, которую вы выбирали во время инициализации зашифрованного раздела. Новое защищённое устройство будет видно в каталоге /dev под названием /dev/device_name.bde:

# ls /dev/ad*
	    /dev/ad0        /dev/ad0s1b     /dev/ad0s1e     /dev/ad4s1
	    /dev/ad0s1      /dev/ad0s1c     /dev/ad0s1f     /dev/ad4s1c
	    /dev/ad0s1a     /dev/ad0s1d     /dev/ad4        /dev/ad4s1c.bde

Создайте файловую систему на зашифрованном устройстве

Как только защищённое устройство будет подключено к системе, вы сможете создать на нём файловую систему. Для этого используется утилита newfs(8). Так как инициализация новой файловой системы UFS2 происходит быстрее, чем инициализация файловой системы старого формата UFS1, то рекомендуется использовать newfs(8) с параметром -O2.

# newfs -U -O2 /dev/ad4s1c.bde

Смонтируйте зашифрованный раздел

Создайте точку монтирования для зашифрованной файловой системы.

# mkdir /private

Смонтируйте защищённую файловую систему.

# mount /dev/ad4s1c.bde /private

Проверьте доступность зашифрованной файловой системы

Защищённая файловая система теперь должна быть доступна утилите df(1) и доступной для использования.

% df -H
	    Filesystem        Size   Used  Avail Capacity  Mounted on
	    /dev/ad0s1a      1037M    72M   883M     8%    
	    /devfs            1.0K   1.0K     0B   100%    /dev 
	    /dev/ad0s1f       8.1G    55K   7.5G     0%    /home 
	    /dev/ad0s1e      1037M   1.1M   953M     0%    /tmp 
	    /dev/ad0s1d       6.1G   1.9G   3.7G    35%    /usr 
	    /dev/ad4s1c.bde   150G   4.1K   138G     0%    /private

Подключение gbde-раздела к системе

# gbde attach /dev/ad4s1c -l /etc/gbde/ad4s1c

Будет выдан запрос на ввод ключевой фразы, выбранной на этапе инициализации зашифрованного раздела gbde.

Проверка файловой системы на наличие ошибок

Так как защищаемая файловая система не может пока быть указана в файле /etc/fstab для автоматического монтирования, то она должны проверяться на наличие ошибок посредством ручного запуска fsck(8) до её монтирования.

# fsck -p -t ffs /dev/ad4s1c.bde

Монтирование зашифрованной файловой системы

# mount /dev/ad4s1c.bde /private

Теперь защищённая файловая система доступна для работы.