システム暗号化の解除 - 版の履歴

Kusanaginoturugi: Kusanaginoturugi がページ「システム暗号化の削除」を「システム暗号化の解除」に移動しました: 削除より解除の方が表現が適切

2024-06-27T14:16:20Z

Kusanaginoturugi がページ「システム暗号化の削除」を「システム暗号化の解除」に移動しました: 削除より解除の方が表現が適切

← 古い版	2024年6月27日 (木) 23:16時点における版
(相違点なし)

Kusanaginoturugi: add TranslationStatus.

2024-06-27T14:14:36Z

add TranslationStatus.

← 古い版		2024年6月27日 (木) 23:14時点における版
173行目:		173行目:

	システムにブートして、{{ic\|/etc/crypttab}}, {{ic\|/etc/mkinitcpio.conf}}, {{ic\|/etc/fstab}}, および場合によっては {{ic\|/boot/grub/menu.lst}} を編集する必要があります。		システムにブートして、{{ic\|/etc/crypttab}}, {{ic\|/etc/mkinitcpio.conf}}, {{ic\|/etc/fstab}}, および場合によっては {{ic\|/boot/grub/menu.lst}} を編集する必要があります。

			{{TranslationStatus\|Removing system encryption\|2024-06-27\|801297}}

Kusanaginoturugi: /* バックアップスペースのマウント */ 不要箇所を削除

2024-06-27T14:12:51Z

バックアップスペースのマウント: 不要箇所を削除

← 古い版		2024年6月27日 (木) 23:12時点における版
141行目:		141行目:

	または、バックアップをリモートシステムに保存するために netcat を使用します。		または、バックアップをリモートシステムに保存するために netcat を使用します。

	{{Expansion\|netcat の指示を追加してください。}}

	=== データのバックアップ ===		=== データのバックアップ ===

Kusanaginoturugi: /* Removing LUKS via Backup-Format-Restore */ 飜訳

2024-06-27T14:12:07Z

Removing LUKS via Backup-Format-Restore: 飜訳

差分を表示

Kusanaginoturugi: /* Cleaning up system files */ 飜訳

2024-06-27T14:07:15Z

Cleaning up system files: 飜訳

← 古い版		2024年6月27日 (木) 23:07時点における版
52行目:		52行目:
	{{Note\|移行されたヘッダーを使用して中断された LUKS2 復号化デバイスは、cryptsetup バージョン < 2.5.0 では再開できません}}		{{Note\|移行されたヘッダーを使用して中断された LUKS2 復号化デバイスは、cryptsetup バージョン < 2.5.0 では再開できません}}

			=== システムファイルのクリーニング ===
	=== Cleaning up system files ===

			復号化によりデバイス名や UUID が変更される可能性があり、関連する設定ファイルを更新する必要があります。更新が必要なファイルとしては、{{ic\|/etc/crypttab}}, {{ic\|/etc/fstab}}, および、最近復号化されたデバイスがカーネルコマンドライン上に表示された場合は、ブートローダーの設定（例：{{ic\|/etc/default/grub}}）があります。後者を編集する場合は、[[GRUB]]に記載されている通りに grub 設定を再生成することを忘れないでください。
	Device names and UUIDs may change due to decryption, and you will likely need to update relevant configuration files. The files most likely to need updating are {{ic\|/etc/crypttab}}, {{ic\|/etc/fstab}} and, if your recently decrypted device appeared on the kernel command line, your bootloader's configuration (e.g, {{ic\|/etc/default/grub}}). If you edit the latter, remember to regenerate the grub configuration as described in [[GRUB]].

	== Removing LUKS via Backup-Format-Restore ==		== Removing LUKS via Backup-Format-Restore ==

Kusanaginoturugi: /* Decrypting LUKS2 devices in-place */ 飜訳

2024-06-27T14:06:50Z

Decrypting LUKS2 devices in-place: 飜訳

← 古い版		2024年6月27日 (木) 23:06時点における版
34行目:		34行目:
	自動的に LUKS1 ヘッダーバージョンを識別し、開いているデバイスの場合は進行しません。プロセスには時間がかかることがありますが、進行状況のメーターが表示されます。問題が発生しなければ、デバイス上のファイルシステムを直接マウントできます。		自動的に LUKS1 ヘッダーバージョンを識別し、開いているデバイスの場合は進行しません。プロセスには時間がかかることがありますが、進行状況のメーターが表示されます。問題が発生しなければ、デバイス上のファイルシステムを直接マウントできます。

	=== ~~Decrypting~~ LUKS2 ~~devices in-place~~ ===		=== LUKS2 デバイスのインプレース復号化 ===

			復号化は、{{ic\|cryptsetup}} コマンドを使用して、オフラインまたはオンラインモードのいずれかで行うことができます。{{ic\|cryptsetup}} バージョン 2.5.0 (2022) から、LUKS2 は LUKS2 ヘッダーを別のファイルに移行することによって復号化をサポートしています。
	Decryption can be done in either offline or online mode, using the {{ic\|cryptsetup}} command. Since {{ic\|cryptsetup}} version 2.5.0 (2022) LUKS2 supports decryption by migrating LUKS2 header in a separate file.

			復号化の初期段階で、LUKS2 ヘッダーが移行される {{ic\|''new_file''}} は存在してはいけません。
	The {{ic\|''new_file''}} to which the LUKS2 header will be migrated must not exist in the initialization phase of the decryption.

	{{bc\|# cryptsetup reencrypt --decrypt --header ''new_file'' ''device_path''}}		{{bc\|# cryptsetup reencrypt --decrypt --header ''new_file'' ''device_path''}}

			{{Warning\|エクスポートされたヘッダーは、インプレース復号化されるデバイスがホストするファイルシステムの外に配置する必要があります。そうでないとデッドロックが発生するか、復号化プロセスが中断された場合に再開することができません。}}
	{{Warning\|The exported header must be placed outside the filesystem hosted on the device that will be in-place decrypted. Otherwise deadlock can occur or in case the decryption process is interrupted it will not be possible to resume it.}}

			LUKS2 のインプレース復号化が中断された場合は、次のコマンドを発行するだけです：
	To resume interrupted LUKS2 in-place decryption just issue following command:

	# cryptsetup reencrypt --decrypt --resume-only --header ''migrated_header_file'' ''device_path''		# cryptsetup reencrypt --decrypt --resume-only --header ''migrated_header_file'' ''device_path''

			オンライン復号化が成功し、アクティブデバイス上で完了した場合、マップされたデバイスは遅延で非アクティブ化され、使用しなくなったときに自動的に線形マッピングが解除されます。その後、元の {{ic\|''device_path''}} をデバイスマッパーマッピングなしで使用できます。
	If the decryption was successfully finished on active device (online decryption), the mapped device will be lazy deactivated so that linear mapping is automatically removed when no longer used. Later the original {{ic\|''device_path''}} can be used without device mapper mapping.

			{{Note\|移行されたヘッダーを使用して中断された LUKS2 復号化デバイスは、cryptsetup バージョン < 2.5.0 では再開できません}}
	{{Note\|Device with interrupted LUKS2 decryption using migrated header to a file can not be resumed with cryptsetup version < 2.5.0}}

	=== Cleaning up system files ===		=== Cleaning up system files ===

Kusanaginoturugi: /* Decrypting LUKS1 devices in-place */ 飜訳

2024-06-27T14:05:44Z

Decrypting LUKS1 devices in-place: 飜訳

← 古い版		2024年6月27日 (木) 23:05時点における版
20行目:		20行目:
	{{Warning\|以下の手順は本質的にリスキーであり、大規模なデータ損失を引き起こす可能性があります。復号化中の事故からデータを保護するために、常にドライブと LUKS ヘッダのバックアップを行ってください。}}		{{Warning\|以下の手順は本質的にリスキーであり、大規模なデータ損失を引き起こす可能性があります。復号化中の事故からデータを保護するために、常にドライブと LUKS ヘッダのバックアップを行ってください。}}

	=== ~~Decrypting~~ LUKS1 ~~devices in-place~~ ===		=== LUKS1 デバイスのインプレース復号化 ===

			LUKS1 デバイスの復号化はオフラインモードで行われます。つまり、開いてマウントしてはいけません。システムドライブを復号化したい場合は、[[USB インストールメディア\|USB ライブ環境]]で再起動してください。それ以外の場合は、{{ic\|unmount}} に続いて {{ic\|cryptsetup close ''dm-name''}} を使用してください。
	The decryption of a LUKS1 device is done in offline mode, i.e. it must not opened and mounted. If you want to decrypt the system drive, reboot into a [[USB flash installation medium\|USB live environment]]. Otherwise, use {{ic\|unmount}} followed by {{ic\|cryptsetup close ''dm-name''}}.

			まず、{{ic\|blkid}} または {{ic\|lsblk}} を使用して ''device_path'' を特定します。
	To start, identify the ''device_path'' using {{ic\|blkid}} or {{ic\|lsblk}}.

			次に、以下のコマンドで復号化を実行します：
	Next, the following command performs the decryption:

	{{bc\|# cryptsetup reencrypt --decrypt ''device_path''		{{bc\|# cryptsetup reencrypt --decrypt ''device_path''
	Enter any existing passphrase:		Enter any existing passphrase:
	Finished, time 02m05s, 19 GiB written, speed 162,6 MiB/s}}		Finished, time 02m05s, 19 GiB written, speed 162.6 MiB/s}}

			自動的に LUKS1 ヘッダーバージョンを識別し、開いているデバイスの場合は進行しません。プロセスには時間がかかることがありますが、進行状況のメーターが表示されます。問題が発生しなければ、デバイス上のファイルシステムを直接マウントできます。
	It will automatically identify the LUKS1 header version and not proceed for an opened device. The process might take a while, but give a progress meter. If no problems occur, the filesystem on the device can immediately be mounted directly.

	=== Decrypting LUKS2 devices in-place ===		=== Decrypting LUKS2 devices in-place ===

Kusanaginoturugi: /* 概要 */ 飜訳

2024-06-27T13:51:53Z

概要: 飜訳

← 古い版		2024年6月27日 (木) 22:51時点における版
10行目:		10行目:
	=== 概要 ===		=== 概要 ===

			データをバックアップして、再フォーマットされたデバイスに復元するほど安全ではありませんが、cryptsetup はデバイスから LUKS 暗号化をインプレースで永久に解除することを可能にします。例えば、LUKS 暗号化されたパーティションの中に ext4 ファイルシステムが存在する場合、インプレース復号化を行うと LUKS シグネチャが削除され、パーティション上に直接 ext4 ファイルシステムが配置され、直接マウントできるようになります。何も問題が発生しなければ、ファイルシステム内のファイルはそのまま維持されます。cryptsetup のドキュメントで使用されている用語は「復号化」とされています。
	Although not as safe as backing up your data and restoring it on to a reformatted device,
	cryptsetup does allow the user to permanently remove the LUKS encryption from a device in-place. For example, if you have an ext4 filesystem living inside a LUKS-encrypted partition,
	performing in-place decryption will remove the LUKS signature, and place the ext4 filesystem
	directly on the partition, so that you can mount it directly. Unless something goes wrong,
	the files in the filesystem will remain intact. The terms used by cryptsetup's documentation for this is "decryption."

	~~See the~~ {{man\|8\|cryptsetup-reencrypt}} ~~manual for the~~ {{ic\|--decrypt}} ~~option.~~		{{man\|8\|cryptsetup-reencrypt}} マニュアルを参照して、{{ic\|--decrypt}} オプションについて確認してください。

			LUKS1 デバイスの非破壊オフライン復号化は、2012年にリリースされた {{ic\|cryptsetup}} バージョン 1.5.0 から利用可能になりました。LUKS1の復号化はオフラインモードでのみサポートされています。
	Support for non-destructive offline decryption of LUKS1 devices has been available starting with {{ic\|cryptsetup}} version 1.5.0, which was released in 2012. LUKS1 decryption is only supported for offline mode decryption.

			LUKS2 デバイスの場合、オフラインおよびオンライン（アンマウント不要）の復号化がサポートされています。
	For LUKS2 devices, both offline and online (i.e. unmount not required) decryption are supported.

			{{Warning\|以下の手順は本質的にリスキーであり、大規模なデータ損失を引き起こす可能性があります。復号化中の事故からデータを保護するために、常にドライブと LUKS ヘッダのバックアップを行ってください。}}
	{{Warning\|The procedures which follow are inherently risky and may cause catastrophic data loss. You should always backup your drive and LUKS header before proceeding, to protect your data from accidents during decryption.}}

	=== Decrypting LUKS1 devices in-place ===		=== Decrypting LUKS1 devices in-place ===

Kusanaginoturugi: 英語版より新規作成

2024-06-27T13:50:27Z

英語版より新規作成

新規ページ

[[Category:保存データ暗号化]]
[[en:Removing system encryption]]
[[es:Removing system encryption]]
{{Style|written in first person, other style issues.}}

[[dm-crypt|dm-crypt と LUKS]]を使用してシステム暗号化を解除します。

== LUKS暗号化のインプレース解除 ==

=== 概要 ===

Although not as safe as backing up your data and restoring it on to a reformatted device,
cryptsetup does allow the user to permanently remove the LUKS encryption from a device in-place. For example, if you have an ext4 filesystem living inside a LUKS-encrypted partition,
performing in-place decryption will remove the LUKS signature, and place the ext4 filesystem
directly on the partition, so that you can mount it directly. Unless something goes wrong,
the files in the filesystem will remain intact. The terms used by cryptsetup's documentation for this is "decryption."

See the {{man|8|cryptsetup-reencrypt}} manual for the {{ic|--decrypt}} option.

Support for non-destructive offline decryption of LUKS1 devices has been available starting with {{ic|cryptsetup}} version 1.5.0, which was released in 2012. LUKS1 decryption is only supported for offline mode decryption.

For LUKS2 devices, both offline and online (i.e. unmount not required) decryption are supported.

{{Warning|The procedures which follow are inherently risky and may cause catastrophic data loss. You should always backup your drive and LUKS header before proceeding, to protect your data from accidents during decryption.}}

=== Decrypting LUKS1 devices in-place ===

The decryption of a LUKS1 device is done in offline mode, i.e. it must not opened and mounted. If you want to decrypt the system drive, reboot into a [[USB flash installation medium|USB live environment]]. Otherwise, use {{ic|unmount}} followed by {{ic|cryptsetup close ''dm-name''}}.

To start, identify the ''device_path'' using {{ic|blkid}} or {{ic|lsblk}}.

Next, the following command performs the decryption:

{{bc|# cryptsetup reencrypt --decrypt ''device_path''
Enter any existing passphrase:
Finished, time 02m05s, 19 GiB written, speed 162,6 MiB/s}}

It will automatically identify the LUKS1 header version and not proceed for an opened device. The process might take a while, but give a progress meter. If no problems occur, the filesystem on the device can immediately be mounted directly.

=== Decrypting LUKS2 devices in-place ===

Decryption can be done in either offline or online mode, using the {{ic|cryptsetup}} command. Since {{ic|cryptsetup}} version 2.5.0 (2022) LUKS2 supports decryption by migrating LUKS2 header in a separate file.

The {{ic|''new_file''}} to which the LUKS2 header will be migrated must not exist in the initialization phase of the decryption.

{{bc|# cryptsetup reencrypt --decrypt --header ''new_file'' ''device_path''}}

{{Warning|The exported header must be placed outside the filesystem hosted on the device that will be in-place decrypted. Otherwise deadlock can occur or in case the decryption process is interrupted it will not be possible to resume it.}}

To resume interrupted LUKS2 in-place decryption just issue following command:

# cryptsetup reencrypt --decrypt --resume-only --header ''migrated_header_file'' ''device_path''

If the decryption was successfully finished on active device (online decryption), the mapped device will be lazy deactivated so that linear mapping is automatically removed when no longer used. Later the original {{ic|''device_path''}} can be used without device mapper mapping.

{{Note|Device with interrupted LUKS2 decryption using migrated header to a file can not be resumed with cryptsetup version < 2.5.0}}

=== Cleaning up system files ===

Device names and UUIDs may change due to decryption, and you will likely need to update relevant configuration files. The files most likely to need updating are {{ic|/etc/crypttab}}, {{ic|/etc/fstab}} and, if your recently decrypted device appeared on the kernel command line, your bootloader's configuration (e.g, {{ic|/etc/default/grub}}). If you edit the latter, remember to regenerate the grub configuration as described in [[GRUB]].

== Removing LUKS via Backup-Format-Restore ==

=== Prerequisites ===

*An encrypted root filesystem you wish to decrypt.
*Enough drive space to store a backup.
*An Arch Linux (or other) live CD/USB.
*A few hours.

=== Boot into a live environment ===

Download and burn the latest Arch ISO to a CD or USB, reboot the system, and boot to cd.

=== Activate partitions ===

{{Style|Hard to read, written like a blog post, misses some prompts.}}

==== Note about different setups ====

An example setup is shown here:

{| class="wikitable"
|+ Disk
| {{Grey|NTFS}}
| colspan="2" {{C|myvg(lvm)}}
| {{Y|NTFS}}
|-
| rowspan="3" {{Grey|Other OS}}
| {{C|cryptswap(lv)}}
| {{G|cryptroot(lv)}}
| rowspan="3" {{Y|Shared}}
|-
| {{C|luks}}
| {{G|luks}}
|-
| {{C|swap}}
| {{G|root(xfs)}}
|}

The grey partition is a frame of reference and can be ignored.
The yellow partition will be used as storage space and may be changed at will.
The green partitions will be modified. Bold text must match your system's setup.

In the example system:
'''myvg''' contains lvs called '''cryptroot''' and '''cryptswap'''. They are located at {{ic|/dev/myvg/cryptroot}} and {{ic|/dev/myvg/cryptswap}}. Upon boot, LUKS is used along with a few crypttab entries to create {{ic|/dev/mapper/root}} and {{ic|/dev/mapper/swap}}.

Swap will not be unencrypted as part of this guide, as undoing the swap encryption does not require any complex backup or restoration.

The example system is not indicative of all systems. Different filesystems require different tools to effectively backup and restore their data. LVM can be ignored if not used.

{{Note|XFS requires ''xfs_copy'' to ensure an effective backup and restore, ''dd'' is insufficient. ''dd'' may be used with ext2, 3 and 4.}}

{{Expansion|What of jfs, reiserfs and reiser4fs?}}

==== Once partitions are located ====

Load necessary modules. For device mapper/LVM:

# modprobe dm-mod

For LUKS:

# modprobe dm-crypt

Scan for physical, volume and logical volumes:

# pvscan; vgscan; lvscan

Activate the LVM volume group:

# lvchange -ay '''myvg/cryptroot'''

Open the encrypted filesystem with LUKS so that it can be read:

# cryptsetup luksOpen '''/dev/myvg/cryptroot''' root

Enter password.

{{Note|The only partition that will be operated on that should be mounted at this point is the backup partition. If a partition other than the backup partition is already mounted, it can be safely umounted it now.}}

===== Mounting backup space =====

Only if using NTFS to store the backup, install {{Pkg|ntfs-3g}}.

The next step is important for backup storage.

# mount -t ntfs-3g -o rw /dev/sd''XY'' ''/mount/point/''

or use netcat to store the backup on a remote system.

{{Expansion|Add netcat instructions.}}

=== Backup data ===

Using ''xfs_copy'':

# xfs_copy -db '''/dev/mapper/root''' ''/mount/point/backup_root.img''

{{Note|The {{ic|-d}} flag preserves UUIDs and {{ic|-b}} ensures direct IO is not attempted to any of the target files.}}

Using ''dd'':

# dd if='''/dev/mapper/root''' of=''/mount/point/backup_root.img''

=== Undo encryption ===

This is the point of no return. Make sure that you are ready for this step. If you plan to undo this later, you will have to start almost from scratch.

# cryptsetup luksClose root
# lvm lvremove '''myvg/cryptroot'''

=== Restore data ===

We have to create a new logical volume to house our root filesystem, then we restore our filesystem.

# lvm lvcreate '''-l 100%FREE -n root myvg'''
# xfs_copy -db ''/mount/point/backup_root.img'' '''/dev/myvg/root'''

The second drive name is changed now.

=== Adjust configurations ===

You need to boot into your system and edit {{ic|/etc/crypttab}}, {{ic|/etc/mkinitcpio.conf}}, {{ic|/etc/fstab}}, and possibly {{ic|/boot/grub/menu.lst}}.