Dm-crypt/システム全体の暗号化 - 版の履歴

Hkiku482: /* LUKS を使用するパーティションに TPM2とセキュアブートを使用する */ ウィキリンクの修正

2025-02-14T15:24:10Z

LUKS を使用するパーティションに TPM2とセキュアブートを使用する: ウィキリンクの修正

← 古い版		2025年2月15日 (土) 00:24時点における版
166行目:		166行目:
	この例は[[#LUKS を使用するシンプルなパーティションレイアウト]]と似ていますが、[[セキュアブート]]と[[Trusted Platform Module]] (TPM)を統合してブート時のセキュリティを強化します。		この例は[[#LUKS を使用するシンプルなパーティションレイアウト]]と似ていますが、[[セキュアブート]]と[[Trusted Platform Module]] (TPM)を統合してブート時のセキュリティを強化します。

	この構成では[[~~EFI_~~システムパーティション]]が暗号化されずに残り、[[ユニファイドカーネルイメージ]]と[[systemd-boot]]が格納されます。これらは両方ともセキュアブートで使用するため暗号化されています。セキュアブートが無効になっていたり、キーデータベースが改ざんされている場合は、ロック解除に使用するキーをリリースしません。これは、WindowsのBitLockerやmacOSのFileVaultに似ています。TPMロック解除に問題(署名されていないブートローダやカーネルの更新、ファームウェアの更新等)が発生した場合、データにアクセスするための回復キーも作成されます。オプションで、起動時にTPM PINが必要になるように設定して完全に自動でロック解除されるのを防ぐこともできます。		この構成では[[EFI システムパーティション]]が暗号化されずに残り、[[ユニファイドカーネルイメージ]]と[[systemd-boot]]が格納されます。これらは両方ともセキュアブートで使用するため暗号化されています。セキュアブートが無効になっていたり、キーデータベースが改ざんされている場合は、ロック解除に使用するキーをリリースしません。これは、WindowsのBitLockerやmacOSのFileVaultに似ています。TPMロック解除に問題(署名されていないブートローダやカーネルの更新、ファームウェアの更新等)が発生した場合、データにアクセスするための回復キーも作成されます。オプションで、起動時にTPM PINが必要になるように設定して完全に自動でロック解除されるのを防ぐこともできます。

	実行する前に[[Trusted Platform Module#LUKS による保存データの暗号化]]の説明と警告をよく読んでください。		実行する前に[[Trusted Platform Module#LUKS による保存データの暗号化]]の説明と警告をよく読んでください。

	この例では[[~~systemd~~#GPTパーティションの自動マウント]]に従ってパーティションが作成されるため、fstabファイルやcrypttabファイルは必要ありません。		この例では[[Systemd#GPT パーティションの自動マウント]]に従ってパーティションが作成されるため、fstabファイルやcrypttabファイルは必要ありません。

	{{Text art\|<nowiki>		{{Text art\|<nowiki>
191行目:		191行目:
	パーティションを作成する前に[[dm-crypt/ドライブの準備]]で説明されているように、ディスクを安全に消去する重要性について理解しておく必要があります。		パーティションを作成する前に[[dm-crypt/ドライブの準備]]で説明されているように、ディスクを安全に消去する重要性について理解しておく必要があります。

	[[パーティショニング#~~GUID_Partition_Table~~]] (GPT)で[[EFI システムパーティション]](この例では{{ic\|/dev/sda1}})を適切なサイズで作成したあとに、その他の必要なパーティションを作成していきます。		[[パーティショニング#GUID Partition Table]] (GPT)で[[EFI システムパーティション]](この例では{{ic\|/dev/sda1}})を適切なサイズで作成したあとに、その他の必要なパーティションを作成していきます。

	[[EFI システムパーティション]]は{{ic\|/boot}}へマウントします。		[[EFI システムパーティション]]は{{ic\|/boot}}へマウントします。
199行目:		199行目:
	=== ルートパーティションの準備 ===		=== ルートパーティションの準備 ===

	次のコマンドでは暗号化されたルートパーティションの作成とマウントを行います。この手順は[[dm-crypt#LUKS モードの暗号化~~オプション~~]]の説明と対応しています。		次のコマンドでは暗号化されたルートパーティションの作成とマウントを行います。この手順は[[Dm-crypt/デバイスの暗号化#LUKS モードでデバイスを暗号化\|LUKS モードでデバイスを暗号化]]の説明と対応しています。

	特定のデフォルトではない暗号化オプション(キーの長さやアルゴリズム)を使用する場合または、TPMベースの復号を使用しない場合は、最初のコマンドを実行する前に[[dm-crypt#LUKS モードの暗号化オプション]]を参照してください。		特定のデフォルトではない暗号化オプション(キーの長さやアルゴリズム)を使用する場合または、TPMベースの復号を使用しない場合は、最初のコマンドを実行する前に[[Dm-crypt/デバイスの暗号化#LUKS モードの暗号化オプション\|LUKS モードの暗号化オプション]]を参照してください。

	LUKSボリュームを作成(空のパスワードを使用してあとから変更することができます)し、{{ic\|root}} という名前でオープンします。		LUKSボリュームを作成(空のパスワードを使用してあとから変更することができます)し、{{ic\|root}} という名前でオープンします。
222行目:		222行目:
	# mount --mkdir /dev/sda1 /mnt/boot		# mount --mkdir /dev/sda1 /mnt/boot

	[[インストールガイド#initramfs]]までセットアップを続行します。[[インストールガイド#~~Fstab~~]]はスキップすることができます。		[[インストールガイド#initramfs]]までセットアップを続行します。[[インストールガイド#fstab の生成]]はスキップすることができます。

	=== mkinitcpioを設定する ===		=== mkinitcpioを設定する ===
230行目:		230行目:
	HOOKS=(base '''systemd''' autodetect microcode modconf kms '''keyboard''' '''sd-vconsole''' block '''sd-encrypt''' filesystems fsck)		HOOKS=(base '''systemd''' autodetect microcode modconf kms '''keyboard''' '''sd-vconsole''' block '''sd-encrypt''' filesystems fsck)

	次に[[ユニファイドカーネルイメージ#mkinitcpio]]を参照して、[[ユニファイドカーネルイメージ]]~~mkinitcpio~~を設定します。		次に[[ユニファイドカーネルイメージ#mkinitcpio]]を参照して、[[ユニファイドカーネルイメージ]]を設定します。

	この時点では'''まだ'''initramfsを再生成'''しない'''でください。{{ic\|/boot/EFI/Linux}}ディレクトリは、先にブートローダインストーラによって作成される必要があります。		この時点では'''まだ'''initramfsを再生成'''しない'''でください。{{ic\|/boot/EFI/Linux}}ディレクトリは、先にブートローダインストーラによって作成される必要があります。
244行目:		244行目:
	mkinitcpioによって生成された[[ユニファイドカーネルイメージ]]は自動的に認識されるため{{ic\|/boot/loader/entries}}にエントリは必要ありません。		mkinitcpioによって生成された[[ユニファイドカーネルイメージ]]は自動的に認識されるため{{ic\|/boot/loader/entries}}にエントリは必要ありません。

	詳細な設定については[[systemd-boot#~~EFI~~ ブートマネージャの更新]]と[[systemd-boot#ローダー設定]]を参照してください。		詳細な設定については[[systemd-boot#UEFI ブートマネージャの更新]]と[[systemd-boot#ローダー設定]]を参照してください。

	=== インストール完了 ===		=== インストール完了 ===
254行目:		254行目:
	=== セキュアブート ===		=== セキュアブート ===

	[[セキュアブート]] を有効にするためにブートローダとEFIバイナリに署名ができるようになりました。手軽な手段については[[~~Unified_Extensible_Firmware_Interface~~/セキュアブート#sbctl でより簡単に行う]]を参照してください。		[[セキュアブート]] を有効にするためにブートローダとEFIバイナリに署名ができるようになりました。手軽な手段については[[Unified Extensible Firmware Interface/セキュアブート#sbctl でより簡単に行う\|sbctl でより簡単に行う]]を参照してください。

	=== Enrolling the TPM ===		=== Enrolling the TPM ===

Hkiku482: /* EFI システムパーティションの準備 */ 誤字修正

2025-01-18T11:10:50Z

EFI システムパーティションの準備: 誤字修正

← 古い版		2025年1月18日 (土) 20:10時点における版
219行目:		219行目:

	新しく作成したEFIシステムパーティションを[[EFI システムパーティション#パーティションのフォーマット]]に従ってフォーマットし、{{ic\|/mnt/boot}}へマウントします。		新しく作成したEFIシステムパーティションを[[EFI システムパーティション#パーティションのフォーマット]]に従ってフォーマットし、{{ic\|/mnt/boot}}へマウントします。


	# mount --mkdir /dev/sda1 /mnt/boot		# mount --mkdir /dev/sda1 /mnt/boot

Hkiku482: /* LUKS を使用するパーティションに TPM2とセキュアブートを使用する */ 訳出

2025-01-17T17:24:45Z

LUKS を使用するパーティションに TPM2とセキュアブートを使用する: 訳出

差分を表示

Hikali: fix syntax error {{ic|/dev/urandom}

2024-09-01T01:42:12Z

fix syntax error {{ic|/dev/urandom}

← 古い版		2024年9月1日 (日) 10:42時点における版
391行目:		391行目:
	=== ブロックデバイスの準備 ===		=== ブロックデバイスの準備 ===

	[[Dm-crypt/ドライブの準備]]に書かれているように {{ic\|/dev/zero}} を使ってデバイスを消去してからランダムなキーでデバイスを暗号化してください。もしくは {{ic\|dd}} で {{ic\|/dev/random}} や {{ic\|/dev/urandom} を使うこともできます:		[[Dm-crypt/ドライブの準備]]に書かれているように {{ic\|/dev/zero}} を使ってデバイスを消去してからランダムなキーでデバイスを暗号化してください。もしくは {{ic\|dd}} で {{ic\|/dev/random}} や {{ic\|/dev/urandom}} を使うこともできます:
	# cryptsetup open --type plain /dev/md0 container --key-file /dev/random		# cryptsetup open --type plain /dev/md0 container --key-file /dev/random
	# dd if=/dev/zero of=/dev/mapper/container bs=1M status=progress		# dd if=/dev/zero of=/dev/mapper/container bs=1M status=progress

Kusanaginoturugi: カテゴリの修正

2024-06-08T04:47:26Z

カテゴリの修正

← 古い版		2024年6月8日 (土) 13:47時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:デ~~ィスク~~暗号化]]		[[Category:保存データ暗号化]]
	[[Category:ファイルシステム]]		[[Category:ファイルシステム]]
	[[Category:Arch の入手とインストール]]		[[Category:Arch の入手とインストール]]

Kusanaginoturugi: カテゴリを変更

2023-09-09T09:17:18Z

カテゴリを変更

← 古い版		2023年9月9日 (土) 18:17時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:暗号化]]		[[Category:ディスク暗号化]]
	[[Category:ファイルシステム]]		[[Category:ファイルシステム]]
	[[Category:Arch の入手とインストール]]		[[Category:Arch の入手とインストール]]

Kusanaginoturugi: /* 概要 */ 内部リンクを修正

2023-02-22T08:01:10Z

概要: 内部リンクを修正

← 古い版		2023年2月22日 (水) 17:01時点における版
83行目:		83行目:
	\|}		\|}

	上記全てのシナリオが外部からの脅威に対して十分な保護を約束しますが、共通の欠点も存在します。暗号化キーを持っているユーザーなら誰でもデバイスの全てを復号化して、他のユーザーのデータにもアクセスすることが可能という点です。これが問題だという場合は、ブロックデバイスの暗号化とスタックファイルシステムの暗号化と組み合わせて使用することで、両者の利点を取り入れることができます。[[デ~~ィスク~~暗号化]]を見て下さい。		上記全てのシナリオが外部からの脅威に対して十分な保護を約束しますが、共通の欠点も存在します。暗号化キーを持っているユーザーなら誰でもデバイスの全てを復号化して、他のユーザーのデータにもアクセスすることが可能という点です。これが問題だという場合は、ブロックデバイスの暗号化とスタックファイルシステムの暗号化と組み合わせて使用することで、両者の利点を取り入れることができます。[[保存データ暗号化]]を見て下さい。

	他にも、スワップパーティションの暗号化を設定するべきかどうか考慮する必要があります。[[Dm-crypt/スワップの暗号化]]を見て下さい。		他にも、スワップパーティションの暗号化を設定するべきかどうか考慮する必要があります。[[Dm-crypt/スワップの暗号化]]を見て下さい。

AshMyzk: リンクを修正

2022-05-17T13:58:12Z

リンクを修正

← 古い版		2022年5月17日 (火) 22:58時点における版
417行目:		417行目:
	GRUB_ENABLE_CRYPTODISK=y		GRUB_ENABLE_CRYPTODISK=y

	詳しくは [[Dm-crypt/システム設定#ブートローダー]]や [[GRUB#~~Boot~~ ~~パーティション~~]]を見てください。		詳しくは [[Dm-crypt/システム設定#ブートローダー]]や [[GRUB#暗号化された /boot]]を見てください。

	Complete the GRUB install to both SSDs (in reality, installing only to {{ic\|/dev/sda}} will work).		Complete the GRUB install to both SSDs (in reality, installing only to {{ic\|/dev/sda}} will work).
562行目:		562行目:

	# セットアップは [[UEFI]] 環境で行います。		# セットアップは [[UEFI]] 環境で行います。
	# [[GRUB]] ブートローダーの特殊機能を使用してブートパーティション {{ic\|/boot}} も暗号化します。[[GRUB#~~Boot~~ ~~パーティション~~]]を見てください。		# [[GRUB]] ブートローダーの特殊機能を使用してブートパーティション {{ic\|/boot}} も暗号化します。[[GRUB#暗号化された /boot]]を見てください。

	ディスクレイアウトは以下のようになります:		ディスクレイアウトは以下のようになります:
680行目:		680行目:
	}}		}}

	詳しくは [[Dm-crypt/システム設定#ブートローダー]]や [[GRUB#~~Boot~~ ~~パーティション~~]]を参照。{{ic\|''<device-UUID>''}} は {{ic\|/dev/sdaZ}} (ルートファイルシステムが存在する LVM が含まれているパーティション) の UUID に置き換えてください。詳しくは[[永続的なブロックデバイスの命名]]を参照。		詳しくは [[Dm-crypt/システム設定#ブートローダー]]や [[GRUB#暗号化された /boot]]を参照。{{ic\|''<device-UUID>''}} は {{ic\|/dev/sdaZ}} (ルートファイルシステムが存在する LVM が含まれているパーティション) の UUID に置き換えてください。詳しくは[[永続的なブロックデバイスの命名]]を参照。

	GRUB の[[GRUB#メイン設定ファイルの生成\|設定ファイル]]を作成して、マウントされている ESP に [[GRUB#インストール\|GRUB をインストール]]:		GRUB の[[GRUB#メイン設定ファイルの生成\|設定ファイル]]を作成して、マウントされている ESP に [[GRUB#インストール\|GRUB をインストール]]:
840行目:		840行目:
	=== ブートローダーの設定 ===		=== ブートローダーの設定 ===

	[[GRUB]] を {{ic\|/dev/sda}} にインストールします。そして [[GRUB#暗号化]]に書かれているように {{ic\|/etc/default/grub}} を編集します (ルートパーティションと boot パーティションの両方の手順に従ってください)。最後に、GRUB の設定ファイルを生成します。		[[GRUB]] を {{ic\|/dev/sda}} にインストールします。そして [[GRUB#暗号化された /boot]]に書かれているように {{ic\|/etc/default/grub}} を編集します (ルートパーティションと boot パーティションの両方の手順に従ってください)。最後に、GRUB の設定ファイルを生成します。

	=== スワップの設定 ===		=== スワップの設定 ===

Kusakata: 同期

2017-12-23T16:03:46Z

同期

← 古い版		2017年12月24日 (日) 01:03時点における版
155行目:		155行目:
	== LVM on LUKS ==		== LVM on LUKS ==

			LVM の上に暗号化パーティションをセットアップするのではなく、暗号化パーティションの上に [[LVM]] をセットアップするほうが簡単です。技術的にはひとつの大きな暗号化ブロックデバイスの中に LVM をセットアップすることになります。LVM はブロックデバイスを解錠して、ボリュームをスキャンしてマウントされるまでは透過的ではなくなります。
	The straight-forward method is to set up [[LVM]] on top of the encrypted partition instead of the other way round. Technically the LVM is setup inside one big encrypted blockdevice. Hence, the LVM is not transparent until the blockdevice is unlocked and the underlying volume structure is scanned and mounted during boot.

			ディスクレイアウトの例:
	The disk layout in this example is:
	+-----------------------------------------------------------------------+ +----------------+		+-----------------------------------------------------------------------+ +----------------+
	\| Logical volume1 \| Logical volume2 \| Logical volume3 \| \| \|		\| Logical volume1 \| Logical volume2 \| Logical volume3 \| \| \|
244行目:		244行目:
	{{hc\|/etc/mkinitcpio.conf\|2=HOOKS=(... '''keyboard''' '''keymap''' block '''encrypt''' '''lvm2''' ... filesystems ...)}}		{{hc\|/etc/mkinitcpio.conf\|2=HOOKS=(... '''keyboard''' '''keymap''' block '''encrypt''' '''lvm2''' ... filesystems ...)}}

			{{Note\|{{ic\|lvm2}} の最新実装ではフックの順番は特に意味を持ちません。}}
	{{Note\|The order of both hooks no longer matters with the current implementation of {{ic\|lvm2}}.}}

	他に必要なフックについては [[dm-crypt/システム設定#mkinitcpio]] を見て下さい。		他に必要なフックについては [[dm-crypt/システム設定#mkinitcpio]] を見て下さい。
265行目:		265行目:
	{{Tip\|[[#LVM on LUKS]] とは違って、複数のディスクにまたがる論理ボリュームを通常通り使うことができます。}}		{{Tip\|[[#LVM on LUKS]] とは違って、複数のディスクにまたがる論理ボリュームを通常通り使うことができます。}}

			以下の短い例では LUKS on LVM 構成を作成して、/home パーティションでキーファイルを使用して {{ic\|/tmp}} と {{ic\|/swap}} の一時的な暗号化ボリュームを混ぜ合わせます。機密データを含む一時データが再起動しても残ってしまう可能性がないため、セキュリティ的に優れています。論理ボリュームを複数のディスクにまたがるようにしたい場合、手順は [[Dm-crypt/特記事項#LVM を複数のディスクに拡張]]で説明しています。
	The following short example creates a LUKS on LVM setup and mixes in the use of a key-file for the /home partition and temporary crypt volumes for {{ic\|/tmp}} and {{ic\|/swap}}. The latter is considered desirable from a security perspective, because no potentially sensitive temporary data survives the reboot, when the encryption is re-initialised. If you are experienced with LVM, you will be able to ignore/replace LVM and other specifics according to your plan. If you want to span a logical volume over multiple disks during setup already, a procedure to do so is described in [[Dm-crypt/特記事項#LVM を複数のディスクに拡張]].

	=== ディスクの準備 ===		=== ディスクの準備 ===
297行目:		297行目:
	# mount /dev/mapper/root /mnt		# mount /dev/mapper/root /mnt

	~~Note that~~ {{ic\|/home}} ~~will be encrypted~~ [[#論理ボリューム /home の暗号化\|~~later~~]] ~~in this example. Further, note that if you ever have to access the encrypted root from the~~ Arch-ISO, ~~the above~~ {{ic\|open}} ~~action will allow you to after the~~ [[LVM#論理ボリュームが表示されない\|LVM ~~shows up~~]].		この例では {{ic\|/home}} は[[#論理ボリューム /home の暗号化\|後で]]暗号化します。Arch-ISO から暗号化したルートにアクセスする必要がある場合、上記の {{ic\|open}} アクションで [[LVM#論理ボリュームが表示されない\|LVM を表示]]した後にアクセスできます。

	=== boot パーティションの準備 ===		=== boot パーティションの準備 ===
353行目:		353行目:
	/dev/mapper/home /home ext4 defaults 0 2}}		/dev/mapper/home /home ext4 defaults 0 2}}
	これでセットアップは完了です。		これでセットアップは完了です。
	and setup is done.

	If you want to expand the logical volume for {{ic\|/home}} (or any other volume) at a later point, it is important to note that the LUKS encrypted part has to be resized as well. For a procedure see [[Dm-crypt/特記事項#LVM を複数のディスクに拡張]].		If you want to expand the logical volume for {{ic\|/home}} (or any other volume) at a later point, it is important to note that the LUKS encrypted part has to be resized as well. For a procedure see [[Dm-crypt/特記事項#LVM を複数のディスクに拡張]].
414行目:		413行目:
	=== ブートローダーの設定 ===		=== ブートローダーの設定 ===

	Configure [[GRUB]] for the encrypted system by editing {{ic\|/etc/~~defaults~~/grub}} with the following. Note that the {{ic\|:allow-discards}} option enables TRIM support on the SSDs, if you do not wish to use it you should omit this.		Configure [[GRUB]] for the encrypted system by editing {{ic\|/etc/default/grub}} with the following. Note that the {{ic\|:allow-discards}} option enables TRIM support on the SSDs, if you do not wish to use it you should omit this.
	GRUB_CMDLINE_LINUX="cryptdevice=/dev/md0:cryptroot:allow-discards root=/dev/mapper/cryptroot"		GRUB_CMDLINE_LINUX="cryptdevice=/dev/md0:cryptroot:allow-discards root=/dev/mapper/cryptroot"
	GRUB_ENABLE_CRYPTODISK=y		GRUB_ENABLE_CRYPTODISK=y
459行目:		458行目:

	{{Tip\|If headerless encryption is your goal but you are unsure about the lack of key-derivation with ''plain'' mode, then two alternatives are:		{{Tip\|If headerless encryption is your goal but you are unsure about the lack of key-derivation with ''plain'' mode, then two alternatives are:
		⚫	* dm-crypt LUKS mode by using the ''cryptsetup'' {{ic\|--header}} option. It cannot be used with the standard ''encrypt'' hook, but the hook [[Dm-crypt/特記事項#リモート LUKS ヘッダーを使ってシステムを暗号化\|may be modified]].
	* [[tcplay]] which offers headerless encryption but with the PBKDF2 function~~, or~~		* [[tcplay]] which offers headerless encryption but with the PBKDF2 function.}}
⚫	* dm-crypt LUKS mode by using the ''cryptsetup'' {{ic\|--header}} option. It cannot be used with the standard ''encrypt'' hook, but the hook [[Dm-crypt/特記事項#リモート LUKS ヘッダーを使ってシステムを暗号化\|may be modified]].}}

	このシナリオでは2つの USB スティックを使います:		このシナリオでは2つの USB スティックを使います:

Kusakata: 戻るリンクを削除

2017-12-23T15:23:08Z

戻るリンクを削除

← 古い版		2017年12月24日 (日) 00:23時点における版
6行目:		6行目:
	[[en:Dm-crypt/Encrypting an entire system]]		[[en:Dm-crypt/Encrypting an entire system]]
	[[es:Dm-crypt/Encrypting an entire system]]		[[es:Dm-crypt/Encrypting an entire system]]
	[[dm-crypt]] に戻る。

	以下は ''dm-crypt'' を使って完全なシステム暗号化を行う一般的なシナリオの例です。通常の[[インストールガイド\|インストール手順]]に加える必要がある変更を全て説明しています。必要なツールは全て [https://www.archlinux.jp/download/ インストールイメージ] に入っています。		以下は ''dm-crypt'' を使って完全なシステム暗号化を行う一般的なシナリオの例です。通常の[[インストールガイド\|インストール手順]]に加える必要がある変更を全て説明しています。必要なツールは全て [https://www.archlinux.jp/download/ インストールイメージ] に入っています。