Dm-crypt/デバイスの暗号化 - 版の履歴

Takemaro: /* plain モードでデバイスを暗号化 */ 未訳部分を最新の英語版から翻訳

2025-03-10T12:41:22Z

plain モードでデバイスを暗号化: 未訳部分を最新の英語版から翻訳

Takemaro: /* cryptsetup でデバイスを暗号化 */ 翻訳済みの部分について最新の英語版を反映: GRUB の LUKS2 に関する警告、コマンド出力の更新、等

2025-03-09T18:43:45Z

cryptsetup でデバイスを暗号化: 翻訳済みの部分について最新の英語版を反映: GRUB の LUKS2 に関する警告、コマンド出力の更新、等

← 古い版		2025年3月10日 (月) 03:43時点における版
175行目:		175行目:
	== cryptsetup でデバイスを暗号化 ==		== cryptsetup でデバイスを暗号化 ==
	以下のセクションでは新しい暗号化ブロックデバイスを作成するオプションと手動のアクセス方法を説明します。		以下のセクションでは新しい暗号化ブロックデバイスを作成するオプションと手動のアクセス方法を説明します。

			{{Warning\|GRUB の LUKS2 サポートは限られています。[[GRUB#暗号化された /boot]] を見て下さい。GRUB が解錠する必要のあるパーティションには、LUKS2 を PBKDF2 で使用 ({{ic\|cryptsetup luksFormat --pbkdf pbkdf2}})して下さい。}}

	=== LUKS モードでデバイスを暗号化 ===		=== LUKS モードでデバイスを暗号化 ===
194行目:		196行目:

	以下の例はデフォルトの AES 暗号を使って256ビットの XTS モードで {{ic\|/dev/sda1}} に暗号化したルートパーティションを作成します:		以下の例はデフォルトの AES 暗号を使って256ビットの XTS モードで {{ic\|/dev/sda1}} に暗号化したルートパーティションを作成します:
	# cryptsetup -s 512 ~~luksFormat~~ /dev/sda1		# cryptsetup luksFormat -s 512 /dev/sda1

	=====LUKS を使ってキーファイルでパーティションをフォーマット=====		=====LUKS を使ってキーファイルでパーティションをフォーマット=====
228行目:		230行目:
	{{ic\|/dev/mapper/cryptroot}} デバイスは他のパーティションと同じように[[マウント]]できます。		{{ic\|/dev/mapper/cryptroot}} デバイスは他のパーティションと同じように[[マウント]]できます。

	luks コンテナを閉じるには、パーティションをアンマウントしてください:		luks コンテナを閉じるには、パーティションをアンマウントし、以下を実行して下さい:

	# cryptsetup close cryptroot		# cryptsetup close cryptroot

			==== 鍵を TPM に保管する ====

			[[Trusted Platform Module#LUKS による保存データの暗号化]]を見て下さい。

	=== plain モードでデバイスを暗号化 ===		=== plain モードでデバイスを暗号化 ===

	''dm-crypt'' プレーンモード暗号化の作成とその後のアクセスはどちらも、正しい [[#plain視の暗号化オプション\| ~~parametersで~~ ''cryptsetup'' {{ic\|open}} アクションを使用するだけで済みます。]] 以下は、非ルートデバイスの2つの例で示していますが、両方をスタックすることで癖が追加されています (つまり、2番目は最初のデバイス内に作成されます) 明らかに、暗号化をスタックするとオーバーヘッドが2倍になります。ここでの使用例は、暗号オプションの使用法の別の例を説明するためのものです。		''dm-crypt'' プレーンモード暗号化の作成とその後のアクセスはどちらも、正しい [[#plain モードの暗号化オプション\|オプション]] を指定して ''cryptsetup'' {{ic\|open}} アクションを使用するだけで済みます。以下は、非ルートデバイスの2つの例で示していますが、両方をスタックすることで癖が追加されています (つまり、2番目は最初のデバイス内に作成されます) 明らかに、暗号化をスタックするとオーバーヘッドが2倍になります。ここでの使用例は、暗号オプションの使用法の別の例を説明するためのものです。

	上記の表の左側の列で説明されているように、最初のマッパーは ''cryptsetup'' のプレーンモードのデフォルトで作成されます。		上記の表の左側の列で説明されているように、最初のマッパーは ''cryptsetup'' のプレーンモードのデフォルトで作成されます。
	{{hc\|# cryptsetup --type plain -v open /dev/sdaX plain1\|		{{hc\|# cryptsetup --type plain -v open /dev/sdaX plain1\|
			WARNING: Using default options for cipher (aes-xts-plain64, key size 256 bits) that could be incompatible with older versions.
⚫	Enter passphrase:
			WARNING: Using default options for hash (sha256) that could be incompatible with older versions.
			For plain mode, always use options --cipher, --key-size and if no keyfile is used, then also --hash.
		⚫	Enter passphrase for /dev/sd''xY'':
	Command successful.		Command successful.
	}}		}}
	次に、さまざまな暗号化パラメーターを使用し、(オプションの) オフセットを使用して、その中に2番目のブロックデバイスを追加し、ファイルシステムを作成してマウントします。		次に、さまざまな暗号化パラメーターを使用し、(オプションの) オフセットを使用して、その中に2番目のブロックデバイスを追加し、ファイルシステムを作成してマウントします。
	{{hc\|1=# cryptsetup --type plain --cipher=serpent-xts-plain64 --hash=sha256 --key-size=256 --offset=10 open /dev/mapper/plain1 plain2\|2=		{{hc\|1=# cryptsetup --type plain --cipher=serpent-xts-plain64 --hash=sha256 --key-size=256 --offset=10 open /dev/mapper/plain1 plain2\|2=
	Enter passphrase:		Enter passphrase for /dev/mapper/plain1:
	}}		}}
	{{hc\|# lsblk -p\|		{{hc\|# lsblk -p\|

Takemaro: /* dm-crypt の暗号化オプション */ 英語版を反映: LUKS2の追加、オプションの追加、イテレーション時間の記述の追加、等

2025-03-09T18:23:21Z

dm-crypt の暗号化オプション: 英語版を反映: LUKS2の追加、オプションの追加、イテレーション時間の記述の追加、等

差分を表示

Takemaro: /* Cryptsetup の使用方法 */ 英語版を反映

2025-03-09T18:19:18Z

Cryptsetup の使用方法: 英語版を反映

← 古い版		2025年3月10日 (月) 03:19時点における版
13行目:		13行目:
	ツールは以下のように使います:		ツールは以下のように使います:

	# cryptsetup ~~<OPTIONS> <~~action> ~~<action-specific-~~options> <device> <dmname>		# cryptsetup ''action'' ''options'' ''device'' ''dmname''

	オプションや暗号化モードにはデフォルト値が存在し、コマンドラインで何も指定しなかった場合はデフォルト値が使われます。オプションや暗号化モードのデフォルトパラメータを確認するには以下のコマンドを実行:		オプションや暗号化モードにはデフォルト値が存在し、コマンドラインで何も指定しなかった場合はデフォルト値が使われます。オプションや暗号化モードのデフォルトパラメータを確認するには以下のコマンドを実行:
30行目:		30行目:
	暗号化されたブロックデバイスはキーによって保護されます。キーは以下のいずれかです:		暗号化されたブロックデバイスはキーによって保護されます。キーは以下のいずれかです:

	*パスフレーズ、[[ディ~~スク暗号化~~#~~強固な~~パスフレー~~ズの選択~~]]を見て下さい。		*パスフレーズ、[[セキュリティ#パスワード]]を見て下さい。
	*キーファイル、[[#キーファイル]] を見て下さい。		*キーファイル、[[#キーファイル]] を見て下さい。

Kusanaginoturugi: 校正（でき・出来）

2024-07-10T11:54:48Z

校正（でき・出来）

← 古い版		2024年7月10日 (水) 20:54時点における版
280行目:		280行目:
	==== LUKS キーの追加 ====		==== LUKS キーの追加 ====

	新しいキースロットの追加は cryptsetup の {{ic\|luksAddKey}} アクションを使うことで出来ます。デバイスが解錠されていても安全のために、新しいキーを入力する前に、必ず既存のキーの入力が求められます ("any passphrase"):		新しいキースロットの追加は cryptsetup の {{ic\|luksAddKey}} アクションを使うことでできます。デバイスが解錠されていても安全のために、新しいキーを入力する前に、必ず既存のキーの入力が求められます ("any passphrase"):

	{{hc\|# cryptsetup luksAddKey /dev/<device> (/path/to/<additionalkeyfile>)\|		{{hc\|# cryptsetup luksAddKey /dev/<device> (/path/to/<additionalkeyfile>)\|
507行目:		507行目:
	'''キーファイルとは？'''		'''キーファイルとは？'''

	キーファイルは暗号化されたボリュームを解錠するパスフレーズとして使用するデータを含んだファイルです。ファイルを喪失した場合、ボリュームの復号化は出来なくなります。		キーファイルは暗号化されたボリュームを解錠するパスフレーズとして使用するデータを含んだファイルです。ファイルを喪失した場合、ボリュームの復号化はできなくなります。

	{{Tip\|Define a passphrase in addition to the keyfile for backup access to encrypted volumes in the event the defined keyfile is lost or changed.}}		{{Tip\|Define a passphrase in addition to the keyfile for backup access to encrypted volumes in the event the defined keyfile is lost or changed.}}

Kusanaginoturugi: カテゴリの修正

2024-06-08T04:48:08Z

カテゴリの修正

← 古い版		2024年6月8日 (土) 13:48時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:デ~~ィスク~~暗号化]]		[[Category:保存データ暗号化]]
	[[Category:ファイルシステム]]		[[Category:ファイルシステム]]
	[[en:Dm-crypt/Device encryption]]		[[en:Dm-crypt/Device encryption]]

Kusanaginoturugi: カテゴリを変更

2023-09-09T09:16:39Z

カテゴリを変更

← 古い版		2023年9月9日 (土) 18:16時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:暗号化]]		[[Category:ディスク暗号化]]
	[[Category:ファイルシステム]]		[[Category:ファイルシステム]]
	[[en:Dm-crypt/Device encryption]]		[[en:Dm-crypt/Device encryption]]

AshMyzk: リンクを修正

2022-05-17T13:58:59Z

リンクを修正

← 古い版		2022年5月17日 (火) 22:58時点における版
637行目:		637行目:
	{{Warning\|Use an embedded keyfile '''only''' if you have some form of authentication mechanism beforehand that protects the keyfile sufficiently. Otherwise auto-decryption will occur, defeating completely the purpose of block device encryption.}}		{{Warning\|Use an embedded keyfile '''only''' if you have some form of authentication mechanism beforehand that protects the keyfile sufficiently. Otherwise auto-decryption will occur, defeating completely the purpose of block device encryption.}}

	This method allows to use a specially named keyfile that will be embedded in the [[initramfs]] and picked up by the {{ic\|encrypt}} [[Mkinitcpio#HOOKS\|hook]] to unlock the root filesystem ({{ic\|cryptdevice}}) automatically. It may be useful to apply when using the [[GRUB#~~Boot~~ ~~パーティション~~\|GRUB early cryptodisk]] feature, in order to avoid entering two passphrases during boot.		This method allows to use a specially named keyfile that will be embedded in the [[initramfs]] and picked up by the {{ic\|encrypt}} [[Mkinitcpio#HOOKS\|hook]] to unlock the root filesystem ({{ic\|cryptdevice}}) automatically. It may be useful to apply when using the [[GRUB#暗号化された /boot\|GRUB early cryptodisk]] feature, in order to avoid entering two passphrases during boot.

	The {{ic\|encrypt}} hook lets the user specify a keyfile with the {{ic\|cryptkey}} kernel parameter: in the case of initramfs, the syntax is {{ic\|rootfs:''path''}}, see [[Dm-crypt/システム設定#cryptkey]]. Besides, this kernel parameter defaults to use {{ic\|/crypto_keyfile.bin}}, and if the initramfs contains a valid key with this name, decryption will occur automatically without the need to configure the {{ic\|cryptkey}} parameter.		The {{ic\|encrypt}} hook lets the user specify a keyfile with the {{ic\|cryptkey}} kernel parameter: in the case of initramfs, the syntax is {{ic\|rootfs:''path''}}, see [[Dm-crypt/システム設定#cryptkey]]. Besides, this kernel parameter defaults to use {{ic\|/crypto_keyfile.bin}}, and if the initramfs contains a valid key with this name, decryption will occur automatically without the need to configure the {{ic\|cryptkey}} parameter.

Kgx: /* plain モードでデバイスを暗号化 */ 一部翻訳

2020-12-21T12:01:46Z

plain モードでデバイスを暗号化: 一部翻訳

← 古い版		2020年12月21日 (月) 21:01時点における版
197行目:		197行目:
	=== plain モードでデバイスを暗号化 ===		=== plain モードでデバイスを暗号化 ===

			''dm-crypt'' プレーンモード暗号化の作成とその後のアクセスはどちらも、正しい [[#plain視の暗号化オプション\| parametersで ''cryptsetup'' {{ic\|open}} アクションを使用するだけで済みます。]] 以下は、非ルートデバイスの2つの例で示していますが、両方をスタックすることで癖が追加されています (つまり、2番目は最初のデバイス内に作成されます) 明らかに、暗号化をスタックするとオーバーヘッドが2倍になります。ここでの使用例は、暗号オプションの使用法の別の例を説明するためのものです。
	The creation and subsequent access of a ''dm-crypt'' plain mode encryption both require not more than using the ''cryptsetup'' {{ic\|open}} action with correct [[#plain モードの暗号化オプション\|parameters]]. The following shows that with two examples of non-root devices, but adds a quirk by stacking both (i.e. the second is created inside the first). Obviously, stacking the encryption doubles overhead. The usecase here is simply to illustrate another example of the cipher option usage.

			上記の表の左側の列で説明されているように、最初のマッパーは ''cryptsetup'' のプレーンモードのデフォルトで作成されます。
	A first mapper is created with ''cryptsetup's'' plain-mode defaults, as described in the table's left column above
	{{hc\|# cryptsetup --type plain -v open /dev/sdaX plain1\|		{{hc\|# cryptsetup --type plain -v open /dev/sdaX plain1\|
	Enter passphrase:		Enter passphrase:
	Command successful.		Command successful.
	}}		}}
			次に、さまざまな暗号化パラメーターを使用し、(オプションの) オフセットを使用して、その中に2番目のブロックデバイスを追加し、ファイルシステムを作成してマウントします。
	Now we add the second blockdevice inside it, using different encryption parameters and with an (optional) offset, create a filesystem and mount it
	{{hc\|1=# cryptsetup --type plain --cipher=serpent-xts-plain64 --hash=sha256 --key-size=256 --offset=10 open /dev/mapper/plain1 plain2\|2=		{{hc\|1=# cryptsetup --type plain --cipher=serpent-xts-plain64 --hash=sha256 --key-size=256 --offset=10 open /dev/mapper/plain1 plain2\|2=
	Enter passphrase:		Enter passphrase:

Kgx: /* LUKS モードの暗号化オプション */ ヒントを翻訳

2020-12-21T11:58:02Z

LUKS モードの暗号化オプション: ヒントを翻訳

← 古い版		2020年12月21日 (月) 20:58時点における版
102行目:		102行目:

	LUKS の暗号機能について詳しく知りたい場合は [https://gitlab.com/cryptsetup/cryptsetup/wikis/Specification LUKS specification] (例: 付記) を読むと良いでしょう。		LUKS の暗号機能について詳しく知りたい場合は [https://gitlab.com/cryptsetup/cryptsetup/wikis/Specification LUKS specification] (例: 付記) を読むと良いでしょう。
	{{Tip\|~~It is anticipated that the~~ LUKS ~~header receives another major revision in due course. If you are interested in the plans, the developers'~~ [https://mbroz.fedorapeople.org/talks/DevConf2016/devconf2016-luks2.pdf devconfcz2016] (pdf) ~~presentation summarizes.~~}}		{{Tip\|LUKS ヘッダーは、やがて別の大きな改訂を受けると予想されます。計画に興味がある場合は、開発者の [https://mbroz.fedorapeople.org/talks/DevConf2016/devconf2016-luks2.pdf devconfcz2016] (pdf) プレゼンテーションに要約されています。}}

	=== plain モードの暗号化オプション ===		=== plain モードの暗号化オプション ===

← 古い版		2022年5月17日 (火) 22:58時点における版
637行目:		637行目:
	{{Warning\|Use an embedded keyfile '''only''' if you have some form of authentication mechanism beforehand that protects the keyfile sufficiently. Otherwise auto-decryption will occur, defeating completely the purpose of block device encryption.}}		{{Warning\|Use an embedded keyfile '''only''' if you have some form of authentication mechanism beforehand that protects the keyfile sufficiently. Otherwise auto-decryption will occur, defeating completely the purpose of block device encryption.}}

	This method allows to use a specially named keyfile that will be embedded in the [[initramfs]] and picked up by the {{ic\|encrypt}} [[Mkinitcpio#HOOKS\|hook]] to unlock the root filesystem ({{ic\|cryptdevice}}) automatically. It may be useful to apply when using the [[GRUB#~~Boot~~ ~~パーティション~~\|GRUB early cryptodisk]] feature, in order to avoid entering two passphrases during boot.		This method allows to use a specially named keyfile that will be embedded in the [[initramfs]] and picked up by the {{ic\|encrypt}} [[Mkinitcpio#HOOKS\|hook]] to unlock the root filesystem ({{ic\|cryptdevice}}) automatically. It may be useful to apply when using the [[GRUB#暗号化された /boot\|GRUB early cryptodisk]] feature, in order to avoid entering two passphrases during boot.

	The {{ic\|encrypt}} hook lets the user specify a keyfile with the {{ic\|cryptkey}} kernel parameter: in the case of initramfs, the syntax is {{ic\|rootfs:''path''}}, see [[Dm-crypt/システム設定#cryptkey]]. Besides, this kernel parameter defaults to use {{ic\|/crypto_keyfile.bin}}, and if the initramfs contains a valid key with this name, decryption will occur automatically without the need to configure the {{ic\|cryptkey}} parameter.		The {{ic\|encrypt}} hook lets the user specify a keyfile with the {{ic\|cryptkey}} kernel parameter: in the case of initramfs, the syntax is {{ic\|rootfs:''path''}}, see [[Dm-crypt/システム設定#cryptkey]]. Besides, this kernel parameter defaults to use {{ic\|/crypto_keyfile.bin}}, and if the initramfs contains a valid key with this name, decryption will occur automatically without the need to configure the {{ic\|cryptkey}} parameter.