Dm-crypt/root 以外のファイルシステムの暗号化 - 版の履歴

Kusanaginoturugi: 校正（でき・出来）

2024-07-10T11:42:40Z

校正（でき・出来）

← 古い版		2024年7月10日 (水) 20:42時点における版
78行目:		78行目:
	# losetup /dev/loop0 /bigsecret		# losetup /dev/loop0 /bigsecret

	{{Note\|{{ic\|/dev/loop0: No such file or directory}} というエラーが吐かれる場合、先に {{ic\|modprobe loop}} でカーネルモジュールをロードしてください。最近は (カーネル 3.2) ループデバイスは必要に応じて作成されるようになっています。新しいループデバイスの作成は {{ic\|# losetup -f}} で出来ます。}}		{{Note\|{{ic\|/dev/loop0: No such file or directory}} というエラーが吐かれる場合、先に {{ic\|modprobe loop}} でカーネルモジュールをロードしてください。最近は (カーネル 3.2) ループデバイスは必要に応じて作成されるようになっています。新しいループデバイスの作成は {{ic\|# losetup -f}} でできます。}}

	ここからの作業は [[#パーティション]] と同じです。違うのはコンテナは既にランダム化されており消去する必要がないということだけです。		ここからの作業は [[#パーティション]] と同じです。違うのはコンテナは既にランダム化されており消去する必要がないということだけです。

Kusanaginoturugi: カテゴリの修正

2024-06-08T04:47:12Z

カテゴリの修正

← 古い版		2024年6月8日 (土) 13:47時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:デ~~ィスク~~暗号化]]		[[Category:保存データ暗号化]]
	[[Category:ファイルシステム]]		[[Category:ファイルシステム]]
	[[en:dm-crypt/Encrypting a non-root file system]]		[[en:dm-crypt/Encrypting a non-root file system]]

Kusanaginoturugi: カテゴリを変更

2023-09-09T09:16:18Z

カテゴリを変更

← 古い版		2023年9月9日 (土) 18:16時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:暗号化]]		[[Category:ディスク暗号化]]
	[[Category:ファイルシステム]]		[[Category:ファイルシステム]]
	[[en:dm-crypt/Encrypting a non-root file system]]		[[en:dm-crypt/Encrypting a non-root file system]]

Kusakata: 戻るリンクを削除

2017-12-23T15:22:51Z

戻るリンクを削除

← 古い版		2017年12月24日 (日) 00:22時点における版
3行目:		3行目:
	[[Category:ファイルシステム]]		[[Category:ファイルシステム]]
	[[en:dm-crypt/Encrypting a non-root file system]]		[[en:dm-crypt/Encrypting a non-root file system]]
	[[dm-crypt]] に戻る。

	以下は dm-crypt で root 以外のファイルシステムを暗号化するサンプルです。		以下は dm-crypt で root 以外のファイルシステムを暗号化するサンプルです。

	== 概要 ==		== 概要 ==

Kusakata: カテゴリ変更

2017-11-02T16:07:31Z

カテゴリ変更

← 古い版		2017年11月3日 (金) 01:07時点における版
1行目:		1行目:
	{{Lowercase title}}		{{Lowercase title}}
	[[Category:~~セキュリティ~~]]		[[Category:暗号化]]
	[[Category:ファイルシステム]]		[[Category:ファイルシステム]]
	[[en:dm-crypt/Encrypting a non-root file system]]		[[en:dm-crypt/Encrypting a non-root file system]]

Kusakata: 同期

2017-10-11T15:16:02Z

同期

@@ 32行目: / 32行目: @@
 ファイルシステムを {{ic|/home}} にマウントするか、誰か一人のユーザーにだけアクセス可能にしたい場合は {{ic|/home/''username''}} にマウントします。[[#手動でマウント・アンマウント]] を見て下さい。
 === 手動でマウント・アンマウント ===
@@ 59行目: / 59行目: @@
 ==== ユーザーのログイン時 ====
-''pam_exec'' と systemd のサービスファイルを使って、ユーザーのログイン時にパーティションを解錠できます: 特定のユーザーのホームディレクトリだけがパーティションにある場合に推奨される方法です。[[dm-crypt/ログイン時にマウント]]を見てください。
+''pam_exec'' を使って、ユーザーのログイン時にパーティションを解錠できます (''cryptsetup open''): 特定のユーザーのホームディレクトリだけがパーティションにある場合に推奨される方法です。[[dm-crypt/ログイン時にマウント]]を見てください。
 [[pam_mount]] を使ってユーザーのログイン時に解錠することもできます。
@@ 73行目: / 73行目: @@
 このコマンドで10メガバイトの容量の {{ic|bigsecret}} ファイルが作成されます。
-{{Note|後でコンテナの大きさを[[#loopback ファイルシステムのサイズの変更|変更]]しなくてもよいように、暗号化するファイルの合計容量も大きいサイズを割り当ててください。内部ファイルシステムによって関連付けられるメタデータも保存する必要があるためです。LUKS モードを使用する場合、メタデータヘッダーは1〜2メガバイトも必要になります。}}
+{{Note|後でコンテナの大きさを[[Dm-crypt/デバイスの暗号化#ループバックファイルシステム|変更]]しなくてもよいように、暗号化するファイルの合計容量も大きいサイズを割り当ててください。内部ファイルシステムによって関連付けられるメタデータも保存する必要があるためです。LUKS モードを使用する場合、メタデータヘッダーは1〜2メガバイトも必要になります。}}
 次にデバイスノード {{ic|/dev/loop0}} を作成して、コンテナをマウント・利用できるようにします:
@@ 97行目: / 97行目: @@
  # cryptsetup --type luks open /dev/loop0 secret
  # mount -t ext4 /dev/mapper/secret /mnt/secret

Kusakata: 同期

2016-08-13T16:59:46Z

同期

← 古い版		2016年8月14日 (日) 01:59時点における版
15行目:		15行目:
	この例では {{ic\|/home}} パーティションの暗号化を説明しますが、root 以外の同じようなパーティションなら同じ方法で暗号化できます。		この例では {{ic\|/home}} パーティションの暗号化を説明しますが、root 以外の同じようなパーティションなら同じ方法で暗号化できます。

			{{Tip\|特定のユーザーの {{ic\|/home}} ディレクトリをパーティション上に配置することも、全てのユーザーの {{ic\|/home}} ディレクトリで共通のパーティションを作成することもできます。}}
	{{Tip\|You can either have a single user's {{ic\|/home}} directory on a partition, or create a common partition for all user's {{ic\|/home}} partitions.}}

	まず、パーティションを完全に消去することでパーティションの準備をしてください。[[Dm-crypt/ドライブの準備#ハードディスクドライブの完全消去]] を参照。		まず、パーティションを完全に消去することでパーティションの準備をしてください。[[Dm-crypt/ドライブの準備#ハードディスクドライブの完全消去]] を参照。
44行目:		44行目:
	# umount /mnt/home		# umount /mnt/home
	# cryptsetup close ''name''		# cryptsetup close ''name''

			{{Tip\|[[GVFS]] でも暗号化パーティションをマウントできます。GVFS に対応しているファイルマネージャ (例: [[Thunar]]) を使ってパーティションをマウントすると、パスワードダイアログが表示されます。他のデスクトップを使用している場合、{{Aur\|zulucrypt}} で GUI が利用できます。}}

	=== ロック解除とマウントの自動化 ===		=== ロック解除とマウントの自動化 ===

	パーティションのロックの解除とファイルシステムのマウントを自動化する方法は2つあります。		パーティションのロックの解除とファイルシステムのマウントを自動化する方法は複数あります。

	==== ~~Crypttab~~ ====		==== 起動時 ====

	{{ic\|/etc/crypttab}} 設定ファイルを使用することで、起動時に systemd によって自動的にファイルが読み取られロックが解除されます。全てのユーザーの home パーティションに共通のパーティションを使用する場合や、他の暗号化ブロックデバイスを自動的にマウントしたい場合に推奨される方法です。		{{ic\|/etc/crypttab}} 設定ファイルを使用することで、起動時に systemd によって自動的にファイルが読み取られロックが解除されます。全てのユーザーの home パーティションに共通のパーティションを使用する場合や、他の暗号化ブロックデバイスを自動的にマウントしたい場合に推奨される方法です。
55行目:		57行目:
	詳しくは [[Dm-crypt/システム設定#crypttab]] を見て下さい。設定例は [[Dm-crypt/システム設定#起動時にマウント]] を見て下さい。		詳しくは [[Dm-crypt/システム設定#crypttab]] を見て下さい。設定例は [[Dm-crypt/システム設定#起動時にマウント]] を見て下さい。

	==== ~~Pam mount~~ ====		==== ユーザーのログイン時 ====

	Pam mount を使うことでユーザーのログイン時に解錠できます: パーティションに誰か一人のホームディレクトリがある場合に推奨される方法です。
			''pam_exec'' と systemd のサービスファイルを使って、ユーザーのログイン時にパーティションを解錠できます: 特定のユーザーのホームディレクトリだけがパーティションにある場合に推奨される方法です。[[dm-crypt/ログイン時にマウント]]を見てください。

			[[pam_mount]] を使ってユーザーのログイン時に解錠することもできます。
	[[Pam mount]] を見て下さい。

	== Loop デバイス ==		== Loop デバイス ==
70行目:		73行目:
	このコマンドで10メガバイトの容量の {{ic\|bigsecret}} ファイルが作成されます。		このコマンドで10メガバイトの容量の {{ic\|bigsecret}} ファイルが作成されます。

			{{Note\|後でコンテナの大きさを[[#loopback ファイルシステムのサイズの変更\|変更]]しなくてもよいように、暗号化するファイルの合計容量も大きいサイズを割り当ててください。内部ファイルシステムによって関連付けられるメタデータも保存する必要があるためです。LUKS モードを使用する場合、メタデータヘッダーは1〜2メガバイトも必要になります。}}
	{{Note\|To avoid having to [[#Resizing the loopback filesystem\|resize]] the container later on, make sure to make it larger than the total size of the files to be encrypted, in order to at least also host the associated metadata needed by the internal file system. If you are going to use LUKS mode, its metadata header requires one to two megabytes alone.}}

	次にデバイスノード {{ic\|/dev/loop0}} を作成して、コンテナをマウント・利用できるようにします:		次にデバイスノード {{ic\|/dev/loop0}} を作成して、コンテナをマウント・利用できるようにします:
76行目:		79行目:
	# losetup /dev/loop0 /bigsecret		# losetup /dev/loop0 /bigsecret

	{{Note\|~~If it gives you the error~~ {{ic\|/dev/loop0: No such file or directory}}, ~~you need to first load the kernel module with~~ {{ic\|modprobe loop}}~~. These~~ ~~days~~ (~~Kernel~~ 3.2) ~~loop devices are created on demand. Ask for a new loop device with~~ {{ic\|# losetup -f}}.}}		{{Note\|{{ic\|/dev/loop0: No such file or directory}} というエラーが吐かれる場合、先に {{ic\|modprobe loop}} でカーネルモジュールをロードしてください。最近は (カーネル 3.2) ループデバイスは必要に応じて作成されるようになっています。新しいループデバイスの作成は {{ic\|# losetup -f}} で出来ます。}}

	ここからの作業は [[#パーティション]] と同じです。違うのはコンテナは既にランダム化されており消去する必要がないということだけです。		ここからの作業は [[#パーティション]] と同じです。違うのはコンテナは既にランダム化されており消去する必要がないということだけです。

			{{Tip\|''dm-crypt'' のコンテナは高い柔軟性を持っています。[[Tomb]] の特徴とドキュメントを見てください。Tomb は高速かつ柔軟な管理ができる ''dm-crypt'' スクリプトラッパーです。}}
	{{Tip\|Containers with ''dm-crypt'' can be very flexible. Have a look at the features and documentation of [[Tomb]]. It provides a ''dm-crypt'' script wrapper for fast and flexible handling.}}

	=== 手動でマウント・アンマウント ===		=== 手動でマウント・アンマウント ===
105行目:		108行目:
	# dd if=/dev/urandom bs=1M count=1024 \| cat - >> /bigsecret		# dd if=/dev/urandom bs=1M count=1024 \| cat - >> /bigsecret

			{{Warning\|{{ic\|>}} を2つ使っていることに注意してください。1つだけだと現在のコンテナを上書きしてしまいます。}}
	{{Warning\|Be careful to really use '''two''' {{ic\|>}}, or you will override your current container.}}

	ループデバイスにコンテナをマップ:		ループデバイスにコンテナをマップ:

2015年2月13日 (金) 09:35にKusakataによる

2015-02-13T09:35:04Z

差分を表示

Kusakata: ページの作成:「{{Lowercase title}} Category:セキュリティ Category:ファイルシステム en:dm-crypt/Encrypting a non-root file system dm-crypt に戻る。以...」

2015-02-13T09:19:32Z

ページの作成:「{{Lowercase title}} Category:セキュリティ Category:ファイルシステム en:dm-crypt/Encrypting a non-root file system dm-crypt に戻る。以...」

新規ページ

{{Lowercase title}}
[[Category:セキュリティ]]
[[Category:ファイルシステム]]
[[en:dm-crypt/Encrypting a non-root file system]]
[[dm-crypt]] に戻る。

以下は dm-crypt で root 以外のファイルシステムを暗号化するサンプルです。
== 概要 ==

セカンダリファイルシステムの暗号化は基本的に重要なデータだけを保護します。オペレーティングシステムやプログラムファイルは暗号化されないままです。USB ドライブなどの外部メディアを暗号化したいときは、別のコンピュータに安全に持っていけるようになるので便利です。また、アクセスする人ごとに暗号化するデータを選択することもできます。

dm-crypt は[[ディスク暗号化#ブロックデバイスの暗号化|ブロックレベル]]の暗号化レイヤーなので、完全なデバイスや[[#パーティション|パーティション]]、[[#Loop_デバイス|loop デバイス]]などしか暗号化できません。個別のファイルを暗号化するには、[[eCryptfs]] や [[EncFS]] などのファイルシステムレベルの暗号化レイヤーが必要です。個人データを守る方法に関する一般的な情報は[[ディスク暗号化]]を見て下さい。

== パーティション ==
This example covers the encryption of the {{ic|/home}} partition, but it can be applied to any other comparable non-root partition containing user data.

{{Tip|You can either have a single user's {{ic|/home}} directory on a partition, or create a common partition for all user's {{ic|/home}} partitions.}}

First, prepare the partition by securely erasing it, see [[Dm-crypt/Drive preparation#Secure erasure of the hard disk drive]].

Then setup the LUKS header with:
# cryptsetup ''options'' luksFormat ''device''

Replace {{ic|''device''}} with the previously created partition. See [[Dm-crypt/Device encryption#Encryption options for LUKS mode]] for details like the available {{ic|''options''}}.

To gain access to the encrypted partition, unlock it with the device mapper, using:
# cryptsetup open ''device'' ''name''

After unlocking the partition, it will be available at {{ic|/dev/mapper/''name''}}. Now create a [[file system]] of your choice with:
# mkfs.''fstype'' /dev/mapper/''name''

Mount the file system to {{ic|/home}}, or if it should be accessible to only one user to {{ic|/home/''username''}}, see [[#Manual mounting and unmounting]].

{{Tip|Unmount and mount once to verify that the mapping is working as intended.}}

=== 手動でマウント・アンマウント ===
To mount the partition:

# cryptsetup --type luks open ''device'' ''name''
# mount -t ext4 /dev/mapper/''name'' /mnt/home

To unmount it:

# umount /mnt/home
# cryptsetup close ''name''

=== ロック解除とマウントの自動化 ===

There are two different solutions for automating the process of unlocking the partition and mounting its filesystem.

==== Crypttab ====

Using the {{ic|/etc/crypttab}} configuration file, unlocking happens at boot time by systemd's automatic parsing. This is the recommended solution if you want to use one common partition for all user's home partitions or automatically mount another encrypted block device.

See [[Dm-crypt/System configuration#crypttab]] for references and [[Dm-crypt/System configuration#Mounting at boot time]] for an example set up.

==== Pam mount ====
With Pam mount, unlocking happens on user login: this is the recommended solution if you want to have a single user's home directory on a partition.

See [[Pam mount]].

== Loop デバイス ==

A loop device enables to map a blockdevice to a file with the standard util-linux tool {{ic|losetup}}. The file can then contain a filesystem, which can be used quite like any other filesystem. A lot of users know [[Truecrypt]] as a tool to create encrypted containers. Just about the same functionality can be achieved with a loopback filesystem encrypted with LUKS and is shown in the following example.

First, start by creating an encrypted container, using an appropriate [[Random number generation|random number generator]]:

# dd if=/dev/urandom of=/bigsecret bs=1M count=10

This will create the file {{ic|bigsecret}} with a size of 10 megabytes.

{{Note|To avoid having to [[#Resizing the loopback filesystem|resize]] the container later on, make sure to make it larger than the total size of the files to be encrypted, in order to at least also host the associated metadata needed by the internal file system. If you are going to use LUKS mode, its metadata header requires one to two megabytes alone.}}

Next create the device node {{ic|/dev/loop0}}, so that we can mount/use our container:

# losetup /dev/loop0 /bigsecret

{{Note|If it gives you the error {{ic|/dev/loop0: No such file or directory}}, you need to first load the kernel module with {{ic|modprobe loop}}. These days (Kernel 3.2) loop devices are created on demand. Ask for a new loop device with {{ic|# losetup -f}}.}}

From now on the procedure is the same as for [[#Partition]], except for the fact that the container is already randomised and will not need another secure erasure.

{{Tip|Containers with ''dm-crypt'' can be very flexible. Have a look at the features and documentation of [[Tomb]]. It provides a ''dm-crypt'' script wrapper for fast and flexible handling.}}

=== 手動でマウント・アンマウント ===
To unmount the container:

# umount /mnt/secret
# cryptsetup close secret
# losetup -d /dev/loop0

To mount the container again:

# losetup /dev/loop0 /bigsecret
# cryptsetup --type luks open /dev/loop0 secret
# mount -t ext4 /dev/mapper/secret /mnt/secret

=== loopback ファイルシステムのサイズの変更 ===
First unmount the encrypted container:
# umount /mnt/secret
# cryptsetup close secret
# losetup -d /dev/loop0

Next, expand the container file with the size of the data you want to add:

# dd if=/dev/urandom bs=1M count=1024 | cat - >> /bigsecret

{{Warning|Be careful to really use '''two''' {{ic|>}}, or you will override your current container.}}

Now map the container to the loop device:
# losetup /dev/loop0 /bigsecret
# cryptsetup --type luks open /dev/loop0 secret

After this, resize the encrypted part of the container to the maximum size of the container file:
# cryptsetup resize secret

Finally, perform a filesystem check and, if it is ok, resize it (example for ext2/3/4):
# e2fsck -f /dev/mapper/secret
# resize2fs /dev/mapper/secret

You can now mount the container again:
# mount /dev/mapper/secret /mnt/secret

Dm-crypt/root 以外のファイルシステムの暗号化 - 版の履歴

Kusanaginoturugi: 校正（でき・出来）

Kusanaginoturugi: カテゴリの修正

Kusanaginoturugi: カテゴリを変更

Kusakata: 戻るリンクを削除

Kusakata: カテゴリ変更

Kusakata: 同期

Kusakata: 同期

2015年2月13日 (金) 09:35にKusakataによる

Kusakata: ページの作成:「{{Lowercase title}} Category:セキュリティ Category:ファイルシステム en:dm-crypt/Encrypting a non-root file system dm-crypt に戻る。 以...」

Kusakata: ページの作成:「{{Lowercase title}} Category:セキュリティ Category:ファイルシステム en:dm-crypt/Encrypting a non-root file system dm-crypt に戻る。以...」