「Dm-crypt/root 以外のファイルシステムの暗号化」の版間の差分

提供: ArchWiki
ナビゲーションに移動 検索に移動
 
13行目: 13行目:
   
 
== パーティション ==
  
== パーティション ==
  +
この例では {{ic|/home}} パーティションの暗号化を説明しますが、root 以外の同じようなパーティションなら同じ方法で暗号化できます。
−
This example covers the encryption of the {{ic|/home}} partition, but it can be applied to any other comparable non-root partition containing user data.
  
   
 
{{Tip|You can either have a single user's {{ic|/home}} directory on a partition, or create a common partition for all user's {{ic|/home}} partitions.}}
  
{{Tip|You can either have a single user's {{ic|/home}} directory on a partition, or create a common partition for all user's {{ic|/home}} partitions.}}
   
  +
まず、パーティションを完全に消去することでパーティションの準備をしてください。[[Dm-crypt/ドライブの準備#ハードディスクドライブの完全消去]] を参照。
−
First, prepare the partition by securely erasing it, see [[Dm-crypt/Drive preparation#Secure erasure of the hard disk drive]].
  
   
  +
そして次のコマンドで LUKS ヘッダーを設定:
−
Then setup the LUKS header with:
  
 
# cryptsetup ''options'' luksFormat ''device''
  
# cryptsetup ''options'' luksFormat ''device''
   
  +
{{ic|''device''}} は先に作成したパーティションに置き換えて下さい。{{ic|''options''}} に利用できるオプションなどは [[Dm-crypt/デバイスの暗号化#LUKS モードの暗号化オプション]] を見て下さい。
−
Replace {{ic|''device''}} with the previously created partition. See [[Dm-crypt/Device encryption#Encryption options for LUKS mode]] for details like the available {{ic|''options''}}.
  
   
  +
暗号化されたパーティションにアクセスできるようにするには、デバイスマッパーでロックを解除します:
−
To gain access to the encrypted partition, unlock it with the device mapper, using:
  
 
# cryptsetup open ''device'' ''name''
  
# cryptsetup open ''device'' ''name''
   
  +
パーティションを解錠した後は {{ic|/dev/mapper/''name''}} から利用できるようになります。お好きな[[ファイルシステム]]を作成してください:
−
After unlocking the partition, it will be available at {{ic|/dev/mapper/''name''}}. Now create a [[file system]] of your choice with:
  
 
# mkfs.''fstype'' /dev/mapper/''name''
  
# mkfs.''fstype'' /dev/mapper/''name''
   
  +
ファイルシステムを {{ic|/home}} にマウントするか、誰か一人のユーザーにだけアクセス可能にしたい場合は {{ic|/home/''username''}} にマウントします。[[#手動でマウント・アンマウント]] を見て下さい。
−
Mount the file system to {{ic|/home}}, or if it should be accessible to only one user to {{ic|/home/''username''}}, see [[#Manual mounting and unmounting]].
  
   
 
{{Tip|Unmount and mount once to verify that the mapping is working as intended.}}
  
{{Tip|Unmount and mount once to verify that the mapping is working as intended.}}
   
 
=== 手動でマウント・アンマウント ===
  
=== 手動でマウント・アンマウント ===
  +
パーティションをマウントするには:
−
To mount the partition:
  
   
 
# cryptsetup --type luks open ''device'' ''name''
  
# cryptsetup --type luks open ''device'' ''name''
 
# mount -t ext4 /dev/mapper/''name'' /mnt/home
  
# mount -t ext4 /dev/mapper/''name'' /mnt/home
   
  +
パーティションをアンマウントするには:
−
To unmount it:
  
   
 
# umount /mnt/home
  
# umount /mnt/home
47行目: 47行目:
 
=== ロック解除とマウントの自動化 ===
  
=== ロック解除とマウントの自動化 ===
   
  +
パーティションのロックの解除とファイルシステムのマウントを自動化する方法は2つあります。
−
There are two different solutions for automating the process of unlocking the partition and mounting its filesystem.
  
   
 
==== Crypttab ====
  
==== Crypttab ====
   
  +
{{ic|/etc/crypttab}} 設定ファイルを使用することで、起動時に systemd によって自動的にファイルが読み取られロックが解除されます。全てのユーザーの home パーティションに共通のパーティションを使用する場合や、他の暗号化ブロックデバイスを自動的にマウントしたい場合に推奨される方法です。
−
Using the {{ic|/etc/crypttab}} configuration file, unlocking happens at boot time by systemd's automatic parsing. This is the recommended solution if you want to use one common partition for all user's home partitions or automatically mount another encrypted block device.
 
   
−
See [[Dm-crypt/System configuration#crypttab]] for references and [[Dm-crypt/System configuration#Mounting at boot time]] for an example set up.
+
詳しくは [[Dm-crypt/システム設定#crypttab]] を見て下さい。設定例は [[Dm-crypt/システム設定#起動時にマウント]] を見て下さい。
   
 
==== Pam mount ====
  
==== Pam mount ====
  +
Pam mount を使うことでユーザーのログイン時に解錠できます: パーティションに誰か一人のホームディレクトリがある場合に推奨される方法です。
−
With Pam mount, unlocking happens on user login: this is the recommended solution if you want to have a single user's home directory on a partition.
  
   
−
See [[Pam mount]].
 +
[[Pam mount]] を見て下さい。
   
 
== Loop デバイス ==
  
== Loop デバイス ==
   
  +
ループデバイスを使って util-linux の標準ツール {{ic|losetup}} でファイルにブロックデバイスをマップすることができます。ファイルにはファイルシステムが含まれ、他のファイルシステムと同じように使うことが可能です。暗号化されたコンテナを作成するツールとしては [[TrueCrypt]] が有名ですが、ループデバイスファイルシステムを使って LUKS で暗号化することで同じような機能が実現できると考えてください。
−
A loop device enables to map a blockdevice to a file with the standard util-linux tool {{ic|losetup}}. The file can then contain a filesystem, which can be used quite like any other filesystem. A lot of users know [[Truecrypt]] as a tool to create encrypted containers. Just about the same functionality can be achieved with a loopback filesystem encrypted with LUKS and is shown in the following example.
 
   
  +
まず、適切な[[乱数生成|乱数生成器]]を使用して、暗号化するコンテナを作成します:
−
First, start by creating an encrypted container, using an appropriate [[Random number generation|random number generator]]:
 
   
 
# dd if=/dev/urandom of=/bigsecret bs=1M count=10
  
# dd if=/dev/urandom of=/bigsecret bs=1M count=10
   
  +
このコマンドで10メガバイトの容量の {{ic|bigsecret}} ファイルが作成されます。
−
This will create the file {{ic|bigsecret}} with a size of 10 megabytes.
 
   
 
{{Note|To avoid having to [[#Resizing the loopback filesystem|resize]] the container later on, make sure to make it larger than the total size of the files to be encrypted, in order to at least also host the associated metadata needed by the internal file system. If you are going to use LUKS mode, its metadata header requires one to two megabytes alone.}}
  
{{Note|To avoid having to [[#Resizing the loopback filesystem|resize]] the container later on, make sure to make it larger than the total size of the files to be encrypted, in order to at least also host the associated metadata needed by the internal file system. If you are going to use LUKS mode, its metadata header requires one to two megabytes alone.}}
   
  +
次にデバイスノード {{ic|/dev/loop0}} を作成して、コンテナをマウント・利用できるようにします:
−
Next create the device node {{ic|/dev/loop0}}, so that we can mount/use our container:
  
   
 
# losetup /dev/loop0 /bigsecret
  
# losetup /dev/loop0 /bigsecret
78行目: 78行目:
 
{{Note|If it gives you the error {{ic|/dev/loop0: No such file or directory}}, you need to first load the kernel module with {{ic|modprobe loop}}. These days (Kernel 3.2) loop devices are created on demand. Ask for a new loop device with {{ic|# losetup -f}}.}}
  
{{Note|If it gives you the error {{ic|/dev/loop0: No such file or directory}}, you need to first load the kernel module with {{ic|modprobe loop}}. These days (Kernel 3.2) loop devices are created on demand. Ask for a new loop device with {{ic|# losetup -f}}.}}
   
  +
ここからの作業は [[#パーティション]] と同じです。違うのはコンテナは既にランダム化されており消去する必要がないということだけです。
−
From now on the procedure is the same as for [[#Partition]], except for the fact that the container is already randomised and will not need another secure erasure.
  
   
 
{{Tip|Containers with ''dm-crypt'' can be very flexible. Have a look at the features and documentation of [[Tomb]]. It provides a ''dm-crypt'' script wrapper for fast and flexible handling.}}
  
{{Tip|Containers with ''dm-crypt'' can be very flexible. Have a look at the features and documentation of [[Tomb]]. It provides a ''dm-crypt'' script wrapper for fast and flexible handling.}}
   
 
=== 手動でマウント・アンマウント ===
  
=== 手動でマウント・アンマウント ===
  +
コンテナをアンマウントするには:
−
To unmount the container:
  
   
 
# umount /mnt/secret
  
# umount /mnt/secret
89行目: 89行目:
 
# losetup -d /dev/loop0
  
# losetup -d /dev/loop0
   
  +
コンテナをマウントするには:
−
To mount the container again:
  
   
 
# losetup /dev/loop0 /bigsecret
  
# losetup /dev/loop0 /bigsecret
96行目: 96行目:
   
 
=== loopback ファイルシステムのサイズの変更 ===
  
=== loopback ファイルシステムのサイズの変更 ===
  +
まず暗号化されたコンテナをアンマウントします:
−
First unmount the encrypted container:
  
 
# umount /mnt/secret
  
# umount /mnt/secret
 
# cryptsetup close secret
  
# cryptsetup close secret
 
# losetup -d /dev/loop0
  
# losetup -d /dev/loop0
   
  +
次に、追加したいデータ容量を決めてコンテナファイルを拡張します:
−
Next, expand the container file with the size of the data you want to add:
  
   
 
# dd if=/dev/urandom bs=1M count=1024 | cat - >> /bigsecret
  
# dd if=/dev/urandom bs=1M count=1024 | cat - >> /bigsecret
107行目: 107行目:
 
{{Warning|Be careful to really use '''two''' {{ic|>}}, or you will override your current container.}}
  
{{Warning|Be careful to really use '''two''' {{ic|>}}, or you will override your current container.}}
   
  +
ループデバイスにコンテナをマップ:
−
Now map the container to the loop device:
  
 
# losetup /dev/loop0 /bigsecret
  
# losetup /dev/loop0 /bigsecret
 
# cryptsetup --type luks open /dev/loop0 secret
  
# cryptsetup --type luks open /dev/loop0 secret
   
  +
その後、コンテナの暗号化された部分をコンテナファイルの最大サイズまでリサイズ:
−
After this, resize the encrypted part of the container to the maximum size of the container file:
  
 
# cryptsetup resize secret
  
# cryptsetup resize secret
   
  +
最後に、ファイルシステムのチェックを実行して、問題なければ、リサイズを行います (例: ext2/3/4):
−
Finally, perform a filesystem check and, if it is ok, resize it (example for ext2/3/4):
  
 
# e2fsck -f /dev/mapper/secret
  
# e2fsck -f /dev/mapper/secret
 
# resize2fs /dev/mapper/secret
  
# resize2fs /dev/mapper/secret
   
  +
またコンテナをマウントすることができます:
−
You can now mount the container again:
  
 
# mount /dev/mapper/secret /mnt/secret
  
# mount /dev/mapper/secret /mnt/secret

2015年2月13日 (金) 18:35時点における版

dm-crypt に戻る。

以下は dm-crypt で root 以外のファイルシステムを暗号化するサンプルです。

概要

セカンダリファイルシステムの暗号化は基本的に重要なデータだけを保護します。オペレーティングシステムやプログラムファイルは暗号化されないままです。USB ドライブなどの外部メディアを暗号化したいときは、別のコンピュータに安全に持っていけるようになるので便利です。また、アクセスする人ごとに暗号化するデータを選択することもできます。

dm-crypt はブロックレベルの暗号化レイヤーなので、完全なデバイスやパーティション、loop デバイスなどしか暗号化できません。個別のファイルを暗号化するには、eCryptfs や EncFS などのファイルシステムレベルの暗号化レイヤーが必要です。個人データを守る方法に関する一般的な情報はディスク暗号化を見て下さい。

パーティション

この例では /home パーティションの暗号化を説明しますが、root 以外の同じようなパーティションなら同じ方法で暗号化できます。

ヒント: You can either have a single user's /home directory on a partition, or create a common partition for all user's /home partitions.

まず、パーティションを完全に消去することでパーティションの準備をしてください。Dm-crypt/ドライブの準備#ハードディスクドライブの完全消去 を参照。

そして次のコマンドで LUKS ヘッダーを設定: 

# cryptsetup options luksFormat device

device は先に作成したパーティションに置き換えて下さい。options に利用できるオプションなどは Dm-crypt/デバイスの暗号化#LUKS モードの暗号化オプション を見て下さい。

暗号化されたパーティションにアクセスできるようにするには、デバイスマッパーでロックを解除します: 

# cryptsetup open device name

パーティションを解錠した後は /dev/mapper/name から利用できるようになります。お好きなファイルシステムを作成してください: 

# mkfs.fstype /dev/mapper/name

ファイルシステムを /home にマウントするか、誰か一人のユーザーにだけアクセス可能にしたい場合は /home/username にマウントします。#手動でマウント・アンマウント を見て下さい。

ヒント: Unmount and mount once to verify that the mapping is working as intended.

手動でマウント・アンマウント

パーティションをマウントするには: 

# cryptsetup --type luks open device name
# mount -t ext4 /dev/mapper/name /mnt/home

パーティションをアンマウントするには: 

# umount /mnt/home
# cryptsetup close name

ロック解除とマウントの自動化

パーティションのロックの解除とファイルシステムのマウントを自動化する方法は2つあります。

Crypttab

/etc/crypttab 設定ファイルを使用することで、起動時に systemd によって自動的にファイルが読み取られロックが解除されます。全てのユーザーの home パーティションに共通のパーティションを使用する場合や、他の暗号化ブロックデバイスを自動的にマウントしたい場合に推奨される方法です。

詳しくは Dm-crypt/システム設定#crypttab を見て下さい。設定例は Dm-crypt/システム設定#起動時にマウント を見て下さい。

Pam mount

Pam mount を使うことでユーザーのログイン時に解錠できます: パーティションに誰か一人のホームディレクトリがある場合に推奨される方法です。

Pam mount を見て下さい。

Loop デバイス

ループデバイスを使って util-linux の標準ツール losetup でファイルにブロックデバイスをマップすることができます。ファイルにはファイルシステムが含まれ、他のファイルシステムと同じように使うことが可能です。暗号化されたコンテナを作成するツールとしては TrueCrypt が有名ですが、ループデバイスファイルシステムを使って LUKS で暗号化することで同じような機能が実現できると考えてください。

まず、適切な乱数生成器を使用して、暗号化するコンテナを作成します: 

# dd if=/dev/urandom of=/bigsecret bs=1M count=10

このコマンドで10メガバイトの容量の bigsecret ファイルが作成されます。

ノート: To avoid having to resize the container later on, make sure to make it larger than the total size of the files to be encrypted, in order to at least also host the associated metadata needed by the internal file system. If you are going to use LUKS mode, its metadata header requires one to two megabytes alone.

次にデバイスノード /dev/loop0 を作成して、コンテナをマウント・利用できるようにします: 

# losetup /dev/loop0 /bigsecret
ノート: If it gives you the error /dev/loop0: No such file or directory, you need to first load the kernel module with modprobe loop. These days (Kernel 3.2) loop devices are created on demand. Ask for a new loop device with # losetup -f.

ここからの作業は #パーティション と同じです。違うのはコンテナは既にランダム化されており消去する必要がないということだけです。

ヒント: Containers with dm-crypt can be very flexible. Have a look at the features and documentation of Tomb. It provides a dm-crypt script wrapper for fast and flexible handling.

手動でマウント・アンマウント

コンテナをアンマウントするには: 

# umount /mnt/secret
# cryptsetup close secret
# losetup -d /dev/loop0

コンテナをマウントするには: 

# losetup /dev/loop0 /bigsecret
# cryptsetup --type luks open /dev/loop0 secret
# mount -t ext4 /dev/mapper/secret /mnt/secret

loopback ファイルシステムのサイズの変更

まず暗号化されたコンテナをアンマウントします: 

# umount /mnt/secret
# cryptsetup close secret
# losetup -d /dev/loop0

次に、追加したいデータ容量を決めてコンテナファイルを拡張します: 

# dd if=/dev/urandom bs=1M count=1024 | cat - >> /bigsecret
警告: Be careful to really use two >, or you will override your current container.

ループデバイスにコンテナをマップ: 

# losetup /dev/loop0 /bigsecret
# cryptsetup --type luks open /dev/loop0 secret

その後、コンテナの暗号化された部分をコンテナファイルの最大サイズまでリサイズ: 

# cryptsetup resize secret

最後に、ファイルシステムのチェックを実行して、問題なければ、リサイズを行います (例: ext2/3/4): 

# e2fsck -f /dev/mapper/secret
# resize2fs /dev/mapper/secret

またコンテナをマウントすることができます: 

# mount /dev/mapper/secret /mnt/secret
「https://wiki.archlinux.jp/index.php?title=Dm-crypt/root_以外のファイルシステムの暗号化&oldid=2108」から取得