¿Cómo uso dm-crypt (LUKS) con GnuPG para usar dos factores para FDE?

Cuando se usa el cifrado de disco completo con Ubuntu (en oposición al cifrado homedir), se usa dm-crypt con LUKS para cifrar el volumen. En el instalador (al menos en 12.04 alternativo) puede elegir entre configurarlo utilizando una frase de contraseña o un archivo de claves. Me gustaría usar una combinación de los dos; tampoco, pero requieren ambos.

¿Por qué? Porque esto mejora la seguridad (dos factores); necesitarás tener algo y necesitas saber algo para desbloquearlo. Luego, quiero colocar el archivo de claves en un pequeño dispositivo de almacenamiento extraíble (unidad flash USB) y solo enchufarlo durante el tiempo de arranque. El resultado debería ser que es necesario colocar la unidad flash correcta y proporcionar la frase de contraseña correcta para desbloquear la partición raíz.

En otras palabras, quiero que me pregunten durante el arranque la frase de contraseña a la que se cifra el archivo de clave en una unidad externa.

Veo un /usr/share/initramfs-tools/hooks/cryptgnupgscript de ayuda que puede ayudar a lograrlo, pero no tengo idea de cómo usarlo.

_{Sólo para evitar confusiones: estoy no pidiendo una manera de agregar un adicional clave para el volumen para desbloquearlo.}

Hago lo mismo, sin embargo, me temo que mi respuesta no será satisfactoria, ya que por varias razones elegí un Initramfs completamente personalizado .

En lugar de GnuPG, que es un binario adicional que debe incluirse en Initramfs (y en el caso de GnuPG-2uno bastante complejo), simplemente utilicé lo que ya está allí. Y eso es obviamente dm-crypt/LUKS.

Supongamos que tienes un keyfile. Preferiblemente uno con datos aleatorios.

# dd if=/dev/urandom of=keyfile count=1
1+0 records in
1+0 records out
512 bytes (512 B) copied, 0.000189802 s, 2.7 MB/s

Agregue cifrado con LUKS (no dude en agregar la configuración de cifrado que prefiera).

# truncate -s 2M keyfile.luks
# cryptsetup luksFormat keyfile --header keyfile.luks

WARNING!
========
This will overwrite data on keyfile.luks irrevocably.

Are you sure? (Type uppercase yes): YES
Enter passphrase: bananas
Verify passphrase: bananas

Ahora tiene un archivo de claves (512 bytes) y un archivo de claves. Dado que Initramfs se comprimirá de todos modos, eso no es tan malo (aún más pequeño que GnuPG).

Ahora puede descifrar el archivo de claves:

# cryptsetup luksOpen keyfile --header keyfile.luks lukskey
Enter passphrase for keyfile: bananas

Y tiene 512 bytes de datos aleatorios en /dev/mapper/lukskey. (Puede escribirle si desea cambiarlo, por lo que podríamos haber inicializado el archivo con ceros antes).

# blockdev --getsize64 /dev/mapper/lukskey
512

En Initramfs init , puede abrir el volumen real de LUKS con él (suponiendo que haya agregado la clave primero).

cryptsetup --key-file=/dev/mapper/lukskey luksOpen /dev/yourdisk luksyourdisk
cryptsetup luksClose lukskey # clean up

Este enfoque hace que GnuPG sea completamente superfluo, además de que obtienes todas las ventajas de LUKS, como múltiples frases de contraseña para la clave, el cifrado de tu elección, etc. Sin mencionar un buen aviso de contraseña (en su mayoría regular) con múltiples intentos.