Archlinux "Cryptage complet des disques"
Archlinux "Cryptage complet des disques"
Archlinux “Cryptage complet des disques”
Références
- Article original Full disk encryption with LUKS (including /boot) de Pavel Kogan 23 mai 2014
- How to full encrypt your linux system with lvm on luks
- Archlinux avec LUKS et LVM sur un SSD
- Installer Ubuntu avec LVM sur une partition chiffrée via dm-crypt
- dm-crypt/Encrypting an entire system (LVM on LUKS)
- Chiffrer son disque avec cryptsetup, luks, pam-mount
- How to install Arch Linux with Full Disk Encryption
En cherchant des informations sur la façon de chiffrer le disque dur de mon ordinateur portable, il est dit que la partition sur laquelle /boot réside doit rester non chiffrée,
GRUB est capable de gérer la cryptographie, car il peut être mis en place avec un hachage mot de passe.
GRUB peut charger les modules crypto.mod, cryptodisk.mod et même luks.mod!
Ce guide sur la la configuration d’un système Arch Linux chiffré fournit les instructions sur la façon de crypter complètement un système, y compris /boot
ATTENTION !!! Tout chiffrer pose 2 problèmes :
- Le clavier GRUB est qwerty , ce qui rend compliqué la saisie de la phrase mot de passe (je n’ai pas réussi à passer la saisie en FR)
- On saisie 2 fois la phrase mot de passe , sur le grub bios puis sur le menu grub
Essais effectués sur une machine virtuelle , BOOT NON CHIFFRE
1
2
3
4
5
6
7
8
9
10
11
12
Nom virtuel : archyan
RAM : 1024Mo
HDD fixe: 30Go
Réseau : Accès par pont
Processeur : 2
Carte mère : Optical+ Disque dur
Activer EFI
Stockage optical : archlinux-2016.08.01-dual.iso (pour l'installation)
root ytreu49
yarch yarch49
machine : archyan
ATTENTION : générer mkinitcpio
Archlinux ,installation de base
Boot sur image archlinux-2016.08.01-dual.iso
1
loadkeys fr-pc
Si vous utilisez la wifi uniquement
1
wifi-menu
Effacement du disque
Exécuter lsblk pour trouver le disque primaire (ici /dev/sda):
1
shred --verbose --random-source=/dev/urandom --iterations=3 /dev/sda
ATTENTION !!! opération très longue ,fonction de la taille du disque (>30 mn pour 30GB)
Partionnement
En ligne de commande
1
2
3
4
5
6
7
8
9
10
11
12
13
14
# Remove partitions
sgdisk --zap-all /dev/sda
# Create GUID Partition Table
sgdisk --mbrtogpt /dev/sda
# Create BIOS boot partition (1M)
sgdisk --new 1::+1M --typecode 1:ef02 --change-name 1:"BIOS boot partition" /dev/sda
# Create EFI System partition (50M)
sgdisk --new 2::+50M --typecode 2:ef00 --change-name 2:"EFI System" /dev/sda
# Create linux boot partition (512M)
sgdisk --new 3::+512M --typecode 2:8300 --change-name 3:"Linux boot partition" /dev/sda
# Create linux lvm 100%free
sgdisk --new 4::: --typecode 4:8e00 --change-name 4:"Linux lvm partition" /dev/sda
# Create hybrid MBR
sgdisk --hybrid 1:2:3 /dev/sda
Chiffrer le disque
1
2
3
4
5
6
cryptsetup --verbose --cipher aes-xts-plain64 --key-size 512 --hash sha512 --iter-time 5000 --use-random luksFormat /dev/sda4
-> saisir YES en majuscule
-> entrer une phrase mot de passe "huit novembre 2016" par exemple
cryptsetup luksOpen /dev/sda4 cryptroot
-> saisir la phrase mot de passe
Création des volumes LVM
1
2
3
4
5
6
7
8
9
10
pvcreate /dev/mapper/cryptroot
vgcreate vg /dev/mapper/cryptroot
lvcreate -L 4G vg -n swap
lvcreate -L 15G vg -n root
lvcreate -l +100%FREE vg -n home
# Type de fichier
mkswap -L swap /dev/mapper/vg-swap
mkfs.ext4 /dev/mapper/vg-root
mkfs.ext4 /dev/mapper/vg-home
mkfs.ext2 /dev/sda3 # linux boot
Installation de base
Activation swap ,permet de vérifier la fonction mais n’est pas utile lors de l’installation
1
swapon /dev/mapper/vg-swap
Points de montage
1
2
3
4
mount /dev/mapper/vg-root /mnt
mkdir /mnt/{boot,home}
mount /dev/mapper/vg-home /mnt/home
mount /dev/sda3 /mnt/boot
passer la commande suivante avant la première ligne pacstrap :
1
export LANG=C
installation de base
1
2
3
4
5
pacstrap /mnt base base-devel
# avec efi
pacstrap /mnt base base-devel grub-efi-x86_64 git efibootmgr dialog
# avec efi et wifi
pacstrap /mnt base base-devel grub-efi-x86_64 git efibootmgr dialog wpa_supplicant
générer le fichier /etc/fstab qui liste les partitions présentes avec les UUID des partitions
1
2
3
4
5
6
7
# générer le fstab
genfstab -U -p /mnt >> /mnt/etc/fstab
# ajout dossier temporaire /tmp sur ram
nano /mnt/etc/fstab
# ajouter la ligne suivante au fichier fstab
tmpfs /tmp tmpfs defaults,noatime,mode=1777 0 0
# Change relatime on all non-boot partitions to noatime (reduces wear if using an SSD)
Passage en chroot
1
arch-chroot /mnt
Clavier en mode texte
1
nano /etc/vconsole.conf
Ajouter
1
2
KEYMAP=fr-latin9
FONT=lat9w-16
Localisation
1
nano /etc/locale.conf
Ajouter
1
2
LANG=fr_FR.UTF-8
LC_COLLATE=C
Il faut supprimer le # au début de la ligne fr_FR.UTF-8 UTF-8 dans le fichier /etc/locale.gen
1
sed -i 's/#fr_FR.UTF-8 UTF-8/fr_FR.UTF-8 UTF-8/g' /etc/locale.gen
puis générer:
1
locale-gen
spécifier la locale pour la session courante
1
export LANG=fr_FR.UTF-8
fuseau horaire de Paris
1
ln -sf /usr/share/zoneinfo/Europe/Paris /etc/localtime
on a une machine en mono-démarrage sur Archlinux, et on peut demander à ce que l’heure appliquée soit UTC
1
hwclock --systohc --utc
mot de passe root
1
passwd root
Ajouter un utilisateur et son mot de passe
1
2
useradd -m -g users -G wheel,games,power,optical,storage,scanner,lp,audio,video -s /bin/bash archuser
passwd archuser
Installer et configurer GRUB
1
pacman -S sudo grub os-prober
Modifier sudoers pour accès sudo sans mot de passe à l’utilisateur archuser
1
2
3
4
5
6
echo "archuser ALL=(ALL) NOPASSWD: ALL" >> /etc/sudoers
# ou avec :
EDITOR=nano visudo
#décommenter la ligne
%wheel ALL=(ALL) ALL
on veut avoir accès à l’outil yaourt, il faut modifier /etc/pacman.conf
1
nano /etc/pacman.conf
et ajouter ceci à la fin du fichier
1
2
3
[archlinuxfr]
SigLevel = Never
Server = http://repo.archlinux.fr/$arch
Une fois yaourt installé, on peut enlever sans aucun risque les lignes en question.
1
pacman -Syy && pacman -S yaourt
réseau networkmanager et openssh
1
2
3
pacman -S networkmanager openssh
systemctl enable NetworkManager
systemctl enable sshd.socket
Modifier la configuration GRUB pour la prise en charge du chiffrement
1
nano /etc/default/grub
Ajouter
1
2
#GRUB_ENABLE_CRYPTODISK=y
GRUB_CMDLINE_LINUX="cryptdevice=/dev/sda4:cryptroot"
modifier le fichier /etc/mkinitcpio.conf
1
nano /etc/mkinitcpio.conf
et ajouter encrypt lvm2 entre block et filesystems dans les HOOKS
puis exécuter mkinitcpio qui est un script shell utilisé pour créer un environnement qui se chargé en premier en mémoire :
1
mkinitcpio -p linux
Installer grub et son fichier de configuration:
1
2
grub-install --recheck /dev/sda
grub-mkconfig --output /boot/grub/grub.cfg
On peut maintenant quitter tout, démonter proprement les partitions et redémarrer.
1
2
3
4
exit
umount -R /mnt
reboot
# oter la clé USB
Archlinux post-installation
On se connecte en utilisateur
Multimédia
Les outils en place, on lance alsamixer , pour configurer le niveau sonore de Master
Sauvegarder le paramétrage précédent , on exécute sudo alsactl store
installer l’ensemble des greffons gstreamer qui donneront accès aux fichiers multimédias
1
sudo pacman -S gst-plugins-base gst-plugins-good gst-plugins-bad gst-plugins-ugly gst-libav
Xorg
Ordinateur portable avec pavé tactile , on installe xf86-input-libinput
Carte graphique Intel , on installe xf86-video-intel
1
sudo pacman -S xorg-server xorg-xinit xorg-xmessage xorg-utils xorg-server-utils xorg-apps xf86-input-mouse xf86-input-keyboard xdg-user-dirs xf86-input-libinput xf86-video-intel
Installation virtuelle
1
2
3
4
5
6
sudo pacman -S xorg-server xorg-xinit xorg-xmessage xorg-utils xorg-server-utils xorg-apps xf86-input-mouse xf86-input-keyboard xdg-user-dirs xf86-input-libinput virtualbox-guest-modules-arch virtualbox-guest-utils
# activer et démarrer le service vboxservice :
sudo systemctl enable vboxservice
sudo systemctl start vboxservice
# Vous pouvez charger les modules manuellement :
sudo modprobe -a vboxguest vboxsf vboxvideo
installation des polices.
1
2
3
4
sudo pacman -S xorg-fonts-type1 artwiz-fonts font-bh-ttf \
font-bitstream-speedo gsfonts sdl_ttf ttf-bitstream-vera \
ttf-cheapskate ttf-liberation ttf-dejavu \
ttf-freefont ttf-arphic-uming ttf-baekmuk # Polices pour sites multilingue
Pour avoir le bon agencement clavier dès la saisie du premier caractère du mot de passe, il faut entrer la commande suivant avant de lancer pour la première fois lightdm :
1
sudo localectl set-x11-keymap fr
Configuration du clavier pour GRUB
Par défaut, GRUB utilise un clavier qwerty. Pour que GRUB utilise une autre configuration de clavier, il va falloir générer un fichier de configuration et l’ajouter à GRUB.
Générez un nouveau fichier de configuration clavier
Récupérez le script ckbcomp disponible dans AUR
1
yaourt -S ckbcomp
et exécutez la commande :
1
sudo grub-kbdcomp -o /boot/grub/fr.gkb fr
Inclure la nouvelle configuration de clavier dans GRUB
Créer ou modifier le fichier suivant /etc/grub.d/50_keyboard
1
2
3
4
5
#!/bin/sh
exec tail -n +3 $0
# Clavier fr
insmod keylayouts
keymap /boot/grub/fr.gkb
Le rendre exécutable
1
sudo chmod +x /etc/grub.d/50_keyboard
Ajouter dans le fichier /etc/default/grub
1
2
GRUB_TERMINAL_INPUT=console
GRUB_TERMINAL_INPUT=at_keyboard
Reconstruire GRUB
1
sudo grub-mkconfig -o /boot/grub/grub.cfg