From b84b849318be6f86daa006c9f185336bf1cda76c Mon Sep 17 00:00:00 2001 From: gcolpart Date: Fri, 23 Jun 2017 15:14:55 +0200 Subject: [PATCH] crypttab --- HowtoLUKS.md | 20 ++++++++++++++++---- 1 file changed, 16 insertions(+), 4 deletions(-) diff --git a/HowtoLUKS.md b/HowtoLUKS.md index 5b18aed0..2932ea55 100644 --- a/HowtoLUKS.md +++ b/HowtoLUKS.md @@ -136,6 +136,8 @@ Pour Restaurer l'entête : ## FAQ +### Command failed: Failed to setup dm-crypt key mapping + Si vous obtenez un message de ce type : ~~~ @@ -149,19 +151,19 @@ Cela signifie probablement que le module noyau *Device Mapper* n'est pas chargé # modprobe dm-mod ~~~ -## Notes sur les algorithmes de chiffrement +### Notes sur les algorithmes de chiffrement Pour utiliser un algorithme de chiffrement spécifique, il faut le préciser au moment de la création de la partition : ~~~ -# cryptsetup --verbose --cipher=aes-cbc-essiv:sha256 --verify-passphrase luksFormat /dev/md7 +# cryptsetup --verbose --cipher=aes-cbc-essiv:sha256 --verify-passphrase luksFormat /dev/hda7 ~~~ Le chiffrement **aes-cbc-essiv** est le chiffrement par défaut de _cryptsetup_ pour les noyaux supérieurs au 2.6.10 car il corrige une vulnérabilité potentielle du chiffrement _aes-cbc-plain_. Une autre méthode de chiffrement utilisée avec l'algorithme AES (Rijndael) est le mode XTS, qui est réputé plus résistant aux attaques par watermarking, mais nécessite un module spécifique (judicieusement nommé _xts_) et une clef d'initialisation du double de la taille de la clef finale (voir Les autres algorithmes dignes d’intérêt sont _twofish_ et _serpent_, deux compétiteurs de l'AES face à Rijndael. -## Benchmark +### Benchmark On peut vérifier la capacité du processeur avec les différents algorithmes en utilisant `cryptsetup benchmark`. Exemple de sortie @@ -188,4 +190,14 @@ PBKDF2-whirlpool 214169 iterations per second twofish-xts 512b 241.4 MiB/s 228.3 MiB/s ~~~ -Cela permet aussi de choisir le chiffrement le plus performant, dans cet exemple *aes-xts* avec une clé de 256 bits est le plus performant. \ No newline at end of file +Cela permet aussi de choisir le chiffrement le plus performant, dans cet exemple *aes-xts* avec une clé de 256 bits est le plus performant. + +### /etc/crypttab + +Grâce au fichier `/etc/crypttab` on peut déchiffrer des partitions au démarrage. Attention, il faudra alors être présent physiquement devant la machine donc le cas d'usage est surtout un ordinateur portable : + +~~~ +hda5_crypt UUID=b1fef975-514f-4f33-839c-8b0d4dfeaabe none luks,swap +hda7_crypt UUID=cd81744f-5254-5ff0-b649-3d0143827924 none luks +~~~ +~~~ \ No newline at end of file