Os servidores com sistemas de arquivos raiz criptografados podem ser razoavelmente disponíveis?

Question

Eu tenho alguns servidores que gostaria de manter em discos criptografados, mas não quero ter que digitar manualmente uma senha em cada inicialização. Eu também não quero manter a chave na máquina sem criptografia. O TPM seria um ajuste natural aqui, mas e se alguém roubar toda a máquina?

E se eu configurar um "cluster" de tipos, em que cada máquina armazenasse as chaves da outra máquina em algo criptografado em repouso? Portanto, agora, somente se todas as máquinas no cluster estivessem offline ao mesmo tempo, uma frase secreta seria fornecida manualmente, mas apenas em uma das máquinas.

Cada nó teria um initramdisk com uma instância dropbear e alguns scripts que:

1. Tente detectar outros nós no cluster.
2. Envie alguma solicitação para o outro nó para fazer o retorno e efetuar login via ssh e forneça a chave para o sistema de arquivos raiz local.
3. Se nenhum host estiver no cluster ou nenhum host tiver a chave ssh apropriada, solicite uma frase secreta.

Dessa forma, nenhuma chave é armazenada sem criptografia em lugar algum, e eu posso reinicializar todos os meus servidores, desde que pelo menos um permaneça ativo em um determinado momento. Se eles estão todos de uma vez, eu tenho que digitar uma senha.

Isso seria uma solução segura? Se não, a idéia básica poderia ser modificada para ser uma solução segura?

(Além disso, existe um nome para este tipo de configuração?)

    

Answer 1

Esta é apenas uma resposta parcial, mas você examinou arver ? O Arver é uma ferramenta para gerenciar discos criptografados pelo LUKS em diferentes sistemas por pessoas diferentes.