Cryptsetup luks - Verifica se o kernel suporta cifra aes-xts-plain64

Question

Eu criptografei um monte de discos rígidos com criptografia luks cryptsetup no CentOS 5. Tudo estava bem, até que eu atualizei meu sistema para o CentOS 6. Agora eu não consigo mais montar os discos.

Para montar com meu keyphrase:

sudo cryptsetup luksOpen /dev/sdc1 d2

Eu recebo este erro:

device-mapper: reload ioctl on  failed: Invalid argument
Failed to setup dm-crypt key mapping for device /dev/sdc1.
Check that kernel supports aes-xts-plain64 cipher (check syslog for more info).
Failed to read from key storage.

Em / var / log / messages:

Feb  3 23:43:23 data kernel: device-mapper: table: 253:0: crypt: Device lookup failed
Feb  3 23:43:23 data kernel: device-mapper: ioctl: error adding target to table

Alguma idéia de como eu posso montar?

    

Answer 1

Solução encontrada.

O problema era que as unidades eram criptografadas com uma frase-chave interativa de aproximadamente 512 caracteres (copiar / colar de um arquivo de chave). Por alguma razão, o novo módulo do kernel no CentOS 6 não lê corretamente chaves criptografadas de 512 caracteres quando criado por uma versão mais antiga. Apenas parece afetar versões diferentes do kernel ou cryptsetup, já que uma chave de 512 caracteres funcionará quando criada e aberta no mesmo sistema.

Em resumo ...

kernel - > criar luks chave de 512 caracteres - > pode abrir no mesmo kernel

kernel antigo - > criar luks chave de 512 caracteres - > não pode abrir no novo kernel

512 caracteres são muito longos. Não sei qual é o limite, mas decidi mudar minhas chaves para 50 caracteres e funcionou.

Para resolver, eu re-instalei o antigo sistema operacional CentOS 5 que eu estava usando anteriormente, usei cryptsetup luksAddKey, inseri a chave original (longa) de 512 caracteres e criei uma nova chave de 50 caracteres.

Depois, reinstalei o CentOS 6 e montei com sucesso cada disco com o cryptsetup luksOpen usando a chave de 50 caracteres (não a chave original).

Então, uma observação para alguém que recebe um erro semelhante. Se você criptografou suas unidades com uma chave super longa, mude para um novo kernel ou cryptsetup, e você obterá um erro de módulo do kernel ao tentar luksOpen seu volume criptografado, você pode ter que voltar para a versão antiga do kernel para usar luksAddKey e adicione chaves mais curtas antes de usar no novo kernel. Isso pode ser um bug ou alguma incompatibilidade no máximo de chaves interativas permitidas nos modelos de kernel usados pelo LUKS.