Estaremos configurando um sistema para servidores externos. Todos os dados do disco rígido serão criptografados.
O plano é ter uma inicialização de duas partes (se possível).
A primeira parte é inicializada e continuamente solicita as chaves de criptografia para que possa descriptografar os discos rígidos.
A segunda parte é o ambiente de produção real e faz parte da seção criptografada.
Quando um servidor é inicializado pela primeira vez, garantimos que não haja hackers perto da caixa. Em seguida, forneceremos manualmente a chave do disco rígido para o servidor externo. A chave do disco rígido será criptografada com uma chave secundária. A chave secundária será substituída por uma nova chave secundária que será criptografada com a chave secundária antiga. (na verdade será mais evasivo que isso, mas não há razão em explicar essa parte)
Minha pergunta é "Como podemos inicializar uma partição criptografada de um disco sem armazenar a chave de criptografia de disco na máquina?
Se conveniente, o primeiro sistema operacional de inicialização não precisa ser o Solaris.
É muito preferível que o sistema de arquivos criptografado para a segunda inicialização (ambiente de produção) seja o ZFS. e exigiu que a segunda inicialização seja o Solaris.
Além disso, se conveniente, a chave de criptografia do disco pode ser temporariamente armazenada na partição não criptografada e, em seguida, excluída após a segunda inicialização. (seria mais limpo se a chave nunca fosse gravada no disco, mas estou ciente de que pode ser necessário armazená-lo temporariamente e alterar os padrões do GNU GRUB e fazer um init 6 regular)
Ainda não há suporte para um sistema de arquivos de inicialização do ZFS criptografado:
Você pode criptografar todo o resto, inclusive o swap e o dump, então, se alguém pegar uma unidade, ela poderá obter apenas alguns arquivos do sistema operacional inúteis.
Você deve verificar como o Mandos faz isso. É somente para o Debian e Ubuntu, mas o método que ele usa deve ser útil.
Tags boot solaris disk-encryption