Como descriptografar um contêiner criptografado via ssh sem inserir uma senha enquanto requer alguma autenticação de cliente?

Question

Eu efetuo login em um servidor por meio de autenticação de chave pública e, em seguida, monto um contêiner (usando, por exemplo, LUKS / dm-crypt ou truecrypt). No momento, tenho que inserir a senha do contêiner manualmente. Existe uma maneira de proteger esse contêiner usando, por exemplo, o agente ssh? Ou, se isso não for possível diretamente, posso criptografar a senha do contêiner (ou provavelmente melhor, keyfile) com a chave pública ssh e usar o agente ssh para descriptografá-la temporariamente?

    

Answer 1

Eu fiz algo parecido com isso uma vez com um encfs remoto onde eu armazenei backups do meu PC local. Talvez isso ajude. Eu estava usando o Ubuntu com o gnome-keyring na época.

dbus_session.sh

#!/bin/bash
# This will grab the appropriate environment variables to connect to the 
# gnome-keyring via dbus for the currently logged in user
# shouldn't be necessary if you're running from an xterm in gnome
$(sed 's/^\([^#]\)/export /' ~/.dbus/session-bus/*-0 | grep -v ^#)

keyring_helper.py

#!/usr/bin/python
import sys
import keyring

if len(sys.argv) < 5:
    print "Usage: keyring_helper.py get|set name server protocol [password]"
    sys.exit(1)

k = keyring.Keyring(sys.argv[2], sys.argv[3], sys.argv[4])

if sys.argv[1] == "get":
    c = k.get_credentials()
    print c[1]
elif sys.argv[1] == "set":
    k.set_credentials((sys.argv[2], sys.argv[5]));

keyring.py

backup.sh

#!/bin/bash
. "$(dirname "$0")"/dbus_session.sh
cd /home/mike/misc/scripts

if ssh polaris mountpoint -q ~/mnt/; then
  echo 1>&2 Filesystem already mounted.
  exit 1
fi

# Take password from gnome-keyring and store in FIFO on polaris
./keyring_helper.py get mike polaris enc_backups 2>/dev/null |ssh polaris 'cat >~/passwd' &

# Mount the encrypted filesystem
ssh polaris 'nice -n 19 encfs -f -i 5 --extpass=cat ~/enc_backups/ ~/mnt/ <~/passwd' &

# Wait for the mount to complete
ssh polaris 'while ! mountpoint -q ~/mnt/; do if [ $((I++)) -gt 15 ]; then exit 1; fi; sleep 1; done'

if [ $? -ne 0 ]; then
  echo 1>&2 Mount failed.
  exit 2
fi

# Transfer data
rsync -az --delete --bwlimit 45 ~/misc /array/Dropbox/documents /array/pictures polaris:mnt/

# Unmount the encrypted filesystem
ssh polaris fusermount -u mnt

# Wait for child processes to exit
wait

A configuração inicial é bem simples, faça um mkfifo passwd no seu servidor remoto e keyring_helper.py set <name> <server> <protocol> no seu desktop. Quando isso estiver concluído, sua área de trabalho deve escrever sua senha do chaveiro para o fifo, onde um processo de TrueCrypt remoto irá lê-lo via stdin.