Bagaimana cara mengatur file swap terenkripsi di Linux?

2017 PERINGATAN! Jawaban yang diterima tampaknya berfungsi, tetapi dengan kernel baru-baru ini saya menemukan bahwa sistem akan hang segera setelah mulai bertukar. Jika Anda mencoba menggunakan file swap terenkripsi, pastikan itu benar-benar bertukar dengan benar. Butuh waktu lama untuk mencari tahu mengapa sistem saya terus terkunci tanpa alasan yang jelas. Saya kembali menggunakan partisi swap terenkripsi, yang berfungsi dengan benar.

Bagaimana cara mengatur file swap terenkripsi (bukan partisi) di Linux? Apakah itu mungkin? Semua panduan yang saya temukan berbicara tentang partisi swap terenkripsi, tetapi saya tidak memiliki partisi swap, dan saya lebih suka tidak perlu mempartisi ulang disk saya.

Saya tidak perlu dukungan penskorsan ke disk, jadi saya ingin menggunakan kunci acak pada setiap boot.

Saya sudah menggunakan volume host-file TrueCrypt untuk data saya, tetapi saya tidak ingin memasukkan swap saya ke volume itu. Saya tidak ingin menggunakan TrueCrypt untuk file swap jika ada solusi yang lebih baik.

Saya menggunakan Arch Linux dengan kernel default, jika itu penting.

Memang, halaman tersebut menjelaskan pengaturan partisi, tetapi mirip dengan swapfile:

dd if=/dev/urandom of=swapfile.crypt bs=1M count=64
loop=$(losetup -f)
losetup ${loop} swapfile.crypt
cryptsetup open --type plain --key-file /dev/urandom ${loop} swapfile
mkswap /dev/mapper/swapfile
swapon /dev/mapper/swapfile

Hasil:

# swapon -s
Filename                                Type            Size    Used    Priority
/dev/mapper/swap0                       partition       4000176 0       -1
/dev/mapper/swap1                       partition       2000084 0       -2
/dev/mapper/swapfile                    partition       65528   0       -3

swap0 dan swap1 adalah partisi nyata.

Konfigurasi ini menggunakan kunci yang dibuat secara acak saat boot dan tidak akan mendukung Hibernasi ke hard disk! Anda Harus Menonaktifkan Hibernasi melalui DE Utilitas Manajemen Daya hormat Anda dan mengaturnya untuk Shutdown pada Kritis untuk menghindari Kehilangan Data!

Pastikan untuk menjalankan sudo -satau susebelum menjalankan yang berikut ini.

1. Nonaktifkan Tukar:

   # swapoff -a
   

2. Temukan Partisi Swap yang ada

   # lsblk
   

   Anda akan mendapatkan sesuatu seperti ini:

   sda3    8:3    0     8G  0 part [SWAP]
   

3. Timpa Tukar Lama

   # dd if=/dev/zero bs=1024000 of=/dev/sda<#>
   

   sebagai contoh:

   # dd if=/dev/zero bs=1024000 of=/dev/sda3
   

4. fstab mempersiapkan

   # vim /etc/fstab
   

   Ganti perangkat SWAP lama dengan nama map crypttab: /dev/mapper/cswap

   #<file system>      <mount point>   <type>  <options>   <dump>  <pass>
   /dev/mapper/cswap   none            swap    pri=1,defaults  0   0
   

5. Pengaturan Crypto

   # ls -lF /dev/disk/by-id
   

   Sebagai contoh:

   ata-HGST_HTS545050A7E680_TEK55D4F0BU3GV-part3 -> ../../sda3
   
   # vim /etc/crypttab
   
   # <name>    <device>                            <password>  <options>
     cswap     /dev/disk/by-id/ata-HGST_HTS545050A7E680_TEK55D4F0BU3GV-part3   /dev/urandom    swap,cipher=aes-cbc-essiv:sha256,size=256
   

6. Swap Terenkripsi Aktif

   # reboot
   

7. Verifikasi Operasi Swap yang Diperkirakan

   Sebagai contoh:

   # dmsetup -C info 
   cswap      253   0 L--w    2    1      0 CRYPT-PLAIN-cswap  
   # lsblk
   ├─sda3                8:3    0     8G  0 part  
   │ └─cswap             253:0    0     8G  0 crypt [SWAP]
   # cat /proc/swaps 
   Filename                Type        Size    Used    Priority
   /dev/dm-0               partition   8385532 0       -1
   

Jika Anda menggunakan dd if=/dev/zero of=/swapfile bs=8G count=1, diikuti oleh mkswap /swapfiledan swapon /swapfile, Anda harus memiliki swapfile yang berfungsi pada sistem berkas root Anda. (kami gunakan dduntuk memastikan tidak ada lubang di swapfile)

Hal ini berhasil mengacaukan perangkat loop dan / atau crypttab dan hanya menempatkan swapfile di dalam sistem file yang sudah terenkripsi. (Kami berasumsi bahwa Anda menggunakan enkripsi untuk seluruh drive di sini. Sertakan /swapfileparameter dengan jalur ke direktori terenkripsi Anda jika ada di tempat lain)

Lihat man mkswapdan man swaponuntuk informasi lebih lanjut.