Hosakino: /* カーネル更新後の対応 */

2023-06-21T03:27:40Z

カーネル更新後の対応

← 古い版		2023年6月21日 (水) 03:27時点における版
183行目:		183行目:
	※カーネル更新後、再起動せずに再度カーネルを更新した場合、書き換えられないことに注意		※カーネル更新後、再起動せずに再度カーネルを更新した場合、書き換えられないことに注意

	※行を削除して、再度挿入した方がよい		※行を削除して、再度挿入するようにした方がよい

	<nowiki>		<nowiki>

Hosakino: /* カーネル更新後の対応 */

2023-06-21T03:27:27Z

カーネル更新後の対応

← 古い版		2023年6月21日 (水) 03:27時点における版
182行目:		182行目:

	※カーネル更新後、再起動せずに再度カーネルを更新した場合、書き換えられないことに注意		※カーネル更新後、再起動せずに再度カーネルを更新した場合、書き換えられないことに注意

	※行を削除して、再度挿入した方がよい		※行を削除して、再度挿入した方がよい

Hosakino: /* カーネル更新後の対応 */

2023-06-21T03:27:15Z

カーネル更新後の対応

← 古い版		2023年6月21日 (水) 03:27時点における版
182行目:		182行目:

	※カーネル更新後、再起動せずに再度カーネルを更新した場合、書き換えられないことに注意		※カーネル更新後、再起動せずに再度カーネルを更新した場合、書き換えられないことに注意
			※行を削除して、再度挿入した方がよい

	<nowiki>		<nowiki>

Hosakino: ページの作成:「= 概要 = ルートファイルシステムを暗号化する。Raspberry Piで暗号化設定を行った後、PCで実際の暗号化を行う。 {| class="wikitable…」

2023-04-19T14:34:44Z

ページの作成:「= 概要 = ルートファイルシステムを暗号化する。Raspberry Piで暗号化設定を行った後、PCで実際の暗号化を行う。 {| class="wikitable…」

新規ページ

= 概要 =

ルートファイルシステムを暗号化する。Raspberry Piで暗号化設定を行った後、PCで実際の暗号化を行う。

{| class="wikitable"
|ハードウェア
|Raspberry Pi 4 Model B
|-
|ストレージ
|USB接続のSSD
|-
|OS
|Raspberry Pi OS (Debian version: 11 (bullseye))
|}

== ストレージのベンチマーク ==

ハードウェアAESがないため、処理速度が遅くなる。

<nowiki>
$ sudo hdparm -t /dev/mapper/crypt
</nowiki>

{| class="wikitable"
|+ ストレージのベンチマーク
|-
!デバイス!!速度 [MB/s]
|-
|/dev/mapper/crypt
|94.41
|-
|/dev/sda2
|293.22
|}

= 事前設定 =

ストレージにRaspberry Pi OSをインストールする。

== Raspberry Piでの作業 ==

ソフトウェアを更新する。

<nowiki>
$ sudo apt update
$ sudo apt upgrade
</nowiki>

必要なソフトウェアをインストールする。

<nowiki>
$ sudo apt install cryptsetup
</nowiki>

== PCでの作業 ==

必要に応じて、データをバックアップする。

<nowiki>
$ sudo cp -a /dev/BOOT/* boot
$ sudo cp -a /dev/ROOT/* root
</nowiki>

{| class="wikitable"
|BOOT
|Raspberry Piのブート
|-
|ROOT
|Raspberry Piのルート
|}

= 暗号化設定 =

== Raspberry Piでの作業 ==

以下の順に、それぞれ変更を加える。

=== /boot/cmdline.txt ===

rootパラメータを次のように書き換える。

<nowiki>
root=/dev/mapper/crypt cryptdevice=/dev/sda2:crypt
</nowiki>

変更後

<nowiki>
console=serial0,115200 console=tty1 root=/dev/mapper/crypt cryptdevice=/dev/sda2:crypt rootfstype=ext4 fsck.repair=yes rootwait
</nowiki>

=== /etc/fstab ===

ルートファイルシステムを次のように書き換える。

<nowiki>
/dev/mapper/crypt / ext4 defaults 0 1
</nowiki>

=== /etc/crypttab ===

次の設定を追加する。

<nowiki>
crypt /dev/sda2 none luks,discard,initramfs
</nowiki>

=== initramfs作成 ===

initramfsを作成する。以下のエラーメッセージが出る。

<nowiki>
$ sudo update-initramfs -c -k `uname -r`
update-initramfs: Generating /boot/initrd.img-5.10.92-v7l+
W: Possible missing firmware /lib/firmware/rtl_nic/rtl8156b-2.fw for built-in driver r8152
W: Possible missing firmware /lib/firmware/rtl_nic/rtl8156a-2.fw for built-in driver r8152
W: Possible missing firmware /lib/firmware/rtl_nic/rtl8153c-1.fw for built-in driver r8152
cryptsetup: ERROR: Couldn't resolve device /dev/root
cryptsetup: WARNING: Couldn't determine root device
cryptsetup: ERROR: crypt: Source mismatch
device-mapper: table ioctl on crypt failed: No such device or address
Command failed.
cryptsetup: WARNING: Couldn't determine cipher modules to load for crypt
W: Couldn't identify type of root file system for fsck hook
</nowiki>

{| class="wikitable"
|Raspberry Pi 4 32bit
|v7l+
|-
|Raspberry Pi 4 64bit
|v8+
|}

暗号モジュールが組み込まれているか確認する。

<nowiki>
$ lsinitramfs /boot/initrd.img-5.10.92-v7l+ | grep crypt
</nowiki>

=== /boot/config.txt ===

次の設定を最後に追加する。

<nowiki>
initramfs initrd.img-RELEASE followkernel
</nowiki>

{| class="wikitable"
|RELEASE
|カーネルリリース番号
|}

例

<nowiki>
initramfs initrd.img-5.10.92-v7l+ followkernel
</nowiki>

※起動メッセージが途中で表示されなくなる場合

vc4-kms-v3dを無効にする。

<nowiki>
# Enable DRM VC4 V3D driver
#dtoverlay=vc4-kms-v3d
</nowiki>

=== カーネル更新後の対応 ===

カーネルが更新された場合、initramfsを作り直す必要がある。

* /etc/default/raspberrypi-kernel

<nowiki>
INITRD=Yes
</nowiki>

* /etc/kernel/postinst.d/initramfs-tools

/boot/config.txtを書き換えるため、次の処理を最後に追加する。

※カーネル更新後、再起動せずに再度カーネルを更新した場合、書き換えられないことに注意

<nowiki>
# /boot/config.txt
current_release=$(uname -r)
sed -i "/^initramfs /{s/${current_release%-*}/${version%+}/}" "${bootdir}/config.txt"
</nowiki>

変数versionには、次のような値が設定される。

<nowiki>
5.15.32+
5.15.32-v7+
5.15.32-v7l+
5.15.32-v8+
</nowiki>

= ストレージのファイルシステムを暗号化 =

Raspberry Piのルートファイルシステムをバックアップし、ストレージを暗号化した後にコピーする。

== PCでの作業 ==

=== ルートファイルシステムのバックアップ ===

<nowiki>
$ sudo cp -a ROOT/* root
</nowiki>

{| class="wikitable"
|ROOT
|Raspberry Piのルート
|}

=== ファイルシステムを暗号化し、ルートファイルシステムをコピー ===

<nowiki>
$ sudo cryptsetup luksFormat /dev/SDX
$ sudo cryptsetup luksOpen /dev/SDX crypt
$ sudo mkfs.ext4 /dev/mapper/crypt
$ sudo mount /dev/mapper/crypt crypt
$ sudo cp -a ROOT/* crypt
$ sudo umount /dev/mapper/crypt
$ sudo cryptsetup close crypt
</nowiki>

{| class="wikitable"
|SDX
|Raspberry Piのルートデバイス名
|-
|ROOT
|コピーしておいた、Raspberry Piのルートファイル
|}

= 補足 =

== 有線LAN経由でLUKS暗号を解錠 ==

=== 概要 ===

次の表のとおりである。

{| class="wikitable"
|SSHサーバ
|dropbear
|}

=== Raspberry Piでの作業 ===

<nowiki>
$ sudo apt install dropbear
</nowiki>

次のファイルを作成する。

* /etc/dropbear-initramfs/authorized_keys

* /boot/cmdline.txt

<nowiki>
ip=192.168.0.55::192.168.0.1:255.255.255.0::eth0:none
</nowiki>

<nowiki>
$ sudo update-initramfs -u
ln: '/boot/initrd.img-5.15.32-v8+.dpkg-bak' から '/boot/initrd.img-5.15.32-v8+' へのハードリンクの作成に失敗しました: 許可されていない操作です
update-initramfs: Generating /boot/initrd.img-5.15.32-v8+
W: Possible missing firmware /lib/firmware/rtl_nic/rtl8156b-2.fw for built-in driver r8152
W: Possible missing firmware /lib/firmware/rtl_nic/rtl8156a-2.fw for built-in driver r8152
W: Possible missing firmware /lib/firmware/rtl_nic/rtl8153c-1.fw for built-in driver r8152
</nowiki>

=== PCでの作業 ===

Raspberry Piが起動し、IPアドレスが設定されたら、次のコマンドを実行する。

<nowiki>
$ ssh root@192.168.0.55
# cryptroot-unlock
</nowiki>

=== 参考: Debian(PC)の場合 ===

<nowiki>
$ sudo update-initramfs -u
</nowiki>

* /etc/default/grub

<nowiki>
GRUB_CMDLINE_LINUX="ip=192.168.0.55::192.168.0.1:255.255.255.0::enp37s0:none"
</nowiki>

<nowiki>
$ sudo update-grub
</nowiki>

Raspberry Piでネットワーク構築/ルートファイルシステム暗号化 - 版の履歴

Hosakino: /* カーネル更新後の対応 */

Hosakino: /* カーネル更新後の対応 */

Hosakino: /* カーネル更新後の対応 */

Hosakino: ページの作成:「= 概要 = ルートファイルシステムを暗号化する。Raspberry Piで暗号化設定を行った後、PCで実際の暗号化を行う。 {| class="wikitable…」