✎ tutoriel:securiser_ubuntu_avec_peripherique_externe [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

====== Gérer la sécurité d'une installation ubuntu avec une clé usb ======
Ici nous verrons comment paramétrer le verrouillage/déverrouillage d'une installation d'Ubuntu avec une clé USB.

===== Décrypter automatiquement une partition cryptée au démarrage =====

Si vous possédez une installation d'Ubuntu sur partition LUKS (Linux Unified Key Setup) et que vous en avez marre de taper le mot de passe à chaque démarrage, vous pouvez paramétrer une clé usb afin de vous authentifier automatiquement si cette dernière est branchée!

<note warning>Il est plus que conseillé de faire un backup de la clé, l'histoire de pas tout devoir reparamétrer si perte de la clé.
De plus, Il est conseillé d'avoir une alternative de réparation (type livecd ou live usb) afin de pouvoir réparer le démarrage en cas de soucis!</note>
Si cette dernière n'est pas branchée, le mot de passe vous sera demandé.

==== Prérequis ====

- Une partition de type LUKS avec ubuntu d'installé dessus
  - Une partition de boot séparée
  - Une clé usb ou un support amovible (testé avec carte SD et clé usb)

Vous pouvez avoir une installation de windows à coté. Ceci ne posera pas de soucis.

==== Etape 1 : Préparer la clé ====
<note warning>
Sauvegardez toute données présente sur la clé que vous allez utiliser!

De plus, soyez attentifs aux commandes, et ne validez celles-ci que lorsque vous-vous êtes relu!
Un risque de perte de données existe si vous faites des erreurs de code!
</note>
Créez une partition vierge de type ext4[3/2] d'au moins 1Mo sur le support. Utilisez **[[apt>gparted]]** par exemple.
<note>
Fat32 devrait fonctionner aussi, mais non testé. Vous pouvez aussi utiliser une seule partition sur toute la clé.
J'utilise personnellement une petite partition de 1Mo sur ma clé en ext4, puis le reste de la clé en fat32 pour compatibilité Windows.
</note>
<note important>
/dev/sdb1 représentera ici la partition de notre clé.
/dev/sda2 représentera ici la partition du disque crypté.
Vous pouvez identifier la votre dans gparted. Elle est situé en tout début de ligne à gauche de votre partition:

Attention, /dev/sdb représente la clé en entier, n'oubliez pas de spécifier le numéro de partition (sdb1, sdf2, sdc4... tout dépend de votre clé)
</note>

Montez la clé
<code>
mkdir /mnt/usb
mount /dev/sdb1 /mnt/usb
</code>

Créez un fichier "d'authentification" de 256octet sur la clé.
<code>
dd if=/dev/random of=/mnt/usb/.authkey bs=1 count=256
</code>

Puis démontezla clé.
<code>
sync
umount /mnt/usb
</code>

==== Etape 2 : Préparer la séquence de démarrage ====

Editez le fichier /etc/initramfs-tools/modules avec les droits root
<code>
sudo gedit /etc/initramfs-tools/modules
</code>

Et ajoutez les lignes suivantes au fichier.
  * Si vous utilisez une carte SD:
<code>
mmc_core
sdhci
mmc_block
aes_i586
sha256
dm_mod
dm_crypt
</code>
  * Si vous utilisez une clé USB:
<code>
usbcore
ohci_hcd
ehci_hcd
usb_storage
sd_mod
aes_i586
sha256
dm_mod
dm_crypt
</code>

Ajoutez la nouvelle configuration au système.
<code>update-initramfs -v -u</code>

==== Etape 3 : Paramétrer le démarrage ====

Redémarrez, et lorsque le système vous demandera de rentrer votre mot de passe, rentrez 3 fois un mot de passe erroné. 
Vous atterrirez sur une console avec marqué
<code>
(initramfs)
</code>

Montez la clé
<code>mkdir /usb
mount /dev/sdb1 /usb</code>
Ajoutez le fichier d'authentification aux clé connues
<code>cryptsetup luksAddKey /dev/sda2  /usb/.authkey</code>
Démontez la clé et redémarrez
<code>umount /usb
sync
reboot</code>

==== Etape 4 : Paramétrer le système ====

Redémarrez normalement.

Notez l'UUID (identifiant de partition) de la partition obtenu par cette commande:

(Nous prendrons ici "9645b6cb-80db-457b-8d46-fbb9fd33dxxb". N'oubliez pas de le remplacer par le votre dans les commandes suivantes)
<code>blkid /dev/sdb1</code>

Éditez le fichier /etc/crypttab avec les droits root:
<code>sudo gedit /etc/crypttab</code>

Vous devriez avoir quelque chose du genre:
<code>sda2_crypt          UUID=9df4f-878ytju-ilk45q-gfbb9f-d33dxxb       none                luks</code>
Dupliquez la ligne et changez le "none" par UUID=9645b6cb-80db-457b-8d46-fbb9fd33dxxb:.authkey
Et rajoutez ",tries=3,keyscript=/usr/local/sbin/bootkeyscript" à la fin de la ligne
Soit après "luks" dans notre exemple. Attention à la virgule qui est importante, et à ne pas avoir de duplicatat dans la ligne.

Notre fichier final ressemblera donc à quelque chose du genre:
<code>sda2_crypt          UUID=9df4f-878ytju-ilk45q-gfbb9f-d33dxxb       UUID=9645b6cb-80db-457b-8d46-fbb9fd33dxxb:.authkey                luks,tries=3,keyscript=/usr/local/sbin/bootkeyscript
sda2_crypt          UUID=9df4f-878ytju-ilk45q-gfbb9f-d33dxxb       none                                                                                                   luks</code>

Téléchargez [[https://dl.dropboxusercontent.com/u/11154643/bootkeyscript| ce script]] et placez le dans /usr/local/sbin/bootkeyscript à l'aide des droits root.
<code>sudo cp ~/Téléchargements/bootkeyscript /usr/local/sbin/bootkeyscript</code>
(N'oubliez pas de changez l'emplacement du fichier téléchargé si "~/Téléchargements/bootkeyscript" n'est pas sa localisation)

Donnez-lui les droits d’exécution:
<code>sudo chmod +x /usr/local/sbin/bootkeyscript</code>

Réactualisez la séquence de démarrage:
<code>update-initramfs -v -u</code>
Redémarrez et profitez! ;)

====== Sources ======
[[http://web.archive.org/web/20100110234521/http://petaramesh.org/post/2007/11/29/Une-cle-de-contact-pour-votre-portable-chiffre]]

Merci de recopier le code ci-contre pour prouver que vous êtes humain : W M L N G Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported