« 八百長事件と地域通貨 | トップページ | 高等学校の新学習指導要領発表! »

2008年12月15日 (月)

geli で暗号化ファイルシステム

暗号化ファイルシステムというのは、正しいパスワードを入力しないと、ファイルシステムを読むことができなくなるというセキュリティ上非常に優れた仕掛けのことです。これを導入しておくと、万一、ノートパソコンやサーバーが盗難に遭って、そのHDDを他のパソコンの増設ドライブとして取り付けられたとしても、その中身を読みとられることがなくなります。

僕の場合は、サーバーはICカード暗証番号認証の部屋(大学全体のサーバーと同じ部屋)に設置しているので暗号化ファイルシステムを使用していませんが、ノートパソコンの場合は、そうはいきません。で、いままでは FreeBSD on VMware Player on Windows XP Pro という環境で、個人情報を含むファイルをおく vmd ファイルを、Windows XP Pro のファイルシステム暗号化で保護していました。これはこれで特に困らない仕組みだったのですが、このファイルをバックアップするということになって、ちょっと困ってしまっていました。このファイル自体は Windows XP のファイルですから、外部にバックアップをしようとすると暗号が自動的に解除されてしまうのです。ということで、いままでは FreeBSD の rsync などを利用して、大学のサーバーの上にバックアップを作っていました。でも、最近 SD memory カードが急速に価格低下をしていて、これをバックアップメディアに使いたい…と思ったところで、いままでの枠組がうまくいかないということになりました。

そこで、いろいろ調べたところ geli を利用した暗号化が、今回僕が望んでいることを実現する一番いい方法だということがわかりました。ということで、自分への備忘録をかねて作業内容をメモしておきます。

  1. FreeBSD を boot
  2. Kernelを再構築する。定義ファイルに
    device crypto
    options GEOM_ELI
    を含むようにする。
  3. FreeBSD を shutdown
  4. Windows XP 上で SD メモリカードを認識させ、 FATでフォーマットする。
  5. qemu を利用して vmdk ファイルを SDメモリカードに作る(E:\hogehoge\ugougo.vmdk とします。)。一応、カード容量の 90%にした。
  6. OSの属性を記述する vmx ファイルをメモ帳で開いて、SDメモリカード上のファイル名を指定する。
    ide1:1.present="TRUE"
    ide1:1.fileName="E:\hogehoge\ugougo.vmdk"
  7. FreeBSD を boot
  8. さきほどの vmdk が、例えば ad3 などとして認識されていることを確認する。( /var/log/messages )
  9. geli デバイスを構築(以下、意味を考えずにコピペしないで!)
    # geli init /dev/ad3
    Enter new passphrase:
    Reenter new passphrase:
    # geli attach -d /dev/ad3
    Enter new passphrase:
    GEOM_ELI: Device ad3.eli created.
    GEOM_ELI: Encryption: AES-CBC 128
    GEOM_ELI: Crypto: software
    # newfs -U /dev/ad3.eli
    .................
    GEOM_ELI: Detached ad3.eli on last close.
    # geli attach /dev/ad3
    Enter new passphrase:
    GEOM_ELI: Device ad3.eli created.
    GEOM_ELI: Encryption: AES-CBC 128
    GEOM_ELI: Crypto: software
    # mkdir /SDCARD
    # mount /dev/ad3.eli /SDCARD
    # mkdir /SDCARD/tatsumi
    # chown tatsumi /SDCARD/tatsumi

    以上です。これで、 /SDCARD/tatsumi の下に、バックアップをとることができるようになります。しかも、このドライブには Windows 上では巨大ファイルが1つだけしかないですが、そのなかは FreeBSD で暗号化されているので、仮にこのSDメモリカードが盗難に遭っても geli で使用している暗号化が破られない限りは、情報漏洩については大丈夫です。なお、SDメモリカードの類は読み取りは高速ですが書き込みは遅く、また、書き込み回数が一定回数を越えるとメディアが駄目になります。ですから、あくまでもバックアップメディアとしての位置付けにするのが正解です。

|

« 八百長事件と地域通貨 | トップページ | 高等学校の新学習指導要領発表! »

コメント

コメントを書く



(ウェブ上には掲載しません)


コメントは記事投稿者が公開するまで表示されません。



トラックバック

この記事のトラックバックURL:
http://app.cocolog-nifty.com/t/trackback/140645/43421373

この記事へのトラックバック一覧です: geli で暗号化ファイルシステム:

« 八百長事件と地域通貨 | トップページ | 高等学校の新学習指導要領発表! »