Kali Linux Full Disk Encryption
En tant que testeurs d'intrusion, nous devons souvent voyager avec des données sensibles stockées sur nos ordinateurs portables. Bien sûr, nous utilisons le chiffrement intégral du disque dans la mesure du possible, y compris nos machines Kali Linux, qui ont tendance à contenir les éléments les plus sensibles.
La configuration du chiffrement intégral du disque avec Kali est un processus simple. Le programme d'installation de Kali comprend un processus simple pour configurer des partitions chiffrées avec LVM et LUKS. Une fois crypté, le système d'exploitation Kali nécessite un mot de passe au démarrage pour permettre au système d'exploitation de démarrer et de décrypter votre disque, protégeant ainsi ces données en cas de vol de votre ordinateur portable. La gestion des clés de déchiffrement et des partitions s'effectue à l'aide de l'utilitaire cryptsetup.
Nuking notre installation Kali Linux FDE
Il y a quelques jours, l'un de nous a eu l'idée d'ajouter une option "nuke" à notre installation Kali. En d'autres termes, avoir un mot de passe de démarrage qui détruirait, plutôt que de décrypter, les données sur notre disque. Quelques recherches sur Google plus tard, nous avons trouvé un ancien correctif cryptsetup de Juergen Pabel qui fait exactement cela, en ajoutant un mot de passe "nuke" à cryptsetup, qui, lorsqu'il est utilisé, supprime tous les emplacements de clés et rend les données sur le disque inaccessibles. Nous avons porté ce correctif pour une version récente de cryptsetup et l'avons publié sur Github.
Test du patch LUKS Nuke
Cette fonctionnalité n'est pas encore implémentée dans Kali car nous voulions recueillir les commentaires des utilisateurs avant d'appliquer ce correctif aux images de base. Si vous souhaitez l'essayer vous-même, voici les instructions de construction. Commencez par exécuter une installation chiffrée LVM dans Kali et définissez un mot de passe de déchiffrement. Une fois cela fait, téléchargez la source du paquet cryptsetup et appliquez-y notre correctif. Procédez à la construction du package corrigé comme suit :
[email protected]:~# apt-get source cryptsetup
[email protected]:~# git clone https://gitlab.com/kalilinux/packages/cryptsetup-nuke-keys
[email protected]:~# cd cryptsetup-1.6.1/
[email protected]:~/cryptsetup-1.6.1# patch -p1 < ../cryptsetup-nuke-keys/cryptsetup_1.6.1+nuke_keys.diff
patching file lib/libcryptsetup.h
patching file lib/luks1/keymanage.c
patching file lib/setup.c
patching file src/cryptsetup.c
[email protected]:~/cryptsetup-1.6.1# dpkg-buildpackage -b -uc
Une fois le paquet construit, installez les paquets cryptsetup pour obtenir notre nuke option implémentée :
[email protected]:~/cryptsetup-1.6.1# ls -l ../*crypt*.deb
-rw-r--r-- 1 root root 149430 Jan 4 21:34 ../cryptsetup_1.6.1-1kali0_amd64.deb
-rw-r--r-- 1 root root 250616 Jan 4 21:34 ../cryptsetup-bin_1.6.1-1kali0_amd64.deb
-rw-r--r-- 1 root root 105226 Jan 4 21:34 ../libcryptsetup4_1.6.1-1kali0_amd64.deb
-rw-r--r-- 1 root root 49580 Jan 4 21:34 ../libcryptsetup-dev_1.6.1-1kali0_amd64.deb
[email protected]:~/cryptsetup-1.6.1# dpkg -i ../libcryptsetup*.deb
[email protected]:~/cryptsetup-1.6.1# dpkg -i ../cryptsetup*.deb
Maintenant que notre package cryptsetup corrigé a été installé, nous pouvons continuer et ajouter une clé "nuke" à notre configuration :
[email protected]:~# cryptsetup luksAddNuke /dev/sda5
Enter any existing passphrase: (existing passphrase)
Enter new passphrase for key slot: (nuke passphrase)
Hé mec, où est mon Drive ?
Lors de tout redémarrage ultérieur, le mot de passe de déchiffrement LUKS vous sera demandé à chaque fois, comme d'habitude. Si pour une raison quelconque, vous deviez entrer le mot de passe nuke, les clés enregistrées seraient purgées, rendant les données inaccessibles. Devrions-nous implémenter ce patch dans le package cryptsetup ? Faites-nous savoir ce que vous en pensez via ce sondage rapide. Nous garderons ce sondage ouvert pendant quelques semaines et vous tiendrons au courant de tout développement ultérieur de cette fonctionnalité.
Cryptseup Nuke Option in Kali
Add nuke features to cryptsetup ?*
- [ ] Yes, add this feature!
- [ ] Stop bothering me
- [ ] No, leave cryptsetup alone.
Mise à jour : Le correctif nuke a été introduit dans Kali Linux et est disponible par défaut dans Kali Linux v1.0.6.
Mise à jour : Nous avons publié un exemple de cas d'utilisation de la fonctionnalité Nuke dans un article de blog ultérieur intitulé "Comment détruire votre installation chiffrée de Kali Linux".
Mise à jour : Depuis juillet 2019, Kali Linux ne fournit plus ce correctif cryptsetup, mais nous avons introduit à la place un package cryptsetup-nuke-password qui fournit une fonctionnalité similaire sans modifier cryptsetup.
[email protected]:~# apt install cryptsetup-nuke-password
[email protected]:~# dpkg-reconfigure cryptsetup-nuke-password