montar partição crypto_LUKS sem descriptografar (localmente)

Question

Eu tenho um disco externo criptografado em um servidor Linux.

No servidor, posso fazer isso localmente para descriptografar, cryptsetup -d keyfile luksOpen /dev/sdx1 /mnt/decrypted mas prefiro evitar fazer isso no lado do servidor.

Quero acessar o servidor (via ssh/sshfs) e descriptografar os dados apenas remotamente na minha máquina cliente.

Para acessar e descriptografar os dados remotamente, preciso

1. monte o criptografado /dev/sdx1localmente no servidor (sem descriptografá-lo!!) para/mnt/encrypted
2. monte /mnt/encryptedvia sshfs em uma máquina cliente (depois use luksOpenpara descriptografar)

Como posso executar a etapa 1 sem descriptografar os dados?

Obrigado, Chris

ps: talvez eu deva usar apenas um contêiner criptografado (um arquivo no sistema de arquivos do servidor) e não uma partição inteira? Dessa forma eu poderia montar a pasta que contém o contêiner/arquivo criptografado remotamente via sshfs? (e apenas descriptografá-lo na máquina cliente)

Answer 1

Isso é impossível de conseguir com sua configuração atual.

A única maneira "correta" de fazer isso é colocar o volume do luks em umDispositivo de bloqueio de rede.

Você pode usar drbdou iscsipara acessar o dispositivo de bloco em seu servidor e então configurar o Luks nele.

Answer 2

Posso montar e descriptografar luks remotamente (via sshfs) se usar um contêiner luks (e não uma partição luks) para armazenar os dados criptografados.

Eu só tive que criar um contêiner luks (um arquivo que contém internamente o sistema de arquivos criptografado), esse arquivo é um arquivo normal em uma partição montada para que possa ser montado remotamente sshfse descriptografado posteriormente (via dispositivo de loop -> dispositivo mapeador -> montagem ).

Eu testei isso e posso confirmar que funciona.