Man page - cmtab(5)

Packages contains this manual

Available languages:

en fr

Manual

CMTAB

NOM
DESCRIPTION
COMMENT CHOISIR LE FORMAT DE LA CLEF
SECURITE
PAGINATION CHIFFREE ET MKSWAP AUTOMATIQUE
FICHIER EXEMPLE
FICHIERS
VOIR AUSSI
COPYRIGHT NOTICE
TRADUCTION

NOM

cmtab - informations statiques sur les systÚmes de fichiers dirigés par cryptmount

DESCRIPTION

Les informations sur les systĂšmes de fichiers chiffrĂ©s dirigĂ©s par cryptmount sont contenues dans le fichier /etc/cryptmount/cmtab. Chaque systĂšme de fichiers est appellĂ© par un nom de cible qu’on peut utiliser comme paramĂštre de cryptmount et ce nom apparaĂźt dans /etc/cryptmount/cmtab devant une liste des paramĂštres qui dĂ©crit oĂč le systĂšme de fichiers est contenu, et comment il est chiffrĂ©.

Le format du cmtab est souple, et la description de chaque cible est dĂ©limitĂ©e par des accolades, les paramĂštres sont spĂ©cifiĂ©s par les paires CLEF=VALEUR, et on peut mettre autant de caractĂšre blanc d’espacement que l’on veut. Les annotations commencent avec un caractĂšre '#’, qui peut ĂȘtre utilisĂ© Ă  n’importe quel endroit dans une ligne, et continuent jusqu’à la fin de cette ligne. Le caractĂšre '\’ indique que si le caractĂšre suitvant a une signification spĂ©ciale, celle-ci sera ignorĂ©e, comme par exemple si on veut incorporer un espace dans le nom d’un fichier.

/etc/cryptmount/cmtab contient des inscriptions de la forme suivante:

NOM_CIBLE {
dev=PERIPHERIQUE
flags=DRAPEAU,DRAPEAU,...
startsector=SECTEURDEBUT
numsectors=NUMSECTEURS
loop=PERIPH_LOOP
dir=REP_MONT
fstype=TYPE
mountoptions=MOPT,MOPT,...
fsckoptions=FOPT;FOPT;...
supath=SUPATH
cipher=CHIFFRE
ivoffset=IVOFFSET
keyformat=FORMAT_CLEF
keyfile=FICHIER_CLEF
keyhash=HASH_CLEF
keycipher=CHIFFRE_CLEF
keymaxlen=MAX_CLEF
passwdretries=NUMESSAYES
}

Ici, les paramùtres 'flags’, 'startsector’, 'numsectors’, 'loop’, 'ivoffset’, 'keyformat’, 'keymaxlen’ et 'passwdretries’ sont optionnels.

Les paramĂštres ont les sens suivants:
NOM_CIBLE

est le nom par lequel cryptmount se rĂ©fĂšre Ă  un systĂšme de fichiers particulier. Il est possible d’indiquer valeurs par dĂ©faut pour les cibles suivanteis en utilisant le nom spĂ©cial "_DEFAULTS_".

PERIPHERIQUE

est le nom du vrai périphérique (e.g. /dev/sdb63) ou du fichier ordinaire (e.g. /home/secretiveuser/private.fs) qui range le systÚme de fichiers chiffré.

DRAPEAU

est un bouton de configuration, comme par exemple
* "user" (n’importe quel utilisateur peut monter),
* "nouser" (seulement le super-utilisateur peut monter),
* "fsck" (vérifier automatiquement le systÚme de fichiers avant de monter),
* "nofsck" (ne vérifier pas le systÚme de fichiers avant de monter),
* "mkswap" (formater la cible pour la pagination),
* "nomkswap" (ne formater pas la cible),
* "trim" (activer SSD TRIM/discard),
* "notrim" (désactiver SSD TRIM/discard).
Ce paramÚtre est optionnel, et le défaut est "user,fsck,nomkswap,notrim".

SECTEURDEBUT

est le numero du secteur (de 512 octets) du PERIPHERIQUE oĂč le systĂšme de fichiers va commencer. Ce paramĂštre est optionnel, et le dĂ©faut est zĂ©ro.

NUMSECTEURS

donne la taille totale du systÚme de fichiers, en secteurs (blocs de 512 octets). Ce paramÚtre est optionnel, et le défaut est -1, ce qui signifie que tout le PERIPHERIQUE sera utilisée.

PERIPH_LOOP

peut ĂȘtre utilisĂ© pour specifier un pĂ©riphĂ©rique loop particulier (e.g. /dev/loop0) au cas oĂč PERIPHERIQUE est un fichier ordinaire. Ce paramĂštre est optionnel, et le dĂ©faut est "auto".

REP_MONT

est le répertoire dans lequel le systÚme de fichiers chiffré sera monté.

TYPE

specifie le type du systĂšme de fichiers (comme utilisĂ© par mount (8)). On doit specifier "swap" si la pĂ©riphĂ©rique va ĂȘtre utilisĂ©e pour la pagination chiffrĂ©e.

MOPT

est une option de montage, comme compris par mount (8). Typiquement, MOPT peut ĂȘtre "default", "noatime", "noexec", "nosuid", "ro", "sync" etc.

FOPT

est une option de vĂ©rification, comme compris par fsck (8). Typiquement, FOPT peut ĂȘtre "-C", "-V" etc.

CHIFFRE

est le type d’algorithme de chiffrage qui sera utilisĂ© sur PERIPHERIQUE. La liste des algorithmes possibles est dĂ©termine par le noyau.

FORMAT_CLEF

indique quel moteur de chiffrage on utilise pour diriger le FICHIER_CLEF. Les moteurs disponibles sont dĂ©terminĂ©s pendant l’installation de cryptmount mais peuvent comprendre "openssl" et "libgcrypt" en plus de "builtin" (intĂ©grĂ©) et "raw" (brut). Ce paramĂštre est optionel, est s’il est absent, "builtin" sera utilisĂ© quand la clef est construit.

FICHIER_CLEF

est un fichier ordinaire qui contient la clef utilisĂ©e par l’algorithme CHIFFRE pour dĂ©chiffrer le systĂšme de fichiers. Cette clef elle-mĂȘme est chiffrĂ©e a partir de HASH_CLEF et CHIFFRE_CLEF

IVOFFSET

est l’offset qui est ajoutĂ© au numĂ©ro du secteur pendant le calcul du vecteur d’initialisation de l’algorithme de chiffrage. Ce paramĂštre est optionnel, et le dĂ©faut est zĂ©ro.

HASH_CLEF

est l’algorithme (hash) utilisĂ© pour brouiller le mot de passe de l’utilisateur dans l’algorithme CHIFFRE_CLEF qui protege la clef du systĂšme de fichiers chiffrĂ©. On peut choisir n’importe quel algorithme qui est fourni par le FORMAT_CLEF qu’on a choisi.

CHIFFRE_CLEF

est l’algorithme chiffre qui protĂšge la clef du systĂšme de fichiers chiffrĂ© lui-mĂȘme. Le menu d’algorithmes est dĂ©terminĂ© par la choix de FORMAT_CLEF

MAX_CLEF

est le nombre d’octets maximum qui sera lu du FICHIER_CLEF pour devenir la clef de dĂ©chiffrage. Ce paramĂštre est optionnel, et le dĂ©faut est zĂ©ro, ce qui indique que FICHIER_CLEF sera lu en entier.

NUMESSAYES

est le nombre de tentatives de mot de passe avant que cryptmount aille terminer quand on essaye de monter ou configurer une cible.

COMMENT CHOISIR LE FORMAT DE LA CLEF

cryptmount offrit un sélection de façons pour proteger la clef associée avec chaque systÚme de fichiers chiffré. Pour le plupart des utilisateurs, la choix défaute "builtin" donne un bon niveau de securité et versatilité. Quelques autre moteurs de chiffrage sont disponible, et donnent plus de choix des algorithms pour brouiller le mot de passe, ou compatabilité avec quelques autre paquets. Le menu des moteurs sont le suivant.

builtin

Ce moteur est inclus dans cryptmount-2.0 et suivant, est utilise un fichier independent pour cacher la clef.

libgcrypt

Ce moteur est inclus dans cryptmount-1.1 et suivant, est utilise un fichier independent pour cacher la clef.

luks

Ce moteur est inclus dans cryptmount-3.1 et suivant, est peut diriger les systĂšme de fichiers du format LUKS ("Linux Unified Key Setup"). Ce format cache la clef dans une region spĂ©ciale du systĂšme de fichiers lui-mĂȘme. Il est recommandĂ© de ne pas utiliser les paramĂštres "startsector" ou "numsectors" parce que le format LUKS suppose qu’une partition entiĂšre est disponible pour le systĂšme de fichiers.

openssl/openssl-compat

Ce moteur etait disponible depuis les premiers versions de cryptmount, et utilise un fichier independent pour cacher la clef. Le format de ce fichier est compatible aver le paquet "openssl".

password

Ce moteur est inclus dans cryptmount-4.0 et suivant, est n’a pas besoin d’un fichier pour cacher la clef. Plutît, la clef est constui directment du mot de passe, et donc il n’est pas possible de changer le mot de passe sans rechiffrer le systùme de fichiers en entiers.

raw

Ce moteur est inclus dans cryptmount-1.1 et suivant, est utilise un fichier independent pour contenir la clef, sans aucun chiffrage. Ce moteur est utile principalement pour les partitions de pagination.

SECURITE

Etant donnĂ© que cryptmount est installĂ© avec des permissions setuid, il est trĂšs imporant que son fichier de configuration soit solide. IdĂ©alement, /etc/cryptmount/cmtab devrait ĂȘtre dirigĂ© seulement par le super-utilisateur, et toutes les clefs devraient ĂȘtre seulement lisibles par leurs utilisateurs propres.

cryptmount vĂ©rifie la sĂ©curitĂ© du /etc/cryptmount/cmtab chaque fois qu’il est executĂ©, et se terminera Ă  moins que:
* cmtab ne soit possédé par le super-utilisateur
* cmtab ne soit un fichier régulier
* les permissions de cmtab ne contiennent pas d’écriture universelle
* le répertoire, qui contient cmtab, ne soit possédé par le super-utilisateur
* les permissions du rĂ©pertoire, qui contient cmtab, ne contiennent pas d’écriture universelle.
De plus, pour toutes les cibles dans /etc/cryptmount/cmtab, tous les fichiers doivent avoir des nom absolus (c’est-à-dire commencent avec ’/’).

En cas qu’on a choisi "raw" (brut) pour le FORMAT_CLEF c’est prĂ©fĂ©rable si FICHIER_CLEF est rangĂ© avec des permissions d’accĂšs non moins restrictives que 0600, ou bien est contenu sur un disque USB-flash, par exemple.

PAGINATION CHIFFREE ET MKSWAP AUTOMATIQUE

Lorsque l’option ‘mkswap’ est sĂ©lectionnĂ© pour une cible particuliĂšre dans /etc/cryptmount/cmtab, cryptmount tentera automatiquement de formater une partition swap chiffrĂ©e chaque fois que vous exĂ©cutez "cryptmount --swapon <cible>". C’est souvent utile quand il n’est pas nĂ©cessaire de conserver les donnĂ©es de pagination entre les redĂ©marrages, comme lorsque vous n’utilisez pas les caractĂ©ristiques d’hibernation du noyau.

Parce que le reformatage supprime toutes les donnĂ©es existantes sur la partition de pagination choisi, cryptmount se faire des vĂ©rifications de base sur le premier mĂ©gaoctet de la partition, basĂ©e sur le degrĂ© d’alĂ©a (entropie) dans le contenu actuel. Si la partition semble contenir bruit pur, ou a Ă©tĂ© remis Ă  zĂ©ro, la partition sera formatĂ©e automatiquement. Si cryptmount dĂ©termine que la partition peut contenir des donnĂ©es non-alĂ©atoire, puis il vous demandera d’exĂ©cuter "mkswap" manuellement.

Comme il n’existe aucun moyen infaillible de dĂ©terminer si une partition (surtout chiffrĂ©e) contient des donnĂ©es importantes, vous devriez ĂȘtre trĂšs prudent sur pĂ©riphĂ©rique brut choisi pour n’importe quelle cible sur lequel vous sĂ©lectionnez l’option "mkswap".

FICHIER EXEMPLE

Le /etc/cryptmount/cmtab exemple suivant contient cinq cibles, qui utilisent un mĂ©lange d’algorithmes de chiffrage et qui rangent leurs systĂšmes de fichiers de maniĂšres differentes. Il y en a aussi un cible qui represent une partition de pagination.

# /etc/cryptmount/cmtab
# fichier exemplaire - modifiez avant d’utiliser SVP

_DEFAULTS_ {
passwdretries=3 # permet 3 essayes de mot de passe par défaut
}

luks { # partition creé avec cryptsetup-luks
dev=/dev/sdb63
dir=/mnt/partition-luks
keyformat=luks
keyfile=/dev/sdb63
fstype=ext3
}

basic {
dev=/home/secretiveuser/crypt.fs
dir=/home/secretiveuser/crypt # oĂč on va monter
loop=auto # trouver un périph loop libre
fstype=ext3 mountoptions=default
cipher=aes-cbc-plain # chiffrage du systĂšme de fichiers
keyfile=/home/secretiveuser/crypt.key
# utiliser le gestionnaire des clefs intégré
keyformat=builtin
}

partition {
dev=/dev/sdb62 # utiliser une partition entiĂšre
dir=/mnt/crypt62
fstype=ext3 mountoptions=nosuid,noexec cipher=serpent-cbc-plain

# info sur le fichier qui contient la clef de déchiffrage:
keyfile=/etc/cryptmount/crypt_sdb62.key
keyformat=openssl # utiliser OpenSSL pour chiffrage de la clef
keyhash=md5 keycipher=bf-cbc # chiffrage du fichier de la clef
}

subset {
dev=/dev/sdb63
startsector=512 numsectors=16384 # utiliser une partie d’une partition
dir=/mnt/encrypted\ subset\ of\ sdb
fstype=reiserfs mountoptions=defaults
cipher=twofish-cbc-plain # chiffrage du systĂšme de fichiers

# info sur le fichier qui contient la clef de déchiffrage:
keyfile=/etc/cryptmount/crypt_sdb63.key
keyformat=libgcrypt
keyhash=md5 keycipher=blowfish-cbc # chiffrage de la clef d’accùs
}

encswap { # pagination chiffrée
dev=/dev/sdb63
startsector=16896 numsectors=1024 # utiliser une partie d’une partition
fstype=swap flags=mkswap cipher=twofish-cbc-plain

# lire une clef nouvelle de 16-octets de /dev/random chaque fois:
keyfile=/dev/random keymaxlen=16 keyformat=raw
}

# fin de cmtab

La cible 'basic’ utilise le fichier ordinaire "/home/secretiveuser/crypt.fs" pour ranger le systĂšme de fichiers chiffrĂ©. Un pĂ©riphĂ©rique loop sera configurĂ© automatiquement par cryptmount (Ă  cause du "loop=auto").

La cible 'partition’ utilise une partition entiĂšre du disque dur pour ranger le systĂšme de fichiers chiffrĂ©. La clef de dĂ©chiffrage est contenue dans le rĂ©pertoire principal de cryptmount.

La cible 'subset’ est semblable Ă  la cible 'partition’ sauf qu’elle n’utilise pas une partition entiĂšre. De cette maniĂšre, on peut utiliser des autres groupes de blocs de la partition pour des autres systĂšmes de fichiers dirigĂ©s par cryptmount ou dmsetup.

La cible 'encswap’ utilise une partie d’une partition du disque dur pour proviser la pagination chiffrĂ©e. Une nouvelle clef de dĂ©chiffrage sera lu du /dev/random chaque fois la cible est utilisĂ©e.

FICHIERS

/etc/cryptmount/cmtab - fichier principal du configuration

VOIR AUSSI

cryptmount (8), cryptmount-setup (8), dmsetup (8), openssl (1)

COPYRIGHT NOTICE

cryptmount est Copyright 2005-2024 RW Penney
et il n’y a point de garantie. Les termes de sa licence sont dĂ©crits dans le fichier "COPYING" dans le paquet source de cryptmount.

TRADUCTION

RW Penney, 2006-2024, avec beaucoup d’assistance de FP.