grml-crypt

   1 #!/bin/bash
   2 # Filename:      grml-crypt
   3 # Purpose:       Program to format, mount and unmount encrypted devices/files
   4 # Authors:       Michael Gebetsroither <gebi@grml.org>
   5 # Bug-Reports:   see http://grml.org/bugs/
   6 # License:       This file is licensed under the GPL v2.
   7 # Latest change: Don Jul 26 19:57:28 CEST 2007 [mika]
   8 ################################################################################
   9
  10
  11 ###
  12 ### __INCLUDES
  13 ###
  14 . /etc/grml/sh-lib
  15 #. /etc/grml/sysexits-sh
  16
  17
  18
  19 ###
  20 ### __VARIABLES
  21 ###
  22
  23 verbose_=0
  24 DEV_MAPPER_="/dev/mapper"
  25 CRYPTSETUP_="cryptsetup"
  26 IS_IMAGE_='false'
  27 SIZE_="10"
  28 SIZE_SET_='false'
  29 FSTYPE_="vfat"
  30 TARGET_=""
  31 VERIFY_PW_=""
  32 MKFS_=""
  33 DM_NAME_=""
  34 DM_PATH_=""
  35 ACTION_=""
  36 DM_PREFIX_="grml-crypt_"
  37 FORCE_='false'
  38 FSCK_='false'
  39 ENTROPY_SOURCE_='/dev/urandom'
  40 OPTIMIZED_MODE_SET_='false'
  41 OPTIMIZING_LEVEL_=0
  42 CIPHER_SIZE_="256"
  43 CIPHER_="aes-cbc-essiv:sha256"
  44 ITERATION_TIME_="1000"
  45 ADDITIONAL_CRYPTSETUP_ARGS_=""
  46 READONLY_SET_='false'
  47 ADDITIONAL_MOUNT_ARGS_=""
  48 BATCH_MODE_="--batch-mode"
  49
  50 ###
  51 ### __FUNCTIONS
  52 ###
  53
  54 function printUsage
  55 {
  56   cat <<EOT
  57 Usage: "$PROG_NAME__" [OPTIONS] action <device/file> [mountpoint]
  58
  59 $PROG_NAME__ is a wrapper around cryptsetup with LUKS support to format a device
  60
  61 OPTIONS:
  62    -s         size of the loop-filesystem to create, in MB (default=$SIZE_)
  63    -t         type of filesystem (default=$FSTYPE_)
  64    -r         read only mode (fully supported only by start)
  65    -z         insecure mode, using /dev/zero for most of the initialisation (INSECURE!)
  66    -o         optimised initialisation mode (should be as secure as the default but faster)
  67    -y         verifies the passphrase by asking for it twice
  68    -f         force file overwriting in format mode and/or disable confirmation dialog
  69    -F         only for action start: run fsck before mounting the filesystem
  70    -m         additional arguments to mount
  71    -v         verbose (show what is going on, v++)
  72    -h         this help text
  73
  74 CRYPTSETUP FORMAT OPTIONS:
  75    -S         cipher size, could be 128, 192 or 256 (default=$CIPHER_SIZE_)
  76    -C         cipher, should be aes-plain for pre-2.6.10 (default=$CIPHER_)
  77    -I         iteration time spend with PBKDF2 password  processing in seconds (default=$ITERATION_TIME_)
  78    -A         additional arguments for cryptsetup (only supportet by format)
  79
  80 ACTIONS:
  81    format  <device/file> [mountpoint]
  82               Format a device or a file (is created with the given size if it
  83               does not exist) with the given filesystem and mount it, if a
  84               mountpoint was given.
  85    start  <device/file> <mountpoint>
  86               Mount the device/file in the mountpoint.
  87    stop   <mountpoint>
  88               Umount the given mountpoint (umount, luksClose, losetup -d)
  89
  90 EOT
  91
  92   isGrml && cat <<EOT
  93 NOTICE:
  94    losetup does _NOT_ work on unionfs => grml-crypt with a filesystem image does ONLY
  95    work if the image is on a tmpfs (eg. in /home/grml or /tmp).
  96
  97 EOT
  98
  99 }
 100
 101
 102 function getDMName
 103 {
 104   device_="${1##*/}"
 105
 106   # first trying normal devicename
 107   tmp_="${DM_PREFIX_}${device_}"
 108   if [ ! -e "$tmp_" ]; then
 109     echo "$tmp_"
 110     return 0
 111   fi
 112
 113   # second trying uuid of luks
 114   #uuid_=`execute "$CRYPTSETUP_ luksUUID $1"`
 115   #if [[ $? == 0 ]]; then
 116   #  echo "$prefix_$uuid_"
 117   #  return 0
 118   #fi
 119   warn "could not create device-mapper name for $1"
 120   return 1
 121 }
 122
 123
 124 function formatDevice
 125 {
 126   type_="$1"  # could be donothing or init
 127   ret_=0
 128
 129   args_="$VERIFY_PW_ $BATCH_MODE_ --key-size $CIPHER_SIZE_ --cipher $CIPHER_ --iter-time $ITERATION_TIME_ $ADDITIONAL_CRYPTSETUP_ARGS_"
 130   #args_=`echo "$args_" |tr -s ' '`
 131   execute "$CRYPTSETUP_ $args_ luksFormat $TARGET_" warn || return 1
 132
 133   execute "$CRYPTSETUP_ luksOpen $TARGET_ $DM_NAME_" warn \
 134     "could not open $DM_PATH_ to create a filesystem on it!" || return 1
 135   if [[ $type_ == 'init' && $OPTIMIZED_MODE_SET_ == 'true' ]]; then
 136     echo "finishing optimised initialisation (this could take some time)"
 137     # FIXME
 138     execute "dd if=/dev/zero of=$DM_PATH_ bs=1M &>/dev/null" # || \
 139     #  warn "could not finish optimised initialisation properly"
 140     ret_=$?
 141     # cutted out because of no space left on device error :(
 142     #if [[ $ret_ != 0 ]]; then
 143     #  execute "$CRYPTSETUP_ luksClose $DM_NAME_" warn
 144     #  return 1
 145     #fi
 146   fi
 147
 148   execute "$MKFS_ $DM_PATH_ >/dev/null" warn
 149   if [[ $? != 0 ]]; then
 150     execute "$CRYPTSETUP_ luksClose $DM_NAME_"
 151     warn "could not create filesystem on $DM_PATH_" 1
 152     return 1
 153   else
 154     echo "Successully created $FSTYPE_ on encrypted $TARGET_"
 155     return 0
 156   fi
 157 }
 158
 159
 160 function actionStart
 161 {
 162   ret_=0
 163
 164   # no mountpoint, by-by
 165   if [[ "$MOUNT_POINT_" == "" ]]; then
 166     printUsage
 167     die 'no mountpoint given'
 168   fi
 169   if [ ! -d "$MOUNT_POINT_" ]; then
 170     die "mountpoint $MOUNT_POINT_ does not exist"
 171   fi
 172   # removed due to unionfs problem isLuks does not work with filesystem images
 173   # without losetup
 174   #$CRYPTSETUP_ isLuks $TARGET_ || die "$TARGET_ is not a luks partition"
 175
 176   # TARGET (is/should be) a filesystem image
 177   if [ ! -b "$TARGET_" ]; then
 178     notice "Operating on a file"
 179     isExistent "$TARGET_" die "image does not exist"
 180     TARGET_=`findNextFreeLoop` || die "could not find a free loop device"
 181
 182     # TARGET_ is now /dev/loop<x>
 183     execute "losetup $TARGET_ $ORIG_TARGET_" die
 184   fi
 185   cargs_=""
 186   $READONLY_SET_ && cargs_='--readonly'
 187   execute "$CRYPTSETUP_ $cargs_ luksOpen $TARGET_ $DM_NAME_" warn || execute "losetup -d $TARGET_" || \
 188     die "could not luksOpen $TARGET_"
 189   if [[ "$FSCK_" == "true" ]] ; then
 190     execute "fsck -C $DM_NAME_" || die "fsck failed on $DM_NAME_"
 191   fi
 192   margs_=""
 193   $READONLY_SET_ && margs_='-r'
 194   execute "mount $margs_ $ADDITIONAL_MOUNT_ARGS_ $DM_PATH_ $MOUNT_POINT_" die
 195 }
 196
 197
 198 function actionStop
 199 {
 200   mp_="$1"
 201   ret_=0
 202
 203   isExistent "$mp_" die
 204   tmp_=`realpath $mp_` || die "could not get realpath of $mp_"
 205   dprint "realpath_=\"$tmp_\""
 206
 207   dm_path_=`mount |grep "$tmp_ "` || die "$tmp_ is not mounted"
 208   dprint "dm_path_=\"$dm_path_\""
 209   dm_path_=`echo $dm_path_ |awk '{print $1}'` || die "could not get devicemapper name for $tmp_"
 210   dprint "dm_path_=\"$dm_path_\""
 211
 212   dm_name_="${dm_path_##*/}"
 213   dprint "dm_name_=\"$dm_name_\""
 214
 215   dmsetup info $dm_name_ >/dev/null ||die "$dm_name_ is not aktive"
 216   device_=`$CRYPTSETUP_ status $dm_name_ |awk '/device:/{print $2}'` || \
 217     die "could not get underlying device of $dm_path_"
 218   dprint "device_=\"$device_\""
 219
 220   execute "umount $dm_path_" die "could not unmount $device_"
 221   execute "$CRYPTSETUP_ luksClose $dm_name_" die "could not close $dm_path_"
 222   echo "$device_" |grep loop &>/dev/null && execute "losetup -d $device_" \
 223     die "could not delete loop device $device_" || \
 224     execute "losetup -d $device_ &>/dev/null" eprint "could not delete loop device $device_, \
 225 this device could possible not be a loop device => maybe bogus error"
 226   notice "$mp_ successfully unmountet/closed/deleted"
 227 }
 228
 229 function yesDialog
 230 {
 231   msg_="$1"
 232
 233   echo "WARNING!" >&2
 234   echo "========" >&2
 235   echo -n "$msg_" >&2
 236   echo -n " (type uppercase yes): " >&2
 237   read input
 238   if [[ $input == 'YES' ]]; then
 239     return 0
 240   fi
 241
 242   return 1
 243 }
 244
 245 function actionFormat
 246 {
 247   IS_IMAGE_='false'
 248   ret_=0
 249   init_='init'
 250
 251   if (( $SIZE_ < 3 )); then
 252     die "the minimum size of an encrypted luks partition should be 2"
 253   fi
 254
 255   # TARGET (is/should be) a filesystem image
 256   if [ ! -b "$TARGET_" ]; then
 257     notice "Operating on a file"
 258     IS_IMAGE_='true'
 259     if [ -e "$TARGET_" ]; then
 260       $FORCE_ || die "$TARGET_ does already exist"
 261       warn "overwriting file $TARGET_"
 262       init_='donothing'
 263     else
 264       echo -n "Initialising file with "
 265       if [[ $OPTIMIZED_MODE_SET_ == 'true' ]]; then
 266         echo "optimised SECURE mode"
 267         execute "dd if=/dev/zero of=$TARGET_ bs=1M count=${SIZE_} &>/dev/null" \
 268           die "could not initialise $TARGET_ with /dev/zero"
 269       else
 270         if [[ $ENTROPY_SOURCE_ == '/dev/zero' ]]; then
 271           echo "INSERCURE mode"
 272         else
 273           echo "SECURE mode (taking /dev/urandom as source, this could take some time)"
 274         fi
 275         execute "dd if=$ENTROPY_SOURCE_ of=$TARGET_ bs=1M count=${SIZE_} &>/dev/null" ||\
 276           die "could not initialise $TARGET_ with $ENTROPY_SOURCE_"
 277       fi
 278     fi
 279
 280     TARGET_=`findNextFreeLoop` || die "could not find a free loop device"
 281
 282     # TARGET_ is now /dev/loop<x>
 283     execute "losetup $TARGET_ $ORIG_TARGET_" die
 284     if [[ $OPTIMIZED_MODE_SET_ == 'true' || $ENTROPY_SOURCE_ == '/dev/zero' ]]; then
 285       execute "dd if=/dev/urandom of=$TARGET_ bs=1M count=2 &>/dev/null" \
 286       die "could not initialise the fist 2MB of $TARGET_ with /dev/urandom"
 287     fi
 288     formatDevice "$init_"
 289     ret_=$?
 290   else
 291     $FORCE_ || (yesDialog "Are you shure you want to overwrite $TARGET_ ?" || die 'You are not sure')
 292     notice 'Operating on a device'
 293     echo -n 'Initialising device with '
 294     if [[ $OPTIMIZED_MODE_SET_ == 'true' ]]; then
 295       echo "optimised SECURE mode"
 296       execute "dd if=/dev/urandom of=$TARGET_ bs=1M count=2 &>/dev/null" ||\
 297         die "could not initialise the first 2MB of $TARGET_ with /dev/urandom"
 298     elif [[ $ENTROPY_SOURCE_ != '/dev/zero' ]]; then
 299       # default mode
 300       echo "SECURE mode (taking $ENTROPY_SOURCE_ as source, this could take some time)"
 301       execute "dd if=$ENTROPY_SOURCE_ of=$TARGET_ bs=1M &>/dev/null" #||\
 302         # skipped because "no space left on device" from dd
 303         # die "could not initialise $TARGET_ with $ENTROPY_SOURCE_"
 304     else
 305       echo 'INSECURE mode (only initialising the fist 2MB with /dev/urandom)'
 306       execute "dd if=/dev/urandom of=$TARGET_ bs=1M count=2 &>/dev/null" \
 307         die "could not initialise the first 2MB of $TARGET_ with /dev/urandom"
 308     fi
 309
 310     formatDevice "$init_"
 311     ret_=$?
 312   fi
 313
 314   # formatDevice was successfully
 315   if (( $ret_ == 0 )); then
 316     # a mountpoint was given (don't luksClose the device)
 317     local mount_point_exists_='true'
 318     test -d "$MOUNT_POINT_" || mount_point_exists_='false'
 319
 320     if [[ $MOUNT_POINT_ != "" && "$mount_point_exists_" == 'true' ]]; then
 321       $READONLY_SET_ && margs_='-r'
 322       execute "mount $margs_ $ADDITIONAL_MOUNT_ARGS_ $DM_PATH_ $MOUNT_POINT_" die
 323     else
 324       if [[ $MOUNT_POINT_ != "" ]]; then
 325         $mount_point_exists_ || warn "mountpoint $MOUNT_POINT_ does not exist, not mounting. please use \"grml-crypt start $ORIG_TARGET_ <mountpoint>\" to start the device"
 326       fi
 327       execute "$CRYPTSETUP_ luksClose $DM_NAME_" warn
 328       $IS_IMAGE_ && execute "losetup -d $TARGET_" warn
 329     fi
 330   else
 331     execute "$CRYPTSETUP_ luksClose $DM_NAME_" warn
 332     $IS_IMAGE_ && execute "losetup -d $TARGET_" warn
 333   fi
 334 }
 335
 336
 337
 338 ###
 339 ### __MAIN
 340 ###
 341
 342 while getopts "s:t:rzoyfFm:hvS:C:I:A:" opt; do
 343   case "$opt" in
 344     s) SIZE_="$OPTARG"; SIZE_SET_='true' ;;
 345     t) FSTYPE_="$OPTARG" ;;
 346     r) READONLY_SET_='true' ;;
 347     z) let OPTIMIZING_LEVEL_=$OPTIMIZING_LEVEL_+1
 348         ENTROPY_SOURCE_='/dev/zero'
 349         warn 'initialising from INSECURE source /dev/zero' ;;
 350     o) let OPTIMIZING_LEVEL_=$OPTIMIZING_LEVEL_+1
 351         OPTIMIZED_MODE_SET_='true' ;;
 352     y) VERIFY_PW_="--verify-passphrase" ;;
 353     f) FORCE_='true' ;;
 354     F) FSCK_='true' ;;
 355     m) ADDITIONAL_MOUNT_ARGS_="$OPTARG" ;;
 356     h) printUsage; exit ;;
 357     v) let verbose_=$verbose_+1 ;;
 358     S) CIPHER_SIZE_="$OPTARG" ;;
 359     C) CIPHER_="$OPTARG" ;;
 360     I) ITERATION_TIME_="$OPTARG" ;;
 361     A) ADDITIONAL_CRYPTSETUP_ARGS_="$OPTARG" ;;
 362     ?) printUsage; exit 64 ;;
 363   esac
 364 done
 365 shift $(($OPTIND - 1))  # set ARGV to the first not parsed commandline parameter
 366 setVerbose $verbose_
 367
 368 checkRoot die "You have to be root to use this program"
 369 disableSyslog
 370
 371 if [[ $1 == 'help' ]]; then
 372   printUsage
 373   exit 0
 374 fi
 375 if (( $# < 2 )); then
 376   printUsage
 377   die "wrong number of arguments ($#)" 1
 378 fi
 379 if (( $OPTIMIZING_LEVEL_ > 1 )); then
 380   printUsage
 381   die "please choose ONE initialisation methode"
 382 fi
 383 TARGET_="$2"
 384
 385 MKFS_="/sbin/mkfs.$FSTYPE_"
 386 if [ ! -x "$MKFS_" ]; then
 387   die "invalid filesystem type \"$FSTYPE_\"" 1
 388 fi
 389
 390 # use batch-mode if available
 391 $CRYPTSETUP_ $BATCH_MODE_ --help &>/dev/null;
 392 ret_=$?
 393 case "$ret_" in
 394   0)  dprint "your cryptsetup understands --batch-mode" ;;
 395   1)  BATCH_MODE_=""; notice "your cryptsetup does NOT understand --batch-mode, trying without" ;;
 396   127)  die "could not execute cryptsetup" 127 ;;
 397   *)  warn "problems executing $CRYPTSETUP_" $ret_
 398 esac
 399
 400 DM_NAME_="`getDMName $TARGET_`"
 401 DM_PATH_="$DEV_MAPPER_/$DM_NAME_"
 402 ORIG_TARGET_="$TARGET_"
 403 MOUNT_POINT_="$3"
 404
 405 case "$1" in
 406   format) ACTION_='format'; actionFormat ;;
 407   start)  ACTION_='start'; actionStart ;;
 408   stop)  ACTION_='stop'; actionStop "$TARGET_" ;;
 409   *)  printUsage ;;
 410 esac
 411
 412 # END OF FILE
 413 ################################################################################
 414 # vim:foldmethod=marker tabstop=2 expandtab shiftwidth=2