是否可以在不提供当前密钥的情况下向打开的 luks 卷添加密钥？

Question

正如标题所述，我需要知道是否有一种方法可以添加不需要用户重新输入密码/为已经打开的 luks 卷提供密钥文件的密钥。我实际上需要实现它，所以一个例子将不胜感激。

Answer 1

不，不是理智的 \xe2\x80\x94\xc2\xa0 但对手可以。

\n\n

该cryptsetup工具对加密卷本身进行操作，无论其当前是否打开。需要从卷中检索卷密钥；为此，它需要一种方法来解码现有的密钥槽之一（密码或密钥文件），否则您需要向其传递裸露的音量密钥（您几乎不会一直闲置它）。

\n\n

如果卷已安装，则内核在内存中具有卷密钥。但不出所料，它没有提供检索它的接口。

\n\n

您可以编写并加载一个检索卷密钥的内核模块（我认为您必须跳过重重困难，但从安全角度来看这是微不足道的），除非模块加载被禁用或经过身份验证。您可以通过从内存转储中检索密钥/dev/kmem，除非该功能被禁用（我希望有现成的取证工具用于此目的，尽管我无法命名任何工具）。我想就是这样。

\n