LUKS暗号化パスフレーズの変更方法

あなたはLUKSを使ってデータを保護することに決めましたが、悪いパスフレーズを選んでしまったため、変更する必要があります。運が良いです。ほとんどの暗号化ソリューションとは異なり、LUKSではパスフレーズを比較的簡単に変更できます。残念ながら、これは失ったパスフレーズの解決策ではなく、前のパスフレーズを知っている必要がありますが、パスフレーズをローテーションしたり、設計を誤った古いものを取り除くのには最適です。

パスフレーズの変更

1つのパスフレーズだけのLUKSドライブでパスフレーズを変更するのは非常に簡単です。ターミナルを開き、次のコマンドを実行します。実際のドライブの場所を「sdX」に置き換えてください。最初に、既存のパスフレーズを入力するように求められます。次に、新しいものを作成できます。

sudo cryptsetup luksChangeKey /dev/sdX

複数のパスフレーズを持つLUKSドライブ

LUKSドライブには、実際には最大8つのパスフレーズやキーファイルを関連付けることができます。まず、ドライブを確認して、いくつのキーがあるかを見てみましょう。おそらく、キースロット0のみが占有されているのが見えるでしょう。それが最初のものです。

sudo cryptsetup luksDump /dev/sdX |grep-i key

空いているスロットがあれば、ドライブに別のパスフレーズを追加することができます。次のコマンドを実行すると、新しいキーが最初の空きスロットに追加されます。

sudo cryptsetup luksAddKey /dev/sdX

同じドライブで複数のキーを管理する場合、特定のキーをターゲットにする能力が必要です。再度、-Sフラグを使ってそれを非常に簡単に行うことができます。スロット番号を後に追加するだけで、変更するキーを選択できます。

sudo cryptsetup luksChangeKey /dev/sdX -S2

パスフレーズの削除

複数のキーを扱っている場合、時折古いものを削除する必要があるでしょう。LUKSでは、いくつかの方法でそれを処理できます。最も簡単な方法は、キーを削除するためにビルトインコマンドを使用することで、LUKSはあなたにパスフレーズを求めます。入力したパスフレーズに関連付けられたキーが自動的に削除されます。

sudo cryptsetup luksRemoveKey /dev/sdX

自分で指定したい場合は、KillSlotコマンドを使用して特定のスロットのキーを削除できます。ドライブの後にスロット番号を含めるだけで、削除されるのはそのキーです。

sudo cryptsetup luksKillSlot /dev/sdX 2

LUKSパスフレーズを管理する方法はどれでも、最も柔軟な暗号化オプションの1つであることがわかるでしょう。LUKSでは、キーの変更、管理、削除ができるため、ドライブに新しいセキュリティレイヤーを追加できます。また、1人だけでなく、チーム全体のアクセスを制御できることも利点です。