Posted inLinux

Bảo vệ dữ liệu nhạy cảm trên Linux bằng LUKS và cryptsetup: Hướng dẫn cấu hình từ Laptop đến Server

Linux tutorial - IT technology blog
Linux tutorial - IT technology blog

Khi mật khẩu tài khoản Linux không còn tác dụng

Giả sử bạn để quên chiếc ThinkPad công ty tại quán cà phê. Hoặc doanh nghiệp của bạn vừa thanh lý một dàn server cũ kèm ổ cứng SAS. Nhiều anh em kỹ thuật vẫn đinh ninh: “Máy đã đặt mật khẩu root dài 25 ký tự, ai mà chọc vào được!”.

Thực tế không êm đẹp như vậy. Kẻ lấy máy chỉ cần cắm một chiếc USB chứa Ubuntu Live, hoặc tháo ổ SSD cắm vào dock ngoài. Mọi quyền kiểm soát tài khoản biến mất. Toàn bộ file .env, private key SSH, mã nguồn dự án hay cơ sở dữ liệu MySQL đều phơi bày dạng văn bản thô (plaintext). Khi có quyền tiếp cận phần cứng trực tiếp, mật khẩu đăng nhập OS hoàn toàn vô dụng.

Năm 2022, một đồng nghiệp của mình từng cuống cuồng đổi toàn bộ API token hạ tầng. Lý do chỉ vì một kỹ thuật viên quên format ổ cứng phụ trước khi trả máy thuê tại datacenter. Từ cú vấp đó, toàn bộ máy trạm và ổ data phụ của team đều phải bật mã hóa phần cứng bắt buộc.

Lỗ hổng nằm ở đâu: Block Device và Plaintext

Vì sao mật khẩu hệ thống lại bất lực trước USB Live? Vấn đề nằm ở tầng lưu trữ:

  • Cơ chế phân quyền OS (User, Sudo, Chmod): Chỉ hoạt động khi Linux của bạn đang boot và chạy kernel. Lúc này, OS kiểm soát quyền đọc/ghi từng file.
  • Tầng thiết bị khối (Block Device): Dưới đáy phần cứng, chip nhớ SSD chỉ lưu các block dữ liệu trần. Nếu kẻ xấu boot bằng một kernel khác, không còn cơ chế nào ngăn họ đọc trực tiếp từng sector.

Nói ngắn gọn: đặt mật khẩu Linux mà không mã hóa đĩa chẳng khác nào khóa cửa phòng ngủ nhưng tháo tung cửa chính. Ai vào nhà cũng có thể bê nguyên tủ tài liệu đi.

Ba cách bảo vệ dữ liệu trên Linux: Nên chọn phương án nào?

Để ngăn rò rỉ dữ liệu khi mất thiết bị, bạn có 3 hướng xử lý chính:

  • Nén đặt pass từng file (Zip, 7z, GPG): Tiện khi gửi mail vài file lẻ. Tuy nhiên, cách này không thể áp dụng cho database hay log dịch vụ cần ghi liên tục.
  • Mã hóa tầng thư mục (eCryptfs, fscrypt): Phương pháp này chỉ bảo vệ dữ liệu trong thư mục chỉ định (như /home/user). Metadata như kích thước file, cấu trúc cây thư mục vẫn bị lộ. Ngoài ra, dữ liệu nhạy cảm vẫn dễ lọt vào phân vùng swap hoặc /tmp.
  • Mã hóa tầng khối với LUKS: Toàn bộ phân vùng biến thành các khối ngẫu nhiên không thể đọc hiểu. Dữ liệu chỉ giải mã trên RAM khi nạp đúng key. Hiệu năng giảm không đáng kể (thường dưới 2% trên CPU hỗ trợ tập lệnh AES-NI).

Chuẩn mã hóa LUKS và công cụ cryptsetup

LUKS (Linux Unified Key Setup) hiện là tiêu chuẩn mã hóa đĩa mặc định trên hầu hết bản phân phối Linux. Phiên bản hiện hành là LUKS2. Chuẩn này hỗ trợ thuật toán mạnh mẽ AES-XTS-PLAIN64 với độ dài khóa 256-bit hoặc 512-bit. LUKS2 cho phép quản lý tối đa 32 keyslots (thay vì 8 như LUKS1). Nhờ đó, bạn dễ dàng cấp thêm key cho đồng nghiệp hoặc đổi mật khẩu mà không cần mã hóa lại hàng trăm gigabyte dữ liệu.

Các bước cấu hình mã hóa phân vùng

Sau đây là quy trình mã hóa một phân vùng lưu trữ phụ, ví dụ /dev/sdb1 (ổ data server hoặc ổ cứng rời).

Bước 1: Cài đặt cryptsetup và kiểm tra phần cứng

Đầu tiên, kiểm tra xem CPU máy bạn có hỗ trợ tăng tốc mã hóa phần cứng không:

grep -m1 -E '(aes|aesni)' /proc/cpuinfo

Nếu lệnh trả về cờ aes, CPU của bạn đã sẵn sàng xử lý mã hóa với độ trễ cực thấp. Tiếp theo, cài đặt gói công cụ:

# Debian, Ubuntu
sudo apt update && sudo apt install -y cryptsetup

# RHEL, Rocky Linux, AlmaLinux
sudo dnf install -y cryptsetup

Bước 2: Định dạng phân vùng theo chuẩn LUKS

Xác định chính xác tên phân vùng bằng lệnh lsblk. Thao tác nhầm ổ sẽ làm mất toàn bộ hệ điều hành hiện tại.

sudo cryptsetup luksFormat --type luks2 /dev/sdb1

Hệ thống sẽ in cảnh báo viết hoa. Bạn gõ chính xác YES và nhập passphrase (mật khẩu mở khóa). Hãy chọn passphrase từ 4 đến 6 từ ngẫu nhiên để vừa dễ nhớ, vừa chống tấn công brute-force hiệu quả.

Bước 3: Mở khóa thiết bị (Mapping)

Phân vùng sau khi format chưa thể dùng ngay. Bạn cần ánh xạ nó thành một block device ảo trong /dev/mapper/:

sudo cryptsetup open /dev/sdb1 secure_vault

Gõ passphrase đã thiết lập ở bước 2. Linux sẽ tạo ra node thiết bị mới tại /dev/mapper/secure_vault. Thiết bị ảo này tương thích với mọi thao tác mount và format thông thường.

Bước 4: Tạo filesystem và bắt đầu sử dụng

Ở lần đầu tiên thiết lập, bạn cần tạo hệ thống tập tin (ví dụ ext4) trên thiết bị vừa mở khóa:

# Format định dạng ext4
sudo mkfs.ext4 -L DATA_VAULT /dev/mapper/secure_vault

# Tạo điểm gắn và mount vào hệ thống
sudo mkdir -p /mnt/secure_vault
sudo mount /dev/mapper/secure_vault /mnt/secure_vault

Từ lúc này, bạn có thể lưu database PostgreSQL, code nhạy cảm hoặc chứng chỉ SSL vào /mnt/secure_vault. Kernel Linux sẽ tự động mã hóa dữ liệu trước khi ghi xuống phiến đĩa.

Bước 5: Đóng phân vùng an toàn

Trước khi rút ổ rời hoặc khi kết thúc phiên bảo trì, bạn cần giải phóng điểm gắn và đóng lớp bảo vệ:

# Unmount thư mục
sudo umount /mnt/secure_vault

# Khóa thiết bị mapping
sudo cryptsetup close secure_vault

Phân vùng /dev/sdb1 lúc này trở lại trạng thái một khối nhị phân vô nghĩa. Kẻ trộm dù tháo ổ cứng cắm vào máy khác cũng chỉ thấy dữ liệu rác.

Hai lưu ý sống còn khi vận hành LUKS thực tế

Tránh biến giải pháp bảo mật thành thảm họa mất dữ liệu bằng hai kinh nghiệm sau:

  1. Luôn backup LUKS Header: Đầu phân vùng chứa metadata và các khóa giải mã (header LUKS2 chiếm khoảng 16MB). Nếu vị trí này bị bad sector, bạn sẽ mất trắng dữ liệu vĩnh viễn dù nhớ đúng mật khẩu. Hãy xuất bản sao lưu ngay sau khi tạo ổ: 
    sudo cryptsetup luksHeaderBackup /dev/sdb1 --header-backup-file ~/backup_sdb1_header.img

    Cất file backup này trên một USB an toàn hoặc đám mây có mã hóa riêng.

  2. Tự động mở khóa cho Server headless: Server đặt ở datacenter không có màn hình và bàn phím để bạn gõ passphrase mỗi khi reboot. Bạn có thể tạo keyfile đặt trên USB gắn ngoài, tích hợp chip TPM 2.0 (thông qua systemd-cryptenroll), hoặc dùng giải pháp Clevis/Tang (Network-Bound Disk Encryption) để server tự mở khóa qua mạng nội bộ an toàn.
Share:
Tags: