Como faço para configurar um arquivo de troca criptografado no Linux?

2017 ATENÇÃO! A resposta aceita parece funcionar, mas com os kernels recentes, descobri que o sistema travava assim que começava a trocar. Se você tentar usar um arquivo de troca criptografado, verifique se ele realmente troca corretamente. Levei muito tempo para descobrir por que meu sistema continuava travando sem motivo aparente. Voltei a usar uma partição de troca criptografada, que funciona corretamente.

Como configuro um arquivo de troca criptografado (não partição) no Linux? Isso é possível? Todos os guias que encontrei falam sobre partições de troca criptografadas, mas não tenho uma partição de troca e prefiro não ter que reparticionar meu disco.

Não preciso de suporte à suspensão em disco, portanto, gostaria de usar uma chave aleatória em cada inicialização.

Já estou usando um volume hospedado em arquivo TrueCrypt para meus dados, mas não quero colocar minha troca nesse volume. Não uso o TrueCrypt para o arquivo de troca, se houver uma solução melhor.

Estou usando o Arch Linux com o kernel padrão, se isso importa.

De fato, a página descreve a configuração de uma partição, mas é semelhante para um arquivo de troca:

dd if=/dev/urandom of=swapfile.crypt bs=1M count=64
loop=$(losetup -f)
losetup ${loop} swapfile.crypt
cryptsetup open --type plain --key-file /dev/urandom ${loop} swapfile
mkswap /dev/mapper/swapfile
swapon /dev/mapper/swapfile

O resultado:

# swapon -s
Filename                                Type            Size    Used    Priority
/dev/mapper/swap0                       partition       4000176 0       -1
/dev/mapper/swap1                       partition       2000084 0       -2
/dev/mapper/swapfile                    partition       65528   0       -3

swap0 e swap1 são partições reais.

Esta configuração usa chaves geradas aleatoriamente na inicialização e não suporta a hibernação no disco rígido! Você deve desativar a hibernação através do seu respeitado DE Power Management Utility e configurá-lo como Shutdown on Critical para evitar a perda de dados!

Certifique-se de executar sudo -sou suantes de executar o seguinte.

1. Desativar Troca:

   # swapoff -a
   

2. Localize a partição de troca existente

   # lsblk
   

   Você obterá algo como isto:

   sda3    8:3    0     8G  0 part [SWAP]
   

3. Substituir Troca Antiga

   # dd if=/dev/zero bs=1024000 of=/dev/sda<#>
   

   por exemplo:

   # dd if=/dev/zero bs=1024000 of=/dev/sda3
   

4. fstab configuração

   # vim /etc/fstab
   

   Substitua o dispositivo SWAP antigo pelo nome do mapeador de crypttab: /dev/mapper/cswap

   #<file system>      <mount point>   <type>  <options>   <dump>  <pass>
   /dev/mapper/cswap   none            swap    pri=1,defaults  0   0
   

5. Configuração de criptografia

   # ls -lF /dev/disk/by-id
   

   Por exemplo:

   ata-HGST_HTS545050A7E680_TEK55D4F0BU3GV-part3 -> ../../sda3
   
   # vim /etc/crypttab
   
   # <name>    <device>                            <password>  <options>
     cswap     /dev/disk/by-id/ata-HGST_HTS545050A7E680_TEK55D4F0BU3GV-part3   /dev/urandom    swap,cipher=aes-cbc-essiv:sha256,size=256
   

6. Troca criptografada ativa

   # reboot
   

7. Verificar operações de troca codificada

   Por exemplo:

   # dmsetup -C info 
   cswap      253   0 L--w    2    1      0 CRYPT-PLAIN-cswap  
   # lsblk
   ├─sda3                8:3    0     8G  0 part  
   │ └─cswap             253:0    0     8G  0 crypt [SWAP]
   # cat /proc/swaps 
   Filename                Type        Size    Used    Priority
   /dev/dm-0               partition   8385532 0       -1
   

Se você usar dd if=/dev/zero of=/swapfile bs=8G count=1, seguido por mkswap /swapfilee swapon /swapfile, deverá ter um arquivo de troca em funcionamento no seu sistema de arquivos raiz. (usamos ddpara garantir que não haja falhas no arquivo de troca)

Isso evita ter que mexer com dispositivos de loop e / ou crypttab e simplesmente coloca o arquivo de troca dentro do seu sistema de arquivos já criptografado. (Supomos que você esteja usando criptografia para toda a unidade aqui. Anexe o /swapfileparâmetro com o caminho para o diretório criptografado, se estiver em outro lugar)

Veja man mkswape man swaponpara mais informações.