Emergency Self Destruction of LUKS in Kali

Kali Linux 全盘加密

作为渗透测试人员，我们经常需要携带笔记本电脑上存储的敏感数据出行。当然，我们会尽可能使用全盘加密，包括我们的Kali Linux 机器，它们往往包含最敏感的材料。

使用Kali 设置全盘加密是一个简单的过程。 Kali 安装程序包含一个使用LVM 和LUKS 设置加密分区的简单过程。加密后，Kali 操作系统在启动时需要密码，以允许操作系统启动和解密您的驱动器，从而在您的笔记本电脑被盗时保护这些数据。管理解密密钥和分区是使用cryptsetup 实用程序完成的。

破坏我们的 Kali Linux FDE 安装

几天前，我们中的一个人有了在Kali 安装中添加“nuke”选项的想法。换句话说，启动密码会破坏而不是解密我们驱动器上的数据。经过几次Google 搜索，我们发现了Juergen Pabel 的一个旧的cryptsetup 补丁，它就是这样做的，在cryptsetup 中添加了一个“nuke”密码，该密码在使用时会删除所有键槽并使驱动器上的数据无法访问。我们将此补丁移植到最新版本的cryptsetup 并将其发布到GitHub 上。

测试 LUKS Nuke 补丁

此功能尚未在Kali 中实现，因为我们希望在将此补丁应用于基础映像之前收集一些用户反馈。如果您想自己尝试一下，这些是构建说明。首先在Kali 中运行LVM 加密安装并设置解密密码。完成后，下载cryptsetup 包源代码并应用我们的补丁。继续构建补丁包如下:

root@kali:~# apt-get 源cryptsetup

root@kali:~# git clone https://gitlab.com/kalilinux/packages/cryptsetup-nuke-keys

root@kali:~# cd cryptsetup-1.6.1/

root@kali:~/cryptsetup-1.6.1# patch -p1 ./cryptsetup-nuke-keys/cryptsetup_1.6.1+nuke_keys.diff

修补文件lib/libcryptsetup.h

修补文件lib/luks1/keymanage.c

修补文件lib/setup.c

修补文件src/cryptsetup.c

root@kali:~/cryptsetup-1.6.1# dpkg-buildpackage -b -uc

软件包构建完成后，安装cryptsetup 软件包以实施我们的nuke 选项:

root@kali:~/cryptsetup-1.6.1# ls -l ./*crypt*.deb

-rw-r--r-- 1根根149430 Jan 4 21:34 ./cryptsetup_1.6.1-1kali0_amd64.deb

-rw-r--r-- 1根根250616 Jan 4 21:34 ./cryptsetup-bin_1.6.1-1kali0_amd64.deb

-rw-r--r-- 1根根105226 Jan 4 21:34 ./libcryptsetup4_1.6.1-1kali0_amd64.deb

-rw-r--r-- 1根根49580 Jan 4 21:34 ./libcryptsetup-dev_1.6.1-1kali0_amd64.deb

root@kali:~/cryptsetup-1.6.1# dpkg -i ./libcryptsetup*.deb

root@kali:~/cryptsetup-1.6.1# dpkg -i ./cryptsetup*.deb

现在我们已经安装了修补过的cryptsetup 软件包，我们可以继续向setup: 添加“nuke”密钥

root@kali:~# cryptsetup luksAddNuke /dev/sda5

输入任何现有密码:（现有密码）

输入密钥slot: 的新密码（nuke 密码）

嘿老兄，我的驱动器在哪里？

在随后的任何重新启动中，每次都会像往常一样要求您输入LUKS 解密密码。如果出于某种原因，您要输入nuke 密码，则保存的密钥将被清除，从而导致数据无法访问。我们应该在cryptsetup 包中实现这个补丁吗？通过这个快速民意调查让我们知道您的想法。我们将保持此民意调查几周的时间，并随时向您通报此功能的任何进一步进展:

卡利的Cryptseup Nuke 选项

将nuke 功能添加到cryptsetup 中？*

- [ ] 是的，添加此功能！

- [ ] 别再打扰我了

- [ ] 不，不要管cryptsetup。

Update: nuke补丁已引入Kali Linux，并且在Kali Linux v1.0.6中默认可用。

Update: 我们在稍后的“如何对加密的Kali Linux 安装进行核武器攻击”博客文章中发布了Nuke 功能的示例用例。

Update: 自2019 年7 月起，Kali Linux 不再附带此cryptsetup 补丁，而是引入了一个cryptsetup-nuke-password 软件包，该软件包提供类似的功能，而无需修改cryptsetup:

root@kali:~# apt install cryptsetup-nuke-password

root@kali:~# dpkg-重新配置cryptsetup-nuke-密码