dm-crypt / LUKS
Disk Şifreleme.

# Debian/Ubuntu
apt-get install cryptsetup cryptsetup-initramfs

# Buildroot — menuconfig
# Target packages → Filesystem and flash utilities → cryptsetup
# Kernel — enable dm-crypt:
# Device Drivers → Multiple devices driver support → Device mapper support
# → Crypt target support

# Yocto — local.conf veya layer recipe'ye ekle
IMAGE_INSTALL:append = " cryptsetup"
KERNEL_FEATURES:append = " features/cryptsetup/cryptsetup.scc"

# Sürüm doğrula
cryptsetup --version
# cryptsetup 2.7.2

# Mevcut LUKS cihazları listele
cryptsetup luksDump /dev/mmcblk0p3

# Şifreli diski aç
cryptsetup open /dev/mmcblk0p3 veri_disk

# Artık /dev/mapper/veri_disk kullanılabilir
mount /dev/mapper/veri_disk /mnt/veri

# Kapat
umount /mnt/veri
cryptsetup close veri_disk

# Hızlı durum sorgulama
cryptsetup status veri_disk

# Minimum — varsayılan ayarlarla LUKS2 oluştur
cryptsetup luksFormat /dev/mmcblk0p3

# Üretim için önerilen: AES-256-XTS + Argon2id
cryptsetup luksFormat \
  --type luks2 \
  --cipher aes-xts-plain64 \
  --key-size 512 \
  --hash sha256 \
  --pbkdf argon2id \
  --pbkdf-memory 65536 \
  --pbkdf-parallel 4 \
  --pbkdf-force-iterations 4 \
  --label "rootfs-enc" \
  /dev/mmcblk0p3

# Parola yerine keyfile kullan (otomasyon için)
dd if=/dev/urandom bs=64 count=1 of=/tmp/luks.key
cryptsetup luksFormat \
  --type luks2 \
  --key-file /tmp/luks.key \
  /dev/mmcblk0p3

# Formatlandıktan sonra aç ve dosya sistemi oluştur
cryptsetup open --key-file /tmp/luks.key /dev/mmcblk0p3 enc_root
mkfs.ext4 -L rootfs /dev/mapper/enc_root
cryptsetup close enc_root

# Header'ı harici dosyaya yedekle — ZORUNLU!
cryptsetup luksHeaderBackup /dev/mmcblk0p3 \
  --header-backup-file /secure/backup/mmcblk0p3_luks_header.bin

# Header geri yükle (acil durum)
cryptsetup luksHeaderRestore /dev/mmcblk0p3 \
  --header-backup-file /secure/backup/mmcblk0p3_luks_header.bin

# Yedek header bilgisini doğrula
cryptsetup luksDump \
  --header /secure/backup/mmcblk0p3_luks_header.bin \
  /dev/mmcblk0p3

# /etc/crypttab — format: <name> <device> <keyfile> <options>
# Parola ile açmak için
enc_root  UUID=a1b2c3d4-e5f6-7890-abcd-ef1234567890  none  luks,discard

# Keyfile ile açmak için (keyfile initramfs'e gömülür)
enc_root  UUID=a1b2c3d4-e5f6-7890-abcd-ef1234567890  /etc/keys/luks.key  luks,discard

# /etc/fstab — mapper cihazını root olarak mount et
/dev/mapper/enc_root  /  ext4  defaults,noatime  0  1

# initramfs'i güncelle
update-initramfs -u -k all

# GRUB kernel parametrelerine cryptdevice ekle
# /etc/default/grub
GRUB_CMDLINE_LINUX="cryptdevice=UUID=a1b2c3d4...:enc_root root=/dev/mapper/enc_root"
update-grub

#!/bin/sh
# /etc/initramfs-tools/scripts/local-top/unlock-luks

PREREQ="cryptroot"
prereqs() { echo "$PREREQ"; }
case $1 in prereqs) prereqs; exit 0;; esac

. /scripts/functions

DEVICE="/dev/mmcblk0p3"
MAPPER_NAME="enc_root"
KEY_DEVICE="/dev/mmcblk0p4"   # ayrı key partition
KEY_FILE="/key.bin"

# Key partition'ı monte et
mkdir -p /mnt/keystore
mount -t vfat "$KEY_DEVICE" /mnt/keystore 2>/dev/null

if [ -f "/mnt/keystore${KEY_FILE}" ]; then
    # Keyfile ile otomatik aç
    cryptsetup open --key-file "/mnt/keystore${KEY_FILE}" \
        "$DEVICE" "$MAPPER_NAME"
else
    # Fallback: parola sor
    cryptsetup open "$DEVICE" "$MAPPER_NAME"
fi

umount /mnt/keystore 2>/dev/null

# U-Boot ortam değişkeni — kernel'a cryptdevice parametre ilet
setenv bootargs "console=ttyS0,115200 root=/dev/mapper/enc_root \
  cryptdevice=/dev/mmcblk0p3:enc_root ro quiet"

# veya FIT imajı ile:
setenv bootargs "${bootargs} dm-mod.create=\
'enc_root,,0,rw, 0 $(blockdev --getsz /dev/mmcblk0p3) crypt aes-xts-plain64 \
:64:logon:cryptsetup:UUID 0 /dev/mmcblk0p3 0 1 allow_discards'"

# Gerekli paket
apt-get install systemd tpm2-tools

# Mevcut keyslotları görüntüle
systemd-cryptenroll /dev/mmcblk0p3

# TPM2 ile PCR 0+7 bind ederek kayıt
# Mevcut LUKS parolası ile kimlik doğrulama yapılır
systemd-cryptenroll \
  --tpm2-device=auto \
  --tpm2-pcrs=0+7 \
  /dev/mmcblk0p3

# PCR 0+7+9 ile (initramfs da ölçüme katılır)
systemd-cryptenroll \
  --tpm2-device=auto \
  --tpm2-pcrs=0+7+9 \
  --tpm2-with-pin=yes \
  /dev/mmcblk0p3

# /etc/crypttab'ı TPM2 token kullanacak şekilde güncelle
enc_root UUID=... none luks,tpm2-device=auto,discard

# TPM2 enrollment'ı kaldır (belirli slot)
systemd-cryptenroll --wipe-slot=tpm2 /dev/mmcblk0p3

# Tang sunucusu kur (anahtar sunucusu — ayrı cihazda)
apt-get install tang
systemctl enable --now tangd.socket

# Cihazda clevis kur
apt-get install clevis clevis-luks clevis-initramfs

# Tang sunucusuna bind et
clevis luks bind -d /dev/mmcblk0p3 tang \
  '{"url":"http://192.168.1.10","thp":"ABC123..."}'

# TPM2 + Tang birlikte (shamir — her ikisi de gerekli)
clevis luks bind -d /dev/mmcblk0p3 sss \
  '{"t":2,"pins":{"tpm2":{"pcr_ids":"0,7"},"tang":{"url":"http://192.168.1.10"}}}'

# initramfs güncelle
update-initramfs -u -k all

# Test: manuel clevis unlock
clevis luks unlock -d /dev/mmcblk0p3 -n enc_root

# Mevcut keyslot durumunu görüntüle
cryptsetup luksDump /dev/mmcblk0p3 | grep -E "Keyslot|State"

# Yeni parola ekle (slot 1'e) — önce mevcut parolayla doğrulama
cryptsetup luksAddKey \
  --key-slot 1 \
  /dev/mmcblk0p3

# Yeni keyfile ekle (slot 2)
cryptsetup luksAddKey \
  --key-slot 2 \
  --new-keyfile /etc/keys/new_luks.key \
  /dev/mmcblk0p3

# Eski parolayı kaldır (slot 0)
cryptsetup luksKillSlot /dev/mmcblk0p3 0

# Acil durum: tüm keyslotları sil (veri erişilemez olur!)
cryptsetup erase /dev/mmcblk0p3

# LUKS2 online re-encryption — disk mount'luyken bile çalışır
# Yeni cipher ve key-size ile master key yeniden oluşturulur
cryptsetup reencrypt \
  --cipher aes-xts-plain64 \
  --key-size 512 \
  --pbkdf argon2id \
  --resume-only \
  /dev/mmcblk0p3

# İlerlemeyi takip et
cryptsetup reencrypt --resume-only --verbose /dev/mmcblk0p3

# Kesinti durumunda devam et
cryptsetup reencrypt --resume-only /dev/mmcblk0p3

# 1. Root filesystem imajı oluştur (squashfs)
mksquashfs rootfs/ rootfs.squashfs -comp zstd

# 2. LUKS2 container oluştur (imaj boyutu + biraz fazla)
truncate -s 512M enc_rootfs.img
cryptsetup luksFormat --type luks2 enc_rootfs.img

# 3. LUKS aç ve squashfs'i içine yaz
cryptsetup open enc_rootfs.img enc_root
dd if=rootfs.squashfs of=/dev/mapper/enc_root bs=4M status=progress
cryptsetup close enc_root

# 4. Kapalıyken verity hash hesapla (şifreli bloğa karşı değil, 
#    açık veri üzerinde — dolayısıyla önce aç)
cryptsetup open enc_rootfs.img enc_root_tmp
veritysetup format /dev/mapper/enc_root_tmp verity_hash.bin \
  | tee verity_params.txt
cryptsetup close enc_root_tmp

# 5. Boot zamanında stack:
#    a. LUKS aç
cryptsetup open /dev/mmcblk0p3 enc_root

#    b. dm-verity üstüne ekle
ROOT_HASH=$(grep "Root hash:" verity_params.txt | awk '{print $3}')
veritysetup open /dev/mapper/enc_root verity_root \
  /dev/mapper/enc_root "$ROOT_HASH"

#    c. Mount et (read-only!)
mount -o ro /dev/mapper/verity_root /

# Bütünlük ihlalinde verity EIO döndürür, sistem panik yapar

# Device mapper
CONFIG_BLK_DEV_DM=y
CONFIG_DM_CRYPT=y
CONFIG_DM_VERITY=y
CONFIG_DM_VERITY_VERIFY_ROOTHASH_SIG=y  # root hash imza doğrulama

# AES donanım hızlandırma
CONFIG_CRYPTO_AES_ARM64_CE=y
CONFIG_CRYPTO_SHA256_ARM64=y

# x86 — AES-NI
grep aes /proc/cpuinfo | head -1

# ARM64 — AES-CE (Cortex-A53/A72/A55...)
grep aes /proc/cpuinfo
# Features: fp asimd evtstrm aes pmull sha1 sha2 crc32 ...

# Kernel crypto listesi
cat /proc/crypto | grep -A4 "aes"

# Aktif şifreleme modülü
lsmod | grep aes

# Tüm algoritmaları test et
cryptsetup benchmark

# Örnek çıktı (Cortex-A72 @ 1.8 GHz, AES-CE etkin):
# #  Algorithm |       Key |      Encryption |      Decryption
#     aes-cbc   128b       943.2 MiB/s      3168.0 MiB/s
#     aes-cbc   256b       720.7 MiB/s      2432.9 MiB/s
#     aes-xts   256b      1024.3 MiB/s      1008.7 MiB/s
#     aes-xts   512b       775.2 MiB/s       775.8 MiB/s

# Belirli algoritmayı test et
cryptsetup benchmark --cipher aes-xts --key-size 512

# fio ile gerçek disk I/O benchmark (LUKS açıkken)
fio --filename=/dev/mapper/enc_root \
  --rw=randread \
  --bs=4k \
  --direct=1 \
  --numjobs=4 \
  --iodepth=32 \
  --name=luks_randread \
  --runtime=30 \
  --output-format=json

# rpiboot ile eMMC'yi PC'ye bağla
rpiboot
# /dev/sdb olarak görünür

# GPT bölümleme
sgdisk --zap-all /dev/sdb
sgdisk --new=1:2048:526335   --typecode=1:0700 --change-name=1:"boot"    /dev/sdb
sgdisk --new=2:526336:0      --typecode=2:8300 --change-name=2:"root-enc" /dev/sdb

# Boot partition (FAT32 — şifresiz)
mkfs.vfat -F32 -n BOOT /dev/sdb1

# LUKS2 root partition
cryptsetup luksFormat \
  --type luks2 \
  --cipher aes-xts-plain64 \
  --key-size 512 \
  --pbkdf argon2id \
  --pbkdf-memory 32768 \
  --label "rpi-root-enc" \
  /dev/sdb2

# Geçici parolayla aç ve ext4 kur
cryptsetup open /dev/sdb2 rpi_root
mkfs.ext4 -L rootfs /dev/mapper/rpi_root

# Raspberry Pi OS rootfs'ini kopyala
mount /dev/mapper/rpi_root /mnt/rpi
# ... rsync veya tar ile kopyala ...
umount /mnt/rpi
cryptsetup close rpi_root

# /boot/config.txt
dtoverlay=tpm-slb9670

# TPM2 cihazını doğrula
ls /dev/tpm0 /dev/tpmrm0

# tpm2-tools ile temel test
tpm2_getcap properties-fixed | grep -i vendor
tpm2_pcrread sha256:0,7

# İlk boot'ta parolayla giriş yap
# Ardından TPM2'ye kaydet

systemd-cryptenroll \
  --tpm2-device=/dev/tpmrm0 \
  --tpm2-pcrs=0+7 \
  /dev/mmcblk0p2

# /etc/crypttab güncelle
rpi_root UUID=$(blkid -s UUID -o value /dev/mmcblk0p2) \
  none luks,tpm2-device=auto,discard

# initramfs güncelle
update-initramfs -u -k all

# Yeniden başlat — TPM2 ile otomatik unlock
reboot

# Header yedeği al
cryptsetup luksHeaderBackup /dev/mmcblk0p2 \
  --header-backup-file /boot/luks_header_backup.bin

# LUKS durumunu kontrol et
cryptsetup status rpi_root
cryptsetup luksDump /dev/mmcblk0p2 | grep -E "Keyslot|Token|State"

# TPM2 token listesi
systemd-cryptenroll /dev/mmcblk0p2

# TPM2 PCR değerlerini kaydet (baseline)
tpm2_pcrread sha256:0,1,7,9 > /secure/pcr_baseline.txt

# Kernel güncelleme sonrası TPM2 enrollment yenile
# (PCR9 değişecek)
systemd-cryptenroll --wipe-slot=tpm2 /dev/mmcblk0p2
systemd-cryptenroll --tpm2-device=auto --tpm2-pcrs=0+7 /dev/mmcblk0p2