16.3. Gestion des clés de chiffrement du serveur Tang

Procédure

1. Localisez et accédez au répertoire qui stocke la clé du serveur Tang. Il s'agit généralement du répertoire /var/db/tang. Vérifiez l'empreinte de la clé actuellement annoncée :

   # tang-show-keys 7500

   Exemple de sortie

   36AHjNH3NZDSnlONLz1-V4ie6t8

2. Entrez le répertoire des clés du serveur Tang :

   # cd /var/db/tang/

3. Liste des clés actuelles du serveur Tang :

   # ls -A1

   Exemple de sortie

   36AHjNH3NZDSnlONLz1-V4ie6t8.jwk
   gJZiNPMLRBnyo_ZKfK4_5SrnHYo.jwk

   Lors du fonctionnement normal du serveur Tang, ce répertoire contient deux fichiers .jwk: l'un pour la signature et la vérification, l'autre pour la dérivation des clés.

4. Désactiver la publicité des anciennes clés :

   # for key in *.jwk; do \
     mv -- "$key" ".$key"; \
   done

   Les nouveaux clients qui configurent le cryptage des disques liés au réseau (NBDE) ou qui demandent des clés ne verront plus les anciennes clés. Les clients existants peuvent toujours accéder aux anciennes clés et les utiliser jusqu'à ce qu'elles soient supprimées. Le serveur Tang lit les clés stockées dans les fichiers cachés UNIX, qui commencent par le caractère ., mais n'en fait pas la publicité.

5. Générer une nouvelle clé :

   # /usr/libexec/tangd-keygen /var/db/tang

6. Lister les clés actuelles du serveur Tang pour vérifier que les anciennes clés ne sont plus annoncées, car elles sont désormais des fichiers cachés, et que de nouvelles clés sont présentes :

   # ls -A1

   Exemple de sortie

   .36AHjNH3NZDSnlONLz1-V4ie6t8.jwk
   .gJZiNPMLRBnyo_ZKfK4_5SrnHYo.jwk
   Bp8XjITceWSN_7XFfW7WfJDTomE.jwk
   WOjQYkyK7DxY_T5pMncMO5w0f6E.jwk

   Tang annonce automatiquement les nouvelles clés.

   Note

   Les installations plus récentes du serveur Tang comprennent un répertoire d'aide /usr/libexec/tangd-rotate-keys qui se charge de désactiver la publicité et de générer les nouvelles clés simultanément.

7. Si vous utilisez plusieurs serveurs Tang derrière un équilibreur de charge qui partagent le même matériel clé, assurez-vous que les modifications apportées ici sont correctement synchronisées sur l'ensemble des serveurs avant de continuer.

Vérification

1. Vérifiez que le serveur Tang annonce la nouvelle clé et non l'ancienne :

   # tang-show-keys 7500

   Exemple de sortie

   WOjQYkyK7DxY_T5pMncMO5w0f6E

2. Vérifiez que l'ancienne clé, bien qu'elle ne soit pas annoncée, est toujours disponible pour les demandes de déchiffrement :

   # clevis decrypt </tmp/encrypted.oldkey

Procédure

1. Créez un objet DaemonSet basé sur le modèle suivant. Ce modèle met en place trois serveurs Tang redondants, mais peut être facilement adapté à d'autres situations. Modifiez les URL et les empreintes des serveurs Tang dans l'environnement NEW_TANG_PIN pour les adapter à votre environnement :

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     name: tang-rekey
     namespace: openshift-machine-config-operator
   spec:
     selector:
       matchLabels:
         name: tang-rekey
     template:
       metadata:
         labels:
           name: tang-rekey
       spec:
         containers:
         - name: tang-rekey
           image: registry.access.redhat.com/ubi8/ubi-minimal:8.4
           imagePullPolicy: IfNotPresent
           command:
           - "/sbin/chroot"
           - "/host"
           - "/bin/bash"
           - "-ec"
           args:
           - |
             rm -f /tmp/rekey-complete || true
             echo "Current tang pin:"
             clevis-luks-list -d $ROOT_DEV -s 1
             echo "Applying new tang pin: $NEW_TANG_PIN"
             clevis-luks-edit -f -d $ROOT_DEV -s 1 -c "$NEW_TANG_PIN"
             echo "Pin applied successfully"
             touch /tmp/rekey-complete
             sleep infinity
           readinessProbe:
             exec:
               command:
               - cat
               - /host/tmp/rekey-complete
             initialDelaySeconds: 30
             periodSeconds: 10
           env:
           - name: ROOT_DEV
             value: /dev/disk/by-partlabel/root
           - name: NEW_TANG_PIN
             value: >-
               {"t":1,"pins":{"tang":[
                 {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
                 {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
                 {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
               ]}}
           volumeMounts:
           - name: hostroot
             mountPath: /host
           securityContext:
             privileged: true
         volumes:
         - name: hostroot
           hostPath:
             path: /
         nodeSelector:
           kubernetes.io/os: linux
         priorityClassName: system-node-critical
         restartPolicy: Always
         serviceAccount: machine-config-daemon
         serviceAccountName: machine-config-daemon

   Dans ce cas, même s'il s'agit d'une nouvelle clé pour tangserver01, vous devez spécifier non seulement la nouvelle empreinte de tangserver01, mais aussi les empreintes actuelles de tous les autres serveurs Tang. Le fait de ne pas spécifier toutes les empreintes pour une opération de recomposition de clé ouvre la voie à une attaque de type "man-in-the-middle".

2. Pour distribuer le jeu de démons à tous les clusters qui doivent être recodés, exécutez la commande suivante :

   $ oc apply -f tang-rekey.yaml

   Cependant, pour fonctionner à l'échelle, il faut envelopper l'ensemble de démons dans une politique ACM. Cette configuration ACM doit contenir une politique pour déployer l'ensemble de démons, une deuxième politique pour vérifier que tous les pods de l'ensemble de démons sont PRÊTS, et une règle de placement pour l'appliquer à l'ensemble approprié de clusters.

Procédure

1. Redémarrez le pod qui effectue l'opération de remise en clé à l'aide de la politique normale de redémarrage des pods de Kubernetes.
2. Si l'un des serveurs Tang associés n'est pas disponible, essayez d'établir une nouvelle clé jusqu'à ce que tous les serveurs soient de nouveau en ligne.

Procédure

1. Validez la configuration du serveur Tang en effectuant une simple opération de cryptage et de décryptage sur la configuration de chaque serveur Tang, telle qu'elle est définie dans le jeu de démons.

   Voici un exemple de tentative de cryptage et de décryptage avec une mauvaise empreinte :

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver02:7500","thp":"badthumbprint"}' | \
     clevis decrypt

   Exemple de sortie

   Unable to fetch advertisement: 'http://tangserver02:7500/adv/badthumbprint'!

   Voici un exemple de tentative de cryptage et de décryptage avec une bonne empreinte :

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver03:7500","thp":"goodthumbprint"}' | \
     clevis decrypt

   Exemple de sortie

   okay

2. Après avoir identifié la cause première, il faut remédier à la situation sous-jacente :

   1. Supprimer le jeu de démons qui ne fonctionne pas.

   2. Modifiez la définition du jeu de démons pour résoudre le problème sous-jacent. Il peut s'agir de l'une des actions suivantes :

      • Modifier l'entrée d'un serveur Tang pour corriger l'URL et l'empreinte.
      • Supprimer un serveur Tang qui n'est plus en service.
      • Ajouter un nouveau serveur Tang en remplacement d'un serveur déclassé.
3. Distribuer à nouveau le jeu de démons mis à jour.

1. Localisez le nom du conteneur qui a été créé par l'ensemble de démons :

   $ oc get pods -A | grep tang-rekey

   Exemple de sortie

   openshift-machine-config-operator  tang-rekey-7ks6h  1/1  Running   20 (8m39s ago)  89m

2. Imprimez les journaux du conteneur. Le journal suivant est celui d'une opération de recomposition de clé réussie :

   $ oc logs tang-rekey-7ks6h

   Exemple de sortie

   Current tang pin:
   1: sss '{"t":1,"pins":{"tang":[{"url":"http://10.46.55.192:7500"},{"url":"http://10.46.55.192:7501"},{"url":"http://10.46.55.192:7502"}]}}'
   Applying new tang pin: {"t":1,"pins":{"tang":[
     {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
     {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
     {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
   ]}}
   Updating binding...
   Binding edited successfully
   Pin applied successfully