Перейти к содержанию

Переход на ядро со встроенным ГОСТ без потери LUKS2-данных

Переход на ядро со встроенным ГОСТ не требует переформатировать существующий диск. Шифротекст, заголовок LUKS2, UUID и параметры kuznyechik-xts-plain64 остаются на носителе. Однако новое ядро нужно проверить как новый криптографический исполнитель — без перезаписи существующих ключевых слотов.

1. Что сохраняется при обновлении

  • Зашифрованные сектора на накопителе.
  • Формат LUKS2 и криптографические параметры сегмента.
  • Существующие ключевые слоты и назначенные парольные фразы.
  • UUID контейнера и существующая файловая система после открытия.
  • Возможность использования того же формата через dm-crypt, если новое ядро корректно предоставляет шифр и режим.

2. Подготовка до перезагрузки

uname -r
ls -lh /boot/vmlinuz-* /boot/initramfs-*.img
lsblk -o NAME,SIZE,TYPE,FSTYPE,MOUNTPOINTS
cryptsetup --version

Если имеется работающий дополнительный ГОСТ-том, сохраните отдельно его заголовок и проверенный резервный образ данных. Для удалённого сервера обеспечьте доступ к консоли гипервизора.

3. Проверить установленное новое ядро

NEWKVER='<полная-версия-нового-ядра>'
test -s "/boot/vmlinuz-$NEWKVER"
test -s "/boot/initramfs-$NEWKVER.img"
grep '^CONFIG_CRYPTO_NICEOS_GOST_KUZNYECHIK=y' "/boot/config-$NEWKVER"
ls -l "/boot/KERNEL_GOST_README-$NEWKVER.txt"
lsinitrd -m "/boot/initramfs-$NEWKVER.img"

На этапе предварительной проверки файлы нового ядра имеются на диске, но текущий uname -r всё ещё отражает старую загрузку. Не делайте вывод о реальной регистрации новых алгоритмов по /proc/crypto до запуска нового ядра.

4. После загрузки нового ядра

uname -r
grep '^CONFIG_CRYPTO_NICEOS_GOST_KUZNYECHIK=y' "/boot/config-$(uname -r)"
grep -A 10 -B 2 'kuznyechik' /proc/crypto | head -40

Далее проведите безопасный тест на копии LUKS-тома или отдельном лабораторном файле: открыть, проверить cryptsetup status, прочитать известный файл, закрыть и открыть повторно. Важные детали опыта НАЙС.ОС изложены в основном руководстве.

5. Требования для зашифрованного корня

Для системного диска дополнительным критерием является запуск самого initramfs и открытие / до основного userspace. Для ГОСТ в новом ядре не требуются дополнительные криптомодули в образе ранней загрузки, но открытие LUKS2 и работа накопителя остаются обязательными.

6. Правила отката

Не удаляйте старый рабочий образ ядра, резервные ключевые слоты или копию заголовка до испытаний. Возврат на старое ядро возможен, только если его собственные компоненты шифрования и загрузки продолжают поддерживать том. Старое ядро может иметь собственные зависимости, поэтому его загрузочная запись должна сохраняться вместе с подходящими системными файлами и драйверами. Новое ядро работает со встроенной реализацией.

7. Что нельзя делать при миграции

Не повторяйте luksFormat на диске с данными. Не меняйте вручную поля заголовка LUKS. Не копируйте бинарные компоненты между версиями ядер. Доступность нового алгоритма проверяйте через конфигурацию и Crypto API. Не выполняйте необратимые действия по миграции зашифрованного / через единственный удалённый SSH-сеанс без аварийной консоли.