Linux FAQ

SDLinux Foire aux questions

SecureDoc pour Linux · Référence technique

Ce document compile les réponses aux questions les plus fréquemment posées sur SDLinux — la solution complète de chiffrement de disque de WinMagic pour les terminaux Linux et les machines virtuelles cloud. Les questions sont regroupées par sujet pour une référence rapide.

Plateforme & Compatibilité

Q1

SDLinux prend actuellement en charge trois grandes distributions Linux :

• Ubuntu

• Red Hat Enterprise Linux (RHEL)

• SUSE Linux

Une liste complète des versions prises en charge est maintenue sur le site WinMagic. Va dans les Exigences système et regarde dans la section SecureDoc pour Linux.

Q2

Toutes les versions du noyau actuellement prises en charge sont listées au lien ci-dessous. Cette liste est mise à jour chaque fois que WinMagic développe des pilotes pour un nouveau noyau.

https://securedoc-linux.s3.amazonaws.com/kernel-list/index.html

Si une version du noyau n'est pas listée — ce qui peut arriver avec les images Linux fournies par les OEM — contactez le support WinMagic pour demander qu'elle soit ajoutée au pool.

Q3

L'installateur SDLinux détecte le système d'exploitation au moment de l'installation. Si elle identifie un système d'exploitation non pris en charge, elle arrête et revient en arrière proprement sans modifier le système.

Pour Ubuntu, SDLinux prend en charge l'installation sur les versions mineures (par exemple, 18.04.2, 18.04.3) tant que la version majeure (par exemple, 18.04) et la version du noyau sont toutes deux prises en charge. L'installation sur une version majeure totalement non prise en charge — comme Ubuntu 19.04 — est bloquée.

Q4

WinMagic maintient un pool de noyau qui se synchronise automatiquement avec les principaux dépôts en amont d'Ubuntu et Red Hat. Lorsqu'un nouveau noyau est publié en amont, WinMagic l'extrait dans le pool et construit les pilotes du noyau correspondants.

Si un noyau n'apparaît pas dans la liste prise en charge — ce qui est courant pour les noyaux trouvés sur les images système OEM — contactez le support WinMagic et demandez l'ajout du noyau spécifique.

Q5

SDLinux supporte à la fois un chiffrement rapide (uniquement données) et un chiffrement complet (secteur par secteur) sur les systèmes de fichiers suivants :

• EXT4 — partitions standard et LVM

• XFS — partitions standard et LVM

EXT4 et XFS peuvent coexister sur le même système Linux. Pour tous les autres systèmes de fichiers (par exemple, BTRFS), seul un chiffrement complet est pris en charge — le chiffrement rapide n'est pas disponible.

Q6

Le RAID matériel est entièrement pris en charge. La gestion RAID fonctionne en dehors de SDLinux, donc aucune configuration supplémentaire n'est nécessaire. Si un disque RAID est remplacé et que SDspace était sur le volume manquant, suivez la procédure de récupération SDspace dans le Guide de déploiement SDLinux. Le numéro de série du disque indiqué dans l'inventaire SES peut devenir obsolète après un remplacement de disque, mais se mettra automatiquement à jour lorsque le service redémarre.

Le RAID logiciel est possible mais présente des problèmes connus en main. Il n'est pas recommandé pour les déploiements en production à ce stade.

Q7

SDLinux utilise AES-CBC-ESSIV avec SHA-256 pour le chiffrement complet du disque. Pour confirmer le chiffrement sur un système en cours, exécutez la commande suivante — en remplaçant le nom du volume selon le cas :

statut cryptsetup /dev/mapper/<encr_sdx>

La sortie indiquera le chiffrement, la taille de la clé et les détails du dispositif pour le volume chiffré.

Installation et désinstallation

Q8

SDLinux prend en charge l'installation au-dessus d'un volume existant chiffré par LUKS. Il prend en charge la gestion des clés de LUKS et migre le contrôle vers SES sans re-chiffrer les données.

Toute autre forme de chiffrement personnalisé par cryptage de messages privés n'est pas prise en charge. Si l'installateur détecte une configuration de chiffrement non reconnue, il échouera et reviendra en arrière sans modification.

Q9

Lorsque Secure Boot est actif sur un système Linux, le noyau impose une exigence que tous les modules du noyau soient signés avec une clé de confiance. Les pilotes du noyau SDLinux sont des modules tiers qui ne sont signés ni par Red Hat ni par Ubuntu — aucune des deux distributions ne propose un processus tiers de signature de modules du noyau au moment de la publication de ces lignes.

Techniquement, les clés de propriétaire de la machine (MOK) pourraient être engagées pour permettre le pilote SDLinux, mais cela nécessite des étapes manuelles supplémentaires qui rendraient l'installation nettement moins simple.

L'approche recommandée est de désactiver temporairement le Secure Boot avant l'installation. Une fois le chiffrement terminé, le Secure Boot peut être réactivé.

Q10

Exécutez la commande suivante pour désinstaller :

/usr/local/WinMagic/secdoc.py désinstaller -s

Q11

Oui. Les mises à jour sur place sont prises en charge à partir de la version 8.3. Les clients fonctionnant sous versions inférieures à 8.3 ne peuvent pas être mis à jour sur place et nécessitent une installation propre.

Le processus de mise à jour ne compare que les chiffres majeurs, mineurs et des versions des patchs. Il ne fait pas de distinction entre les versions de la même version, donc la mise à jour entre deux versions identiques n'est pas prise en charge.

Les chemins de mise à niveau suivants sont des exemples de ce qui est pris en charge :

• R8.3 à R8.3 SR1

• R8.3 SR1 à R8.3 SR2

• R8.3 SR1 à n'importe quel correctif rapide pour R8.3 SR1

Q12

SDLinux crée et modifie les emplacements suivants sur le système Linux :

• /usr/local/WinMagic — dossier principal d'installation SDLinux

• /etc/fstab

• Fichiers de configuration de démarrage GRUB (la localisation varie selon la distribution)

• fichier de service systemd : /lib/systemd/system/winmagic.service

• Script de maintenance : /etc/profile.d/housekeeping.sh

• Règle de sécurité WinMagic udev : /etc/udev/rules.d/92-dm-secdoc.rules

• Profil SDservice DBUS : /etc/dbus-1/system.d/org.winmagic.secdoc.conf

• secdoc-cli : /usr/sbin

• sdpasswd : /usr/bin

• scripts de la génération initrd (varie selon la distribution ; sur RHEL généralement sous /lib/dracut/modules.d/99wmagic)

• Pilote de conversion : <noyau actuel>/noyau/pilotes/SDLinuxDrv.ko

Gestion des disques et volumes

Q13

Oui. Après le chiffrement initial, les administrateurs peuvent chiffrer des disques supplémentaires et des volumes nouvellement étendus. Les nouveaux disques ajoutés ne sont pas chiffrés automatiquement — certaines étapes manuelles sont nécessaires. Consultez la section Chiffrement des disques supplémentaires du Guide de déploiement SecureDoc for Linux pour la procédure complète.

Q14

L'espace SWAP est toujours chiffré en mode complet (secteur par secteur), qu'un profil de chiffrement rapide soit configuré ou non pour d'autres volumes. Cela s'explique par le fait que SDLinux ne peut pas analyser la structure du système de fichiers SWAP pour identifier les secteurs utilisés, donc le chiffrement secteur par secteur est la seule option.

Un chiffrement approfondi du swap est également préférable d'un point de vue sécurité — le contenu du swap change constamment et il est plus difficile de prédire ou de reconstruire à partir d'une image chiffrée.

Q15

Lorsque l'espace disque disponible n'est pas disponible lors du déploiement, SDLinux vérifie l'espace SWAP utilisable pour créer la partition SDspace. SWAP ne peut être utilisé que pour SDspace dans les configurations suivantes :

• SWAP en tant que partition standard autonome

• Échange dans un groupe de volumes LVM dédié qui ne contient aucun autre volume

Si SWAP partage un groupe de volumes LVM avec d'autres partitions (comme les volumes racine, home ou de données), SDLinux ne peut pas l'utiliser pour SDspace. Le déploiement échouera dans ce scénario.

Le fichier part.log à l'intérieur du dossier d'installation winmagic indiquera si SDspace a été correctement alloué depuis SWAP lors du déploiement.

Authentification et gestion utilisateur

Q16

La synchronisation des mots de passe n'est pas prise en charge par SDLinux.

SSO est pris en charge sur RHEL à partir de la version 9.2SR1. Le support d'Ubuntu est en développement actif et n'est pas encore disponible.

Q17

Oui. Les connexions Active Directory sont prises en charge à condition que la machine cliente soit connectée à Active Directory et que l'utilisateur ait un répertoire personnel créé sur le système pour ce compte.

Q18

Avant de commencer, assurez-vous que les options suivantes sont activées dans SES sous Outils > Options > Options de fichier clé :

• Lorsque le fichier clé est créé pour l'appareil, envoyez-le automatiquement à l'appareil

• Mise à jour automatique du fichier de clés sur l'appareil lorsque les clés utilisateur/appareil/groupe sont modifiées

• Générer automatiquement un fichier de clés lorsque l'utilisateur est ajouté à l'appareil

• Activer la propagation du mot de passe

Sur le client (Ubuntu)

1. Connectez-vous avec un autre compte administrateur — pas avec le propriétaire principal de l'appareil.

2. Ouvrez un terminal et exécutez :

sudo usermod -l <new_username> <old_username>

3. Sur Ubuntu Desktop, allez aussi dans Paramètres > Détails > utilisateurs, déverrouillez le panneau, sélectionnez le compte du propriétaire principal et mettez à jour le nom affiché. Déconnectez-vous et confirmez le changement sur l'écran de connexion du système d'exploitation.

Sur le SES

1. Ouvrez l'onglet Utilisateurs et double-cliquez sur le compte pour être mis à jour.

2. Modifiez le champ User ID et cliquez sur Enregistrer.

Synchronisation du fichier clé — Choisir une méthode

Méthode 1 — Communication manuelle :

1. Connectez-vous au compte propriétaire mis à jour et ouvrez un terminal.

2. Run :

sudo /usr/local/WinMagic/secdoc-cli.py -c

3. Sur SES, faites un clic droit sur l'appareil et sélectionnez Afficher la commande pour confirmer que le nouveau fichier clé a été envoyé.

Méthode 2 — Déclenchement via authentification prédémarrage (nécessite que la machine Enable la communication avec SDConnex au prédémarrage soit active dans le profil) :

1. Redémarrez la machine cliente.

2. Au prédémarrage, attendez l'icône réseau verte et la confirmation de la connexion SES.

3. Saisissez le nouveau nom d'utilisateur dans le champ Fichier clé avec le bon mot de passe et appuyez sur Entrée.

4. L'authentification se fait via PBConnex. Confirmez sur SES via Show Command si besoin.

Caractéristiques et capacités

Q19

Non. SDLinux ne prend pas en compte le chiffrement des médias amovibles.

Q20

Non. SDLinux n'a pas d'interface graphique. Toutes les interactions se font via la ligne de commande. Il n'existe pas d'équivalent au SecureDoc Control Center.

Q21

CloudVM et Endpoint utilisent des SKU de licence différents et diffèrent sur une fonctionnalité — le support du WiFi, qui est disponible uniquement en Endpoint. Toutes les autres caractéristiques sont identiques dans les deux ensembles :

Q22

Le LUKS natif fournit un chiffrement de base des disques mais manque de gestion centralisée, de rapports de conformité et de fonctionnalités d'authentification d'entreprise. Le tableau ci-dessous compare les deux solutions :

La discussion complète de cette comparaison est également disponible sur : https://www.winmagic.com/blog/linux-servers-and-encryption/

Q23

Oui. Le tableau ci-dessous résume le support entre fonctions et états de chiffrement :

Hibernation et Suspendre-Hybride après chiffrement nécessitent un paramètre GRUB supplémentaire. Ajoutez la ligne appropriée à /etc/default/grub et exécutez update-grub ensuite :

Ubuntu 18.04 et versions antérieures :

GRUB_CMDLINE_LINUX="reprendre=swap_uuid »

Ubuntu 20.04 et versions ultérieures :

GRUB_CMDLINE_LINUX_DEFAULT="quiet splash reprendre=UUID=<YOUR_SWAP_UUID> »

Sudo Update-Grub

Q24

Le tableau ci-dessous liste les versions du système d'exploitation et le niveau de prise en veille/reprise disponible, ainsi que la version minimale SDLinux requise :

Q25

Sélectionnez l'option par défaut : garder la version locale actuellement installée.

SDLinux modifie /etc/default/grub et file sous /etc/grub.d/ lors de l'installation pour supporter l'authentification avant le démarrage. Si ces personnalisations sont écrasées par la mise à niveau d'Ubuntu, le prédémarrage ne fonctionnera pas correctement. Préserver toujours la configuration GRUB installée localement.

Q26

SDLinux prend en chargement le déploiement sur des clients Linux avec le mode FIPS activé. L'implémentation du chiffrement utilise des bibliothèques cryptsetup et la dérivation de clés SHA-2, deux algorithmes compatibles avec FIPS.

Les configurations d'OS prises en charge pour le déploiement FIPS sont listées sur la page des exigences système WinMagic sous la section SecureDoc for Linux.

Sécurité

Q27

Le stockage AWS S3 de WinMagic est configuré avec un accès public en lecture seule. L'accès est en outre restreint aux fichiers individuels des pilotes — un demandeur doit connaître l'URL de téléchargement exacte pour accéder à n'importe quel fichier, et la liste des répertoires n'est pas activée.

De plus, l'installateur client SDLinux effectue deux vérifications de vérification sur chaque pilote téléchargé avant utilisation :

• Valide la signature numérique WinMagic sur le pilote

• Vérifie la somme de contrôle MD5 qui accompagne le fichier du conducteur

Si l'un ou l'autre contrôle échoue, le pilote est rejeté et l'installation est arrêtée.

Support & Journalisation

Q28

Si le problème est survenu lors de l'installation (SDLinux pas encore installé) :

4. Naviguez dans le paquet d'installation SDLinux et ouvrez le dossier winmagic (wmsd pour les versions antérieures à la 8.3).

5. Localise le script log_collect.sh.

6. Exécutez le script en tant que root :

sudo ./log_collect.sh

Si SDLinux est déjà installé sur le système :

3. Naviguez vers le répertoire d'installation :

cd /usr/local/WinMagic

4. Exécutez le script de collecte de journaux :

sudo ./log_collect.sh

L'archive générée suit ce format de nommage :

<NomOrdinateur>_SDLinuxlog_<date/time_stamp>.tar.gz

Q29

L'engagement actuel de WinMagic est :

Solutions techniques WinMagic · Référence interne SD-SDLINUX-FAQ