매 부팅 시 새로운 키로 Debian 12 Swap을 암호화합니다.

Debian 12에서는 전용 스왑 파티션을 시스템 시작 시마다 새로운 임의 키로 암호화할 수 있습니다. `/etc/swap.php` 파일에 임의 키 매핑을 추가한 /etc/crypttab다음 /etc/fstab매핑된 장치를 지정하십시오. 아래 설정은 기존 파티션을 사용하므로 Debian을 다시 설치할 필요가 없습니다.

이 절차는 일반 스왑 영역에 대한 것이며, 디스크 절전 모드(최대 절전)에는 적용되지 않습니다. 종료 시 키가 폐기되므로 최대 절전 모드 이미지는 다음 부팅 시 복호화할 수 없습니다. 최대 절전 모드가 필요한 경우, 자체 재개 구성이 포함된 영구 키 방식을 사용하십시오.

스왑 구성을 변경하기 전에

별도의 파티션을 만들고 파일 시스템 유형을 로 지정하십시오 swap. 루트 파티션, 데이터 파티션 또는 필요한 파일이 있는 디스크는 사용하지 마십시오. 아래 예시 장치 이름은 설명용이며, 실제 시스템 값으로 바꿔야 합니다.

활성화된 스왑 영역을 확인하고 차단 장치 목록과 일치시키십시오.

swapon --show --output=NAME,TYPE,SIZE,USED,PRIO
lsblk -o NAME,PATH,TYPE,FSTYPE,UUID,PARTUUID,SIZE

TYPE와 part가 FSTYPE일치하는 행을 찾으십시오 swap. 해당 행의 UUID를 기록하고 PARTUUID, 가 표시하는 파티션과 동일한지 확인하십시오 swapon --show. A는 PARTUUID파티션 자체를 식별하며 스왑 영역이 다시 생성될 때 안정적으로 유지됩니다. 스왑 파일 시스템 UUID는 시작 시 암호화된 매핑이 다시 초기화되기 때문에 변경될 수 있습니다.

편집하기 전에 백업하십시오 /etc/fstab. 파티션이 사용 중인 경우 해당 스왑 영역만 비활성화하십시오.

sudo cp -a /etc/fstab "/etc/fstab.before-cryptswap.$(date +%s)"
sudo swapoff /dev/nvme0n1p3

검증된 장치로 교체하십시오 /dev/nvme0n1p3. 스왑 영역을 비활성화하면 스왑 영역에 저장된 페이지가 메모리로 다시 이동합니다. 명령이 실패하거나 시스템의 메모리 사용량이 많은 경우, 여기서 중지하고 메모리 사용량이 많은 작업을 종료한 후 충분한 RAM이 확보되면 다시 시도하십시오.

임의 키로 암호화된 매핑을 구성합니다.

루트 권한으로 crypttab 파일을 엽니다.

sudoedit /etc/crypttab

한 줄을 추가하고 실제 파티션 식별자로 대체하십시오 . 다음 단계에서도 YOUR-PARTUUID매핑 이름을 일관되게 유지하십시오 .cryptswap

cryptswap PARTUUID=YOUR-PARTUUID /dev/urandom plain,cipher=aes-xts-plain64,size=256,hash=sha1,swap

/etc/crypttab이 옵션은 Debian에게 시작 시 생성할 암호화된 블록 장치를 지정합니다. PARTUUID=소스는 원시 파티션을 가리키고, /dev/urandom새 키를 제공하며, plain영구 LUKS 헤더가 없는 dm-crypt를 선택하고, swapcrypttab 헬퍼에게 매핑된 장치를 스왑으로 초기화하도록 요청합니다. 암호, 키 크기 및 해시는 Debian Bookworm crypttab 예제를 따라 명시적으로 지정합니다 . 매핑은 다음과 같이 나타납니다 /dev/mapper/cryptswap. 이 swap옵션은 시작 시 매핑된 장치에서 실행되므로 mkswap부팅할 때마다 해당 내용이 다시 초기화됩니다. 소스는 검증된 전용 스왑 파티션만 지정해야 합니다. 파일이 저장된 파티션을 대상으로 하면 이 옵션은 손상될 수 있습니다.

이제 파일을 엽니다 /etc/fstab. 기존에 raw swap 파티션을 활성화하는 줄(현재 swap UUID를 참조하는 모든 줄 포함)을 주석 처리하거나 삭제합니다. 대신 다음 항목을 추가합니다.

/dev/mapper/cryptswap none swap sw 0 0

두 항목을 모두 활성화 상태로 두지 마십시오. 암호화되지 않은 파티션과 암호화된 매핑이 동시에 활성화될 수 있습니다. 해당 fstab파일은 시작 시 활성화되는 스왑 영역을 설명하며, Debian의 systemd cryptsetup 생성기는 /etc/crypttab해당 유닛을 읽고 생성합니다. Bookworm systemd cryptsetup 생성기 설명서 와 Debian의 fstab 설명서를 참조하십시오 .

재부팅 후 암호화된 스왑을 확인하십시오.

두 파일을 모두 저장하고 재부팅하여 Debian이 시작 시 매핑을 생성하도록 하십시오.

sudo reboot

다시 로그인한 후 활성 스왑 경로와 dm-crypt 매핑을 모두 확인하십시오.

swapon --show
sudo cryptsetup status cryptswap

스왑 목록에는 /dev/mapper/cryptswap원시 파티션이 아닌 스왑 파티션 이름이 표시되어야 합니다. cryptsetup 상태 출력에는 활성 평문 매핑과 예상되는 기본 파티션이 표시되어야 합니다. 이 두 번째 확인 사항이 중요합니다. 스왑 항목이 목록에만 나타난다고 해서 swapon --show해당 파티션이 암호화되었다는 것을 증명하는 것은 아닙니다.

매핑이 누락된 경우, 의 철자를 확인하고 를 PARTUUID사용 lsblk하여 부팅 로그를 검사하십시오 sudo journalctl -b -u systemd-cryptsetup@cryptswap.service. 에서 이전의 raw-device 항목이 더 이상 활성화되어 있지 않은지 확인하십시오 . 매핑을 설정한 후에는 raw 파티션에서 직접 /etc/fstab를 실행하지 마십시오 .mkswap

이번 변경 사항이 무엇을 보호하는지 알아두세요

부팅할 때마다 새로운 키가 생성되므로 해당 세션 동안 스왑 영역에 기록되는 내용은 블록 장치에서 암호화되며, 이전 세션의 키는 종료 후 유지되지 않습니다. 이는 장치의 전원이 꺼진 상태에서 저장 장치를 검사할 수 있는 경우에 유용합니다. 이 기능은 디스크의 나머지 부분을 암호화하거나, Debian이 실행 중인 동안 데이터를 보호하거나, 변환 전에 파티션에 남아 있을 수 있는 평문을 자동으로 삭제하지는 않습니다. 이전 스왑 영역의 내용이 민감한 정보인 경우, 별도의 저장 장치별 작업으로 해당 내용을 삭제해야 합니다. 파일 시스템 수준의 재포맷은 특히 SSD의 경우 안전한 삭제를 보장하지 않습니다.

데비안 북웜 설치 가이드에서는 랜덤 키 암호화가 스왑에 적합하며 재부팅 후 최대 절전 모드 이미지 복원을 방지한다고 설명합니다. 데비안 12 설치 가이드의 암호화된 볼륨 섹션을 참조하십시오 . 활성 장치의 경우 위의 두 가지 확인 명령을 사용하십시오. 매퍼가 활성화되어 있어야 하고, 백업 장치가 선택한 파티션과 일치해야 합니다.