Полное шифрование домашнего каталога

[rygoravich]

В общем, задача такая: для некоторых пользователей необходимо шифрование всего домашнего каталога на основе Luks. Т.е. нужно, чтобы при входе пользователя в папку его домашнего каталога монтировалась Luks-шифрованная файловая система из файла (или lvm-тома), а при его выходе - размонтировалась. Теоретически, можно, конечно сделать ручное монтирование (т.е. пользователь входит в систему, монтирует в /home/username свою ФС, а перед выходом размонтирует - правда, пока не пробовал, думаю, еще придется повозиться с откртытими файлами при размонтировании), но это слишком неудобно - даже если поручить работу скрипту, то пользователю придется вводить сначала свой пароль, потом пароль luks. Хотелось бы прозрачное решение с единым паролем, т.е. чтобы пароль пользователя автоматом использовался для luks при входе. Чтобы пользователь не задумывался, есть у него там шифрование или нет, а работал как в обычной системе (как локально, так и через ssh).

Существуют ли готовые решения для такой функциональности и если нет - подскажите, плз, в какую сторону двигаться...

[axe]

pam_mount

[rygoravich]

Спасибо за подсказку, покопался, частично помогло . Однако есть проблема...

Что я сделал:

1. Поставил libpam-mount

2. В /etc/security/pam_mount.conf.xml добавил строку:

Код: [Выделить]

<volume user="fam" fstype="crypt" path="/home/cfs/fam" mountpoint="/home/fam" options="loop" />где /home/cfs/fam - заранее подготовленный файл с luks-шифрованной ext3 файловой системой, fam - заранее созданный пользователь, пароль которого совпадает с паролем luks на указанный файл, /home/fam - заранее созданный каталог. Пользователю fam были заранее выданы привелегии на полный доступ ко всем файлам в данной ФС.

3. В каталоге /etc/pam.d в файлы gdm, login, sshd и su добавил строку

Код: [Выделить]

@include common-pammount
При логине в виртуальной консоли все работает хорошо, однако если входить через gdm, su или ssh, то после выхода из системы ФС пользователя остается примонтированной. Как автоматически размонтировать при выходе эту ФС? А то как-то некрасиво просто прописать в cron что-нибудь вроде:

Код: [Выделить]

umount /home/fam/ && cryptsetup luksClose _home_cfs_fam
Или другого выхода нет?

[Дмитрий Бо]

Невадно смотрел pam_script, вроде бы у него есть параметры onsessionend=/path/to/script или типа того. Посмотри, может пригодится.