LUKS暗号化のパスフレーズを変更・追加・削除する方法

LUKSでデータを保護するのは素晴らしい選択ですが、設定したパスフレーズが弱かったり、使い勝手が悪かったりすることもあるでしょう。そんなときは、パスフレーズを変更しましょう。幸い、多くの暗号化ソリューションと異なり、LUKSではパスフレーズを比較的簡単に変更できます。ただし、これはパスフレーズを忘れてしまった場合の解決策ではなく、既存のパスフレーズを知っている必要がある点に注意してください。とはいえ、パスフレーズを定期的にローテーションしたり、安全性の低い古いパスフレーズを廃止したりするには最適な方法です。

パスフレーズを変更する

パスフレーズが1つだけ登録されているLUKSドライブのパスフレーズを変更するのは非常に簡単です。ターミナルを開き、以下のコマンドを実行します。「sdX」の部分は実際のドライブの場所に置き換えてください。まず既存のパスフレーズの入力を求められ、その後新しいパスフレーズを作成できます。

sudo cryptsetup luksChangeKey /dev/sdX

複数のパスフレーズが設定されたLUKSドライブ

実は、LUKSドライブには最大8つまでのパスフレーズやキーファイルを関連付けることができます。まずはドライブを確認して、いくつのキーが登録されているか見てみましょう。おそらくキースロット0だけが使用されているはずです。これが最初のキーです。

sudo cryptsetup luksDump /dev/sdX | grep -i key

空きスロットがある場合は、いつでも新しいパスフレーズを追加できます。以下のコマンドを実行すると、最初の空きスロットに新しいキーが追加されます。

sudo cryptsetup luksAddKey /dev/sdX

同じドライブで複数のキーを管理する場合、特定のキーを対象として操作できることが重要になります。これも-Sオプションを使えば簡単に実現できます。オプションの後にスロット番号を指定すれば、そのキーだけを変更できます。

sudo cryptsetup luksChangeKey /dev/sdX -S 2

パスフレーズを削除する

複数のキーを運用していると、古いキーを削除したくなる場面も出てきます。LUKSにはいくつかの方法が用意されています。最も簡単なのは、キー削除用の組み込みコマンドを使う方法です。コマンドを実行するとパスフレーズの入力を求められ、入力したパスフレーズに関連付けられたキーが自動的に削除されます。

sudo cryptsetup luksRemoveKey /dev/sdX

自分でスロットを指定したい場合は、KillSlotコマンドを使って特定のスロットのキーを削除できます。ドライブ名の後にスロット番号を付けるだけで、そのスロットのキーが削除されます。

sudo cryptsetup luksKillSlot /dev/sdX 2

どの方法でLUKSのパスフレーズを管理する場合でも、LUKSが利用可能な中で最も柔軟な暗号化ソリューションの1つであることに気づくでしょう。キーの変更、管理、削除が自由に行えるため、ドライブに新たなセキュリティ層を追加できます。さらに、自分一人だけでなく、チームメンバーごとのアクセス制御にも活用できるのも大きな魅力です。