今の時代、スマートフォン（Android/iPhone）ですらデバイス全体のデータに暗号化が掛かっているのに、PCはセットアップしないと暗号化がなされない。
せっかくCPUにAES-NI命令も乗っててほとんどオーバーヘッドがないので暗号化を掛けよう。

Linuxにはdm-crypt/luksでシステムの起動ディスク全体に暗号化を掛ける機能がある。これは、Linux起動前にパスワードの入力を必要とする。
PCはともかく、サーバなどに暗号化を掛けるときは、遠隔でパスワードを入力できないと不便なので、その部分をSSHで入力できるようにする。

サーバー側の準備

debian を想定。

1.1 インストール

必要なパッケージをインストール。 dropbear がキモ。組み込み用のSSHサーバー。

apt-get install openssh-server dropbear busybox

1.2 鍵のコピー

勝手に秘密鍵・公開鍵を作ってくれるので、秘密鍵 /etc/initramfs-tools/root/.ssh/id_rsa をSSH接続したい接続元マシンにrsync/sftpなどでコピーする。

GRUBをいじる

2.1 GRUB設定の書き換え

/etc/default/grub をvimなどで開いて、 GRUB_CMDLINE_LINUX= の部分を以下のように変更。

GRUB_CMDLINE_LINUX="ip=IPアドレス:空:ゲートウェイIP:ネットマスク:ホスト名:インターフェイス:none"

例

GRUB_CMDLINE_LINUX="ip=192.168.122.192::192.168.122.1:255.255.255.0::eth0:none"

2.2 GRUB/initramを更新

root権限またはsudoした権限で

update-grub
update-initramfs -u # 一応（なくていいかも）

をしてgrub/initramfs等をアップデート。

サーバーに接続 (ディスク暗号化解除)

サーバーの秘密鍵 /etc/initramfs-tools/root/.ssh/id_rsa を手元に持ってきて -i で指定して接続をする。

SSHをすでにマシンに入れていた場合、initramfsで起動するSSHのホスト鍵と異なるので、 StrictHostKeyChecking=no にしないと接続されないことがある。

ちょい危険な方法

パスワードが接続元 history に残るので、接続元マシンが絶対に安全なとき以外は微妙。

$ ssh -i ~/id_rsa.initramfs \ 
 -o StrictHostKeyChecking=no \
 -o UserKnownHostsFile=/dev/null \
 host.example.com \
 "echo -ne \"PASSWORD\" > /lib/cryptsetup/passfifo"

Warning: Permanently added '130.158.xxx.xxx' (RSA) to the list of known hosts.

ちょっと安全な方法 (接続後に入力)

$ ssh -i ~/id_rsa.initramfs \ 
 -o StrictHostKeyChecking=no \
 -o UserKnownHostsFile=/dev/null \
 host.example.com

Warning: Permanently added '130.158.xxx.xxx' (RSA) to the list of known hosts.


BusyBox v1.22.1 (Debian 1:1.22.0-9+deb8u1) built-in shell (ash)
Enter 'help' for a list of built-in commands.

~ # echo -ne "PASSWORD" > /lib/cryptsetup/passfifo

以上のどちらかを実行すると、勝手に暗号化ロックが解除されて普通のrootドライブのLinuxが立ち上がってくる。

~/.ssh/config

Host host.example.com
        Hostname host.example.com
        User root
        UserKnownHostsFile ~/.ssh/know_hosts.initramfs
        IdentityFile ~/.ssh/id_rsa.initramfs

参考

http://blog.neutrino.es/2011/unlocking-a-luks-encrypted-root-partition-remotely-via-ssh/
https://stinkyparkia.wordpress.com/2014/10/14/remote-unlocking-luks-encrypted-lvm-using-dropbear-ssh-in-ubuntu-server-14-04-1-with-static-ipst/