tests/reencryption-compat-test

   1 #!/bin/bash
   2
   3 [ -z "$CRYPTSETUP_PATH" ] && CRYPTSETUP_PATH=".."
   4 CRYPTSETUP=$CRYPTSETUP_PATH/cryptsetup
   5 REENC=$CRYPTSETUP_PATH/cryptsetup-reencrypt
   6 FAST_PBKDF="--pbkdf-force-iterations 1000"
   7
   8 DEV_NAME=reenc9768
   9 DEV_NAME2=reenc1273
  10 IMG=reenc-data
  11 IMG_HDR=$IMG.hdr
  12 ORIG_IMG=reenc-data-orig
  13 KEY1=key1
  14 PWD1="93R4P4pIqAH8"
  15 PWD2="1cND4319812f"
  16 PWD3="1-9Qu5Ejfnqv"
  17
  18 MNT_DIR=./mnt_luks
  19 START_DIR=$(pwd)
  20
  21 function del_scsi_device()
  22 {
  23         rmmod scsi_debug 2>/dev/null
  24         sleep 2
  25 }
  26
  27 function remove_mapping()
  28 {
  29         [ -b /dev/mapper/$DEV_NAME2 ] && dmsetup remove --retry $DEV_NAME2
  30         [ -b /dev/mapper/$DEV_NAME ] && dmsetup remove --retry $DEV_NAME
  31         [ ! -z "$LOOPDEV1" ] && losetup -d $LOOPDEV1 >/dev/null 2>&1
  32         rm -f $IMG $IMG_HDR $ORIG_IMG $KEY1 >/dev/null 2>&1
  33         umount $MNT_DIR > /dev/null 2>&1
  34         rmdir $MNT_DIR > /dev/null 2>&1
  35         LOOPDEV1=""
  36         del_scsi_device
  37 }
  38
  39 function fail()
  40 {
  41         [ -n "$1" ] && echo "$1"
  42         echo "FAILED backtrace:"
  43         while caller $frame; do ((frame++)); done
  44         cd $START_DIR
  45         remove_mapping
  46         exit 2
  47 }
  48
  49 function skip()
  50 {
  51         [ -n "$1" ] && echo "$1"
  52         exit 77
  53 }
  54
  55 function add_scsi_device() {
  56         del_scsi_device
  57         modprobe scsi_debug $@ delay=0
  58         if [ $? -ne 0 ] ; then
  59                 echo "This kernel seems to not support proper scsi_debug module, test skipped."
  60                 exit 77
  61         fi
  62
  63         sleep 2
  64         SCSI_DEV="/dev/"$(grep -l -e scsi_debug /sys/block/*/device/model | cut -f4 -d /)
  65         [ -b $SCSI_DEV ] || fail "Cannot find $SCSI_DEV."
  66 }
  67
  68 function open_crypt() # $1 pwd, $2 hdr
  69 {
  70         if [ -n "$2" ] ; then
  71                 echo "$1" | $CRYPTSETUP luksOpen $LOOPDEV1 $DEV_NAME --header $2 || fail
  72         elif [ -n "$1" ] ; then
  73                 echo "$1" | $CRYPTSETUP luksOpen $LOOPDEV1 $DEV_NAME || fail
  74         else
  75                 $CRYPTSETUP luksOpen -d $KEY1 $LOOPDEV1 $DEV_NAME || fail
  76         fi
  77 }
  78
  79 function wipe_dev() # $1 dev
  80 {
  81         dd if=/dev/zero of=$1 bs=256k >/dev/null 2>&1
  82 }
  83
  84 function wipe() # $1 pass
  85 {
  86         open_crypt $1
  87         wipe_dev /dev/mapper/$DEV_NAME
  88         udevadm settle >/dev/null 2>&1
  89         $CRYPTSETUP luksClose $DEV_NAME || fail
  90 }
  91
  92 function prepare() # $1 dev1_siz
  93 {
  94         remove_mapping
  95
  96         dd if=/dev/zero of=$IMG      bs=1k count=$1 >/dev/null 2>&1
  97         LOOPDEV1=$(losetup -f 2>/dev/null)
  98         [ -z "$LOOPDEV1" ] && fail "No free loop device"
  99         losetup $LOOPDEV1 $IMG
 100
 101         if [ ! -e $KEY1 ]; then
 102                 dd if=/dev/urandom of=$KEY1 count=1 bs=32 >/dev/null 2>&1
 103         fi
 104 }
 105
 106 function check_hash_dev() # $1 dev, $2 hash
 107 {
 108         HASH=$(sha256sum $1 | cut -d' ' -f 1)
 109         [ $HASH != "$2" ] && fail "HASH differs ($HASH)"
 110 }
 111
 112 function check_hash() # $1 pwd, $2 hash, $3 hdr
 113 {
 114         open_crypt $1 $3
 115         check_hash_dev /dev/mapper/$DEV_NAME $2
 116         $CRYPTSETUP remove $DEV_NAME || fail
 117 }
 118
 119 function backup_orig()
 120 {
 121         sync
 122         losetup -d $LOOPDEV1
 123         cp $IMG $ORIG_IMG
 124         losetup $LOOPDEV1 $IMG
 125 }
 126
 127 function rollback()
 128 {
 129         sync
 130         losetup -d $LOOPDEV1
 131         cp $ORIG_IMG $IMG
 132         losetup $LOOPDEV1 $IMG
 133 }
 134
 135 function check_slot() #space separated list of ENABLED key slots
 136 {
 137         local _KS0=DISABLED
 138         local _KS1=$_KS0 _KS2=$_KS0 _KS3=$_KS0 _KS4=$_KS0 _KS5=$_KS0 _KS6=$_KS0 _KS7=$_KS0
 139         local _tmp
 140
 141         for _tmp in $*; do
 142                 eval _KS$_tmp=ENABLED
 143         done
 144
 145         local _out=$($CRYPTSETUP luksDump $LOOPDEV1 | grep -e "Key Slot" | cut -d ' ' -f 4)
 146
 147         local _i=0
 148         for _tmp in $_out; do
 149                 eval local _orig="\${_KS${_i}}"
 150                 if [ "$_tmp" != "$_orig" ]; then
 151                         echo "Keyslot $_i is $_tmp, expected result: $_orig"
 152                         return 1
 153                 fi
 154                 _i=$[_i+1]
 155         done
 156
 157         return 0
 158 }
 159
 160 function simple_scsi_reenc()
 161 {
 162         echo -n "$1"
 163         echo $PWD1 | $CRYPTSETUP luksFormat --type luks1 $FAST_PBKDF $SCSI_DEV || fail
 164
 165         echo $PWD1 | $CRYPTSETUP luksOpen $SCSI_DEV $DEV_NAME || fail
 166         HASH=$(sha256sum /dev/mapper/$DEV_NAME | cut -d' ' -f 1)
 167         $CRYPTSETUP luksClose $DEV_NAME || fail
 168
 169         echo $PWD1 | $REENC -q $FAST_PBKDF $SCSI_DEV || fail
 170
 171         echo $PWD1 | $CRYPTSETUP luksOpen $SCSI_DEV $DEV_NAME || fail
 172         check_hash_dev /dev/mapper/$DEV_NAME $HASH
 173         $CRYPTSETUP luksClose $DEV_NAME || fail
 174 }
 175
 176 function mount_and_test() {
 177         test -d $MNT_DIR || mkdir -p $MNT_DIR
 178         mount $@ $MNT_DIR 2>/dev/null || {
 179                 echo -n "failed to mount [SKIP]"
 180                 return 0
 181         }
 182         rm $MNT_DIR/* 2>/dev/null
 183         cd $MNT_DIR
 184
 185         if [ "${REENC:0:1}" != "/" ] ; then
 186                 MNT_REENC=$START_DIR/$REENC
 187         else
 188                 MNT_REENC=$REENC
 189         fi
 190
 191         echo $PWD2 | $MNT_REENC $LOOPDEV1 -q --use-fsync --use-directio --write-log $FAST_PBKDF || return 1
 192         cd $START_DIR
 193         umount $MNT_DIR
 194         echo -n [OK]
 195 }
 196
 197 function test_logging_tmpfs() {
 198         echo -n "[tmpfs]"
 199         mount_and_test -t tmpfs none -o size=$[25*1024*1024] || return 1
 200         echo
 201 }
 202
 203 function test_logging() {
 204         echo -n "$1:"
 205         for img in $(ls img_fs*img.xz) ; do
 206                 wipefs -a $SCSI_DEV > /dev/null
 207                 echo -n "[${img%.img.xz}]"
 208                 xz -d -c $img | dd of=$SCSI_DEV bs=4k >/dev/null 2>&1
 209                 mount_and_test $SCSI_DEV || return 1
 210         done
 211         echo
 212 }
 213
 214 [ $(id -u) != 0 ] && skip "WARNING: You must be root to run this test, test skipped."
 215 [ ! -x "$REENC" ] && skip "Cannot find $REENC, test skipped."
 216 which wipefs >/dev/null 2>&1 ||  skip "Cannot find wipefs, test skipped."
 217
 218 # REENCRYPTION tests
 219
 220 HASH1=b69dae56a14d1a8314ed40664c4033ea0a550eea2673e04df42a66ac6b9faf2c
 221 HASH2=d85ef2a08aeac2812a648deb875485a6e3848fc3d43ce4aa380937f08199f86b
 222 HASH3=e4e5749032a5163c45125eccf3e8598ba5ed840df442c97e1d5ad4ad84359605
 223 HASH4=2daeb1f36095b44b318410b3f4e8b5d989dcc7bb023d1426c492dab0a3053e74
 224 HASH5=5f70bf18a086007016e948b04aed3b82103a36bea41755b6cddfaf10ace3c6ef
 225
 226 echo "[1] Reencryption"
 227 prepare 8192
 228 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks1 -s 128 -c aes-cbc-plain $FAST_PBKDF --align-payload 4096 $LOOPDEV1 || fail
 229 wipe $PWD1
 230 check_hash $PWD1 $HASH1
 231 echo $PWD1 | $REENC $LOOPDEV1 -q $FAST_PBKDF
 232 check_hash $PWD1 $HASH1
 233 echo $PWD1 | $REENC $LOOPDEV1 -q -s 256 $FAST_PBKDF
 234 check_hash $PWD1 $HASH1
 235 echo $PWD1 | $REENC $LOOPDEV1 -q -s 256 -c aes-xts-plain64 -h sha256 $FAST_PBKDF
 236 check_hash $PWD1 $HASH1
 237 echo $PWD1 | $REENC $LOOPDEV1 -q --use-directio $FAST_PBKDF
 238 check_hash $PWD1 $HASH1
 239 echo $PWD1 | $REENC $LOOPDEV1 -q --master-key-file /dev/urandom $FAST_PBKDF
 240 check_hash $PWD1 $HASH1
 241 echo $PWD1 | $REENC $LOOPDEV1 -q -s 512 --master-key-file /dev/urandom $FAST_PBKDF
 242 check_hash $PWD1 $HASH1
 243 $CRYPTSETUP --type luks1 luksDump $LOOPDEV1 > /dev/null || fail
 244
 245 echo "[2] Reencryption with data shift"
 246 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks1 -c aes-cbc-essiv:sha256 -s 128 $FAST_PBKDF --align-payload 2048 $LOOPDEV1 || fail
 247 wipe $PWD1
 248 echo $PWD1 | $REENC $LOOPDEV1 -q -s 256 --reduce-device-size 1024S $FAST_PBKDF || fail
 249 check_hash $PWD1 $HASH2
 250 echo $PWD1 | $REENC $LOOPDEV1 -q $FAST_PBKDF || fail
 251 check_hash $PWD1 $HASH2
 252 $CRYPTSETUP --type luks1 luksDump $LOOPDEV1 > /dev/null || fail
 253
 254 echo "[3] Reencryption with keyfile"
 255 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks1 -d $KEY1 -c aes-cbc-essiv:sha256 -s 128 $FAST_PBKDF --align-payload 4096 $LOOPDEV1 || fail
 256 wipe
 257 check_hash "" $HASH1
 258 echo $PWD1 | $CRYPTSETUP -q luksAddKey -d $KEY1 $LOOPDEV1 $FAST_PBKDF || fail
 259 $REENC $LOOPDEV1 -d $KEY1 $FAST_PBKDF -q 2>/dev/null && fail
 260 $REENC $LOOPDEV1 -d $KEY1 -S 0 $FAST_PBKDF -q || fail
 261 check_hash "" $HASH1
 262 check_slot 0 || fail "Only keyslot 0 expected to be enabled"
 263 $REENC $LOOPDEV1 -d $KEY1 $FAST_PBKDF -q || fail
 264 # FIXME echo $PWD1 | $REENC ...
 265
 266 echo "[4] Encryption of not yet encrypted device"
 267 # well, movin' zeroes :-)
 268 OFFSET=2048
 269 SIZE=$(blockdev --getsz $LOOPDEV1)
 270 wipe_dev $LOOPDEV1
 271 dmsetup create $DEV_NAME2 --table "0 $(($SIZE - $OFFSET)) linear $LOOPDEV1 0" || fail
 272 check_hash_dev /dev/mapper/$DEV_NAME2 $HASH3
 273 dmsetup remove --retry $DEV_NAME2 || fail
 274 echo $PWD1 | $REENC $LOOPDEV1 -c aes-cbc-essiv:sha256 -s 128 --new --type luks1 --reduce-device-size "$OFFSET"S -q $FAST_PBKDF || fail
 275 check_hash $PWD1 $HASH3
 276 $CRYPTSETUP --type luks1 luksDump $LOOPDEV1 > /dev/null || fail
 277 # 64MiB + 1 KiB
 278 prepare 65537
 279 OFFSET=131072
 280 SIZE=$(blockdev --getsz $LOOPDEV1)
 281 wipe_dev $LOOPDEV1
 282 dmsetup create $DEV_NAME2 --table "0 $(($SIZE - $OFFSET)) linear $LOOPDEV1 0" || fail
 283 check_hash_dev /dev/mapper/$DEV_NAME2 $HASH5
 284 dmsetup remove --retry $DEV_NAME2 || fail
 285 echo $PWD1 | $REENC $LOOPDEV1 -c aes-cbc-essiv:sha256 -s 128 --new --type luks1 --reduce-device-size "$OFFSET"S -q $FAST_PBKDF || fail
 286 check_hash $PWD1 $HASH5
 287 $CRYPTSETUP --type luks1 luksDump $LOOPDEV1 > /dev/null || fail
 288 prepare 8192
 289 OFFSET=4096
 290 echo fake | $REENC $LOOPDEV1 -d $KEY1 --new --type luks1 --reduce-device-size "$OFFSET"S -q $FAST_PBKDF || fail
 291 $CRYPTSETUP open --test-passphrase $LOOPDEV1 -d $KEY1 || fail
 292 wipe_dev $LOOPDEV1
 293
 294 echo "[5] Reencryption using specific keyslot"
 295 echo $PWD2 | $CRYPTSETUP -q luksFormat --type luks1 $FAST_PBKDF $LOOPDEV1 || fail
 296 echo -e "$PWD2\n$PWD1" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF -S 1 $LOOPDEV1 || fail
 297 echo -e "$PWD2\n$PWD2" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF -S 2 $LOOPDEV1 || fail
 298 echo -e "$PWD2\n$PWD1" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF -S 3 $LOOPDEV1 || fail
 299 echo -e "$PWD2\n$PWD2" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF -S 4 $LOOPDEV1 || fail
 300 echo -e "$PWD2\n$PWD1" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF -S 5 $LOOPDEV1 || fail
 301 echo -e "$PWD2\n$PWD2" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF -S 6 $LOOPDEV1 || fail
 302 echo -e "$PWD2\n$PWD3" | $CRYPTSETUP -q luksAddKey $FAST_PBKDF -S 7 $LOOPDEV1 || fail
 303 backup_orig
 304 echo $PWD2 | $REENC $FAST_PBKDF -S 0 -q $LOOPDEV1 || fail
 305 check_slot 0 || fail "Only keyslot 0 expected to be enabled"
 306 wipe $PWD2
 307 rollback
 308 echo $PWD1 | $REENC $FAST_PBKDF -S 1 -q $LOOPDEV1 || fail
 309 check_slot 1 || fail "Only keyslot 1 expected to be enabled"
 310 wipe $PWD1
 311 rollback
 312 echo $PWD2 | $REENC $FAST_PBKDF -S 6 -q $LOOPDEV1 || fail
 313 check_slot 6 || fail "Only keyslot 6 expected to be enabled"
 314 wipe $PWD2
 315 rollback
 316 echo $PWD3 | $REENC $FAST_PBKDF -S 7 -q $LOOPDEV1 || fail
 317 check_slot 7 || fail "Only keyslot 7 expected to be enabled"
 318 wipe $PWD3
 319 rollback
 320 echo $PWD3 | $REENC $FAST_PBKDF -S 8 -q $LOOPDEV1 2>/dev/null && fail
 321 $CRYPTSETUP luksDump $LOOPDEV1 > /dev/null || fail
 322
 323 echo "[6] Reencryption using all active keyslots"
 324 echo -e "$PWD2\n$PWD1\n$PWD2\n$PWD1\n$PWD2\n$PWD1\n$PWD2\n$PWD3" | $REENC -q $LOOPDEV1 $FAST_PBKDF || fail
 325 check_slot 0 1 2 3 4 5 6 7 || fail "All keyslots expected to be enabled"
 326
 327 echo "[7] Reencryption of block devices with different block size"
 328 add_scsi_device sector_size=512 dev_size_mb=8
 329 simple_scsi_reenc "[512 sector]"
 330 add_scsi_device sector_size=4096 dev_size_mb=8
 331 simple_scsi_reenc "[4096 sector]"
 332 add_scsi_device sector_size=512 physblk_exp=3 dev_size_mb=8
 333 simple_scsi_reenc "[4096/512 sector]"
 334 echo "[OK]"
 335
 336 echo "[8] Header only reencryption (hash and iteration time)"
 337 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks1 --hash sha1 $FAST_PBKDF $LOOPDEV1 || fail
 338 wipe $PWD1
 339 check_hash $PWD1 $HASH1
 340 echo $PWD1 | $REENC $LOOPDEV1 -q --keep-key || fail
 341 check_hash $PWD1 $HASH1
 342 echo $PWD1 | $REENC $LOOPDEV1 -q --keep-key --pbkdf-force-iterations 999 2>/dev/null && fail
 343 check_hash $PWD1 $HASH1
 344 echo $PWD1 | $REENC $LOOPDEV1 -q --keep-key --hash sha256 --pbkdf-force-iterations 1001
 345 check_hash $PWD1 $HASH1
 346 [ "$($CRYPTSETUP luksDump $LOOPDEV1 | grep -A1 -m1 "Key Slot 0" | grep Iterations: | sed -e 's/[[:space:]]\+Iterations:\ \+//g')" -eq 1001 ] || fail
 347 [ "$($CRYPTSETUP luksDump $LOOPDEV1 | grep -m1 "Hash spec:" | cut -f2)" = "sha256" ] || fail
 348 echo $PWD1 | $REENC $LOOPDEV1 -q --keep-key --hash sha512 $FAST_PBKDF
 349 check_hash $PWD1 $HASH1
 350 [ "$($CRYPTSETUP luksDump $LOOPDEV1 | grep -A1 -m1 "Key Slot 0" | grep Iterations: | sed -e 's/[[:space:]]\+Iterations:\ \+//g')" -eq 1000 ] || fail
 351 echo $PWD1 | $REENC $LOOPDEV1 -q --keep-key $FAST_PBKDF
 352 check_hash $PWD1 $HASH1
 353 $CRYPTSETUP --type luks1 luksDump $LOOPDEV1 > /dev/null || fail
 354
 355 echo "[9] Test log I/Os on various underlying block devices"
 356 prepare 8192
 357 echo $PWD2 | $CRYPTSETUP -q luksFormat --type luks1 $FAST_PBKDF $LOOPDEV1 || fail
 358 add_scsi_device sector_size=512 dev_size_mb=32
 359 test_logging "[512 sector]" || fail
 360 add_scsi_device sector_size=4096 dev_size_mb=32
 361 test_logging "[4096 sector]" || fail
 362 add_scsi_device sector_size=512 dev_size_mb=32 physblk_exp=3
 363 test_logging "[4096/512 sector]" || fail
 364 test_logging_tmpfs || fail
 365
 366 echo "[10] Removal of encryption"
 367 prepare 8192
 368 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks1 $FAST_PBKDF $LOOPDEV1 || fail
 369 wipe $PWD1
 370 check_hash $PWD1 $HASH1
 371 echo $PWD1 | $REENC $LOOPDEV1 -q --decrypt || fail
 372 check_hash_dev $LOOPDEV1 $HASH4
 373
 374 echo $PWD1 | $CRYPTSETUP -q luksFormat --type luks1 -S5 $FAST_PBKDF $LOOPDEV1 || fail
 375 wipe $PWD1
 376 check_hash $PWD1 $HASH1
 377 echo $PWD1 | $REENC $LOOPDEV1 -q --decrypt || fail
 378 check_hash_dev $LOOPDEV1 $HASH4
 379
 380 echo "[11] Detached header - adding encryption/reencryption/decryption"
 381 prepare 8192
 382 check_hash_dev $IMG $HASH4
 383 echo $PWD1 | $REENC $LOOPDEV1 -q $FAST_PBKDF --header $IMG_HDR --new --type luks1
 384 check_hash $PWD1 $HASH4 $IMG_HDR
 385 echo $PWD1 | $REENC $LOOPDEV1 -q $FAST_PBKDF --header $IMG_HDR
 386 check_hash $PWD1 $HASH4 $IMG_HDR
 387 echo $PWD1 | $REENC $LOOPDEV1 -q --header $IMG_HDR --decrypt
 388 check_hash_dev $IMG $HASH4
 389 # existing header of zero size
 390 cat /dev/null >$IMG_HDR
 391 echo $PWD1 | $REENC $LOOPDEV1 -q $FAST_PBKDF --header $IMG_HDR --new --type luks1
 392 check_hash $PWD1 $HASH4 $IMG_HDR
 393 $CRYPTSETUP isLuks $LOOPDEV1 && fail
 394 $CRYPTSETUP isLuks $IMG_HDR || fail
 395
 396 remove_mapping
 397 exit 0