Hier die Konfiguration, die ich habe: - 2 Festplatten, - die erste wird mit LUKS und LVM verschlüsselt. Ich möchte in der Volume-Gruppe eine zweite Festplatte verschlüsselt hinzufügen. Ich habe es erfolgreich installiert und verschlüsselt. Beim Booten muss ich jedoch zwei Passphrasen eingeben, um beide Festplatten zu entschlüsseln.

Gibt es nicht eine Möglichkeit, nur eine zu verwenden?

Ich finde endlich einen Trick, um nur ein Passwort einzugeben und alle meine physischen Festplatten verschlüsseln zu lassen.

Ich verschlüssele die erste mit einer Passphrase, ich verschlüssle die zweite mit einer Schlüsseldatei, die ich auf der ersten Festplatte (/ root / mykeyfile) speichere.

Und mit der korrekten Zeile in der Datei / etc / crypttab macht es den Trick.

Aktualisieren Sie / etc / crypttab

sda5_crypt UUID = fb07f1e8-a569-4db9-9fd7-fc1994e093b5 keine luks

sdb1_crypt UUID = 4c0687f0-d7af-4f2e-9c57-5ca8e909d492 / root / mykeyfile luks

Unter Ubuntu ist es möglich, einen vom Stamm abgeleiteten Schlüssel als zusätzlichen Schlüssel auf anderen Dateisystemen zu verwenden. Dies hat den Vorteil, dass Ihr Schlüssel für die anderen Laufwerke nicht im Dateisystem selbst enthalten ist.

Bevor Sie dies tun, stellen Sie zunächst sicher, dass / tmp nur auf dem RAM montiert ist! Ich schlage den Einzelbenutzermodus für diese Änderung vor.

mount -t ramfs none /tmp

Anschließend können Sie den abgeleiteten Schlüssel exportieren:

# replace vda5_crypt with the cryptsetup name of your root luks
# have a look in /dev/mapper or 'pvdisplay' to find it...
/lib/cryptsetup/scripts/decrypt_derived vda5_crypt > /tmp/key

Und fügen Sie es dann Ihren anderen Geräten hinzu:

# use your own disks here instead of sdb1 sdc1 sdd1 etc
cryptsetup luksAddKey /dev/sdb1 /tmp/key
cryptsetup luksAddKey /dev/sdc1 /tmp/key
cryptsetup luksAddKey /dev/sdd1 /tmp/key
rm /tmp/key

Dadurch können die Ubuntu-Init-Skripte den abgeleiteten Schlüssel verwenden, sobald der Root entsperrt ist, um den Rest der Blockgeräte zu entsperren und sie auf ähnliche Weise unter / dev / mapper verfügbar zu machen. Ich bin nicht sicher, ob sie / etc / crypttab-Einträge benötigen - probieren Sie sie zuerst aus, und wenn sie nicht angezeigt werden, legen Sie sie ohne Schlüssel in crypttab ab, und sie sollten entsperrt werden.

(Ich habe nichts davon getestet.)

Sie können theoretisch eine temporäre Umgebungsvariable in einem benutzerdefinierten Startskript festlegen, auf das dann von den Initialisierungsskripten für Ihren Entschlüsselungsprozess verwiesen wird. Ich habe das tatsächlich vor ein paar Jahren gemacht.

Sie können auch Ihre vorhandenen Init-Skripte für Ihre Festplatte löschen und ein benutzerdefiniertes Skript schreiben, das Ihr Kennwort einmal eingibt und dann mit den beiden Entschlüsselungsprozessen fortfährt.

Alternativ können Sie Ihr LVM-Volume möglicherweise auf das zweite Laufwerk erweitern. Wenn ich mich richtig erinnere, sollte sich die Verschlüsselung übertragen.

Nein, es gibt keine Möglichkeit, dies sofort zu tun.