Como faço para preseed criptografar apenas a partição raiz?

Question

Eu tenho 3 partições: EFI ( /boot/efi ), boot ( /boot ) e raiz ( / ). Quero criptografar apenas / . Eu posso fazer isso manualmente através do instalador, mas eu quero presei-lo.

Como eu defino isso? Minha receita (não criptografada) é parecida com a abaixo. É uma mistura de sugestões para as partições do sistema EFI que encontrei (não encontrei um guia claro).

boot-root ::
  100 100 100 fat32
    $primary
    $iflabel{ gpt }
    $reusemethod( }
    use_filesystem{ } filesystem{ vfat }
    method{ efi } format{ }
    mountpoint{ /boot/efi }
  .
  300 300 300 ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ /boot }
  .
  100% 3000 100% ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ / }
  .

Como faço com que sda3 seja uma partição física para a criptografia LUKS e tenha um sistema de arquivos sobre isso?

ATUALIZAÇÃO:

Descobri que posso definir a partição como criptografada, mas ainda há três problemas:

1. Ainda preciso criar e ativar os volumes criptografados na partição escolhida
2. Ainda preciso definir o sistema de arquivos ext4 correto no volume criptografado depois de criado e ativado
3. A receita não seleciona o tipo de criptografia para dm-crypt , que é necessário para criar e ativar os volumes criptografados.

Ainda lutando poderosamente

boot-root ::
  100 100 100 fat32
    $primary
    $iflabel{ gpt }
    $reusemethod( }
    use_filesystem{ } filesystem{ vfat }
    method{ efi } format{ }
    mountpoint{ /boot/efi }
  .
  300 300 300 ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ /boot }
  .
  100% 3000 100% ext4
    method{ crypto } format{ }
  .

    

Answer 1

Primeiro, abra um terminal raiz:

sudo -i

Em seguida, preencha a partição, que deve ser criptografada, com dados aleatórios usando um comando como este:

openssl enc -aes-256-ctr -pass pass:"$(dd if=/dev/urandom bs=128 count=1 2>/dev/null | base64)" -nosalt < /dev/zero > /dev/sdxy

Você precisa substituir sdxy pela partição que será criptografada. Então digite

cryptsetup luksFormat --cipher twofish-xts-plain64 --key-size 512 --hash sha512 --iter-time 2000 /dev/sdxy

para criptografar a partição sdxy . Abra o volume e nomeie-o como root :

cryptsetup luksOpen /dev/sdxy root

Use este comando para criar um sistema de arquivos ext4 dentro dele:

mkfs.ext4 /dev/mapper/root

Em seguida, você pode iniciar o instalador. Escolha "Outra coisa" quando for perguntado o que você gostaria de fazer. Em seguida, escolha os pontos de montagem para todas as suas partições não criptografadas. Para sua partição root , selecione /dev/mapper/root , clique em "Alterar". Em seguida, selecione ext4 para o tipo de sistema de arquivos e defina o ponto de montagem como / . Em seguida, clique em "Instalar agora" e instale o Ubuntu normalmente.

Quando terminar de instalar, clique em "Continuar teste". Abra um terminal e digite:

sudo -i
cd /mnt
mkdir root
mount /dev/mapper/root root
mount /dev/sdyz root/boot

sdyz deve ser substituído por sua partição boot . Em seguida, digite:

chroot root
mount -t proc proc /proc
mount -t sysfs sys /sys
nano /etc/crypttab

Abra um segundo terminal e digite sudo blkid . Encontre o UUID para root (o que diz crypto_luks no final) e cole em /etc/crypttab . Em seguida, o arquivo /etc/crypttab deve ser parecido com isto:

root UUID=d68911dd-172a-4608-86d4-084eb72f409c none luks

Feche o arquivo com Ctrl + x , y e Digite . Digite nano /etc/fstab no terminal e verifique se tudo está certo (por exemplo, os UUIDs).

Por fim, saia do ambiente chroot e digite:

cryptsetup luksHeaderBackup /dev/sdxy --header-backup-file /root/root.img

Isso coloca uma imagem do cabeçalho da partição criptografada na pasta /root e nomeia root.img . Em seguida, mova a imagem para uma unidade externa (no caso de esquecer a senha). Agora você pode reiniciar em seu Ubuntu recém-instalado.

Fonte: link