☰

lsinitramfs を暗号化されたファイルシステムで起動する

tag-icon • tag-icon boot dual-boot encryption luks
lsinitramfs を暗号化されたファイルシステムで起動する

私は指示に従いましたここ私は LiveCD を使っていますが、LUKS ファイルシステムを復号化できる initramfs ファイルを作成するように Ubuntu を説得することはできません。GRUB を通過するのに問題はありません。

助けて？でも、うまくいくような気がする。

initramfs ステージに到達すると、cryptsetup を実行できますが、次のエラー メッセージが表示されます。

device-mapper: table: 252:0 crypt error allocating tfm

「カーネルがaes-xts-plain64暗号をサポートしていることを確認してください」というメッセージも表示されました。

答え1

わかりました、分かりました！

私はこのガイドを改良し、動作するまで主に内容を追加しました:

https://help.ubuntu.com/community/EncryptedFilesystemOnIntrepid

私はそのガイドからファイルを少し変更しましたが、それ以外はそれに従いました。

念のため、次の modprobe 行を /etc/initramfs-tools/scripts/local-top/cryptoroot に追加しました。

modprobe -q dm_crypt
modprobe -q sha256_generic
modprobe -q sha256
modprobe -q aes_generic
modprobe -q aes
modprobe -q cbc
modprobe -q xts
modprobe -q aes
modprobe -q aes_x86_64

つまり、次のようになります。

    PREREQ="udev"

prereqs()
{
        echo "$PREREQ"
}

case $1 in
# get pre-requisites
prereqs)
        prereqs
        exit 0
        ;;
esac
#This line from the Encrypted Entrepid tutorial didn't work for me
#/bin/loadkeys -q /etc/console-setup/boottime.kmap.gz
modprobe -q dm_crypt
modprobe -q sha256
modprobe -q sha256_generic
modprobe -q aes_generic
modprobe -q aes
modprobe -q cbc
modprobe -q xts
modprobe -q aes
modprobe -q aes_x86_64    
# The following command will ensure that the kernel is aware of
# the partition before we attempt to open it with cryptsetup.
/sbin/udevadm settle

if grep -q splash /proc/cmdline; then
    /bin/chvt 1
fi
/sbin/cryptsetup luksOpen CRYPTOROOT cryptoroot
if grep -q splash /proc/cmdline; then
       /sbin/usplash -c &
       sleep 1
fi

上記のファイル (local-top) では、CRYPTROOT 行を変更する必要があります。

キーファイルを使用したので、行は次のようになりました。

/sbin/cryptsetup luksOpen /dev/disk/by-uuid/xxxx --key-file /my_keyfile.bin cryptoroot

キーファイルは必要ありません。luksHeader はパスワードで開くことができます (キーファイル オプションを削除するだけです)。ただし、ファイルを含める場合は、/dev/sdXy を使用しないでください。

/etc/initramfs-tools/hooks/cryptoroot に次の行を追加しました:

# Comment out this line
# cp /etc/console-setup/boottime.kmap.gz ${DESTDIR}/etc/console
# If you add a key-file
# cp /my_keyfile.bin ${DESTDIR}/
copy_exec /bin/loadkeys /bin
copy_exec /bin/chvt /bin
copy_exec /sbin/cryptsetup /sbin
copy_exec /sbin/blkid /sbin
copy_exec /sbin/lsmod /sbin
copy_exec /sbin/cat /sbin
copy_exec /sbin/dmsetup /sbin

つまり、次のようになります。

PREREQ=""

prereqs()
{
        echo "$PREREQ"
}

case $1 in
prereqs)
        prereqs
        exit 0
        ;;
esac

if [ ! -x /sbin/cryptsetup ]; then
        exit 0
fi

. /usr/share/initramfs-tools/hook-functions

# Comment out this line
# cp /etc/console-setup/boottime.kmap.gz ${DESTDIR}/etc/console
    # If you add a key-file
    # cp /my_keyfile.bin ${DESTDIR}/
    copy_exec /bin/loadkeys /bin
    copy_exec /bin/chvt /bin
    copy_exec /sbin/cryptsetup /sbin
    copy_exec /sbin/blkid /sbin
    copy_exec /sbin/lsmod /sbin
    copy_exec /sbin/cat /sbin
    copy_exec /sbin/dmsetup /sbin

また、これらのファイルはすべて実行可能としてマークされている必要があります。

chmod +x /etc/initramfs-tools/hooks/cryptoroot
chmod +x /etc/initramfs-tools/scripts/local-top/cryptoroot

/etc/initramfs-tools/modules に以下を追加します:

dm_mod
dm_crypt
sha256_generic
sha256_ssse3
aes_generic
cbc
aes_x86_64
xts

比較的簡単でした！

update-initramfs -u -k allを実行します。

次に、私のケースでは、os-prober が BTRFS 上のファイル システムを検出しないため、カスタム GRUB エントリを作成する必要があります。arch エントリがそこで役立ちます。

私のはこんな感じです:

menuentry "System shutdown" {
        echo "System shutting down..."
        halt
}

menuentry "System restart" {
        echo "System rebooting..."
        reboot
}    

menuentry 'Ubuntu Linux try 1' --class arch --class gnu-linux --class gnu --class os {
    load_video
     set gfxpayload=keep
     insmod gzio
     insmod part_msdos
     insmod cryptodisk
     insmod luks
     insmod gcry_rijndael
     insmod gcry_sha256
     insmod btrfs
     insmod ext2
     cryptomount -u [UUID of sdXY]
     set root='cryptouuid/[UUID of sdXY]'
     if [ x$feature_platform_search_hint = xy ]; then
      search --no-floppy --fs-uuid --set=root --hint='cryptouuid/[UUID of sdXY]'  [UUID of /dev/mapper/cryptoroot]
     else
      search --no-floppy --fs-uuid --set=root [UUID of /dev/mapper/cryptoroot]
     fi
     echo    'Loading Linux linux-lts ...'
     #I use btrfs so...
     linux    btrfs path    root=UUID=[UUID of /dev/mapper/cryptoroot] rw rootflags=subvol=/btrfs/path/to/root cryptdevice=/dev/disk/by-uuid/[UUID of sdXY]':cryptroot quiet modprobe.blacklist=pcspkr profile
     echo    'Loading initial ramdisk ...'
     initrd  path/initrd.img
    }

    ##I was able to boot without this kernel option but some guides suggested it: ##cryptopts=target=cryptrootname,source=/dev/sdXY

公式発表です: Ubuntu は Arch の暗号化されたファイル システムで起動できます。私はグーグルでいろいろ調べましたが、少なくともここ数年は、これを解読した人は他にいないと思います。

関連情報