Wie installiere ich den Passphrase-Bildschirm auf einem USB-Stick?

Question

Wenn Ihr Linux auf verschlüsseltem LVM installiert ist, wird beim Booten von Linux ein spezielles Programm geladen, das nach einer Passphrase fragt. Dies kann jedoch ein Sicherheitsproblem darstellen, wenn das spezielle Programm mit einem Virus von Microsoft Windows infiziert wird, möglicherweise modifiziert wird und die Passphrase an eine beliebige Stelle auf der Windows-Partition sendet. Die Installation des Passphrase-Programms auf einem USB-Stick ist jedoch viel sicherer, da es isolierter ist als auf der Festplatte. Ich möchte wissen, wie ich einen bootfähigen USB-Stick erstelle, auf dem ich die Passphrase eingeben kann, damit ich mich bei Linux anmelden kann.

Answer 1

Das spezielle Programm, auf das Sie sich beziehen, befindet sich im initramfs des Linux-Kernels. Das initramfs enthält ein temporäres /-Dateisystem mit den zusätzlichen Extras, die es zum Mounten des realen /-Dateisystems benötigt. In Ihrem Fall enthält es unter anderem das Cryptsetup-Tool und ein Skript (das spezielle Programm), um Ihre Passphrase abzurufen.

Um Ihr Ziel zu erreichen, müssen Sie Ihre USB-Festplatte grundsätzlich zur /boot-Partition Ihres Systems machen. /boot enthält Ihren Linux-Kernel, das initramfs, GRUB2 stage2 usw.

Um es klarzustellen: Sie booten zwar immer noch von Ihrer internen Festplatte, aber GRUB2 wird neu installiert, sodass es seine Konfiguration, andere Phasen und Ihren Kernel von Ihrer USB-Festplatte lädt. Der Vorgang wird unten gezeigt, aber bevor Sie loslegen, stellen Sie sicher, dass Sie über eine alternative Möglichkeit verfügen, auf Ihr System zuzugreifen, beispielsweise über ein LiveCD/USB-Laufwerk. Dieser Vorgang ändert die Art und Weise, wie Linux geladen wird, und wenn es schiefgeht, sind Sie aufgeschmissen und haben keinen Plan B.

1. Erstellen Sie mit fdisk /dev/sdX(wobei sdX der USB-Datenträger ist) eine Partition auf Ihrem USB-Datenträger.
2. Formatieren Sie die oben genannte Partition mit einem Linux-Dateisystem (wie ext2, 3 oder 4). Beispiel:mkfs.ext3 /dev/sdX1
3. Erstellen Sie eine Sicherungskopie Ihres vorhandenen /boot-Verzeichnisses. Das ist wichtig, also ist Vorsicht besser als Nachsicht. Zum Beispiel:pushd /boot; tar -cvzf /root/boot-backup.tar.gz .; popd
4. Mounten Sie das neue Dateisystem irgendwo und kopieren Sie den Inhalt des aktuellen /boot dorthin.
5. Hängen Sie das neue Dateisystem aus und hängen Sie es erneut als Ihr neues /boot an. Aktualisieren Sie dabei /etc/fstab. Das neue /boot muss für den nächsten Schritt angehängt werden.
6. Installieren Sie GRUB2 neu, und verwenden Sie dabei den MBR, unter dem es aktuell installiert ist: grub-install /dev/sdY. Der Grund für die Neuinstallation ist, dass Sie den Speicherort von /boot geändert haben. Dieser Befehl installiert auch Dateien in /boot/grub, daher muss es gemountet sein (und Sie müssen eine Sicherungskopie erstellen).
7. Generieren Sie die Konfigurationsdatei von GRUB2 erneut:grub-mkconfig -o /boot/grub/grub.cfg
8. Überprüfen Sie die generierte Konfigurationsdatei unter/boot/grub/grub.cfg. Es sollte ein Verweis auf die USB-Festplatte angezeigt werden (ich weiß nicht mehr, ob eine Festplatten- oder Dateisystem-UID verwendet wird).

Testen Sie das Setup, indem Sie mit eingestecktem USB-Laufwerk booten. Versuchen Sie dann, ohne das USB-Laufwerk zu booten. Dies sollte nicht funktionieren.