Монтировать зашифрованный LUKS жесткий диск при загрузке (ключ luks хранится в папке HOME, которая зашифрована ecryptfs)

Question

Этот вопрос касается вопроса, поднятого в:Монтировать зашифрованный жесткий диск LUKS при загрузке

Я добавил свой ключ в домашнюю папку и все работает как часы. Спасибо, ребята!

Однако мне хотелось бы лучше понять следующее утверждение:

ОБНОВЛЕНИЕ: Если я нахожу ключевой файл в /boot(не зашифрованном), а не в моем /home/[USERNAME](зашифрованный) /dev/sda1и обновление записи /etc/crypttabпрекрасно монтируется во время загрузки.

Предположим, что наш /home/[USERNAME]разделзашифрованный, какзагрузчикбудете знать, где найти ключ для расшифровки /home/[USERNAME]раздела, прежде чем искать файл /home/[USERNAME]/.keyfiles/key_luks?

Возможное решение представлено в:Как настроить LVM и LUKS для автоматической расшифровки раздела?, который заключается в хранении ключей luks на USB-устройстве. Однако по каким-то причинам мы не будем использовать этот подход.

Я видел, что одной из возможностей было бы добавить ключи в связку ключей, однако я не смог найти решение, которое сочетало бы расшифровку разделов Luks во время загрузки с использованием ключей Luks, хранящихся в связке ключей.

Answer 1

Вы не хотите помещать свой ключ на незашифрованный раздел, такой как /boot, о котором вы упомянули. Это сделает шифрование просто бесполезным, потому что любой может прочитать файл ключа и расшифровать ваш раздел(ы). Решение с USB-накопителем заключается в том, что вы просто вставляете USB-накопитель или любой другой съемный носитель во время загрузки, затем вы можете извлечь его и сохранить в безопасном месте.