Làm thế nào để tôi preseed mã hóa chỉ phân vùng gốc?

Tôi có 3 phân vùng: EFI ( /boot/efi), boot ( /boot) và root ( /). Tôi muốn mã hóa chỉ / . Tôi có thể làm điều này bằng tay thông qua trình cài đặt, nhưng tôi muốn chèn sẵn nó.

Làm thế nào để tôi xác định nó? Công thức (không mã hóa) của tôi trông giống như dưới đây. Đó là một cái gì đó không phù hợp với các đề xuất cho Phân vùng hệ thống EFI mà tôi đã tìm thấy (không tìm thấy hướng dẫn rõ ràng).

boot-root ::
  100 100 100 fat32
    $primary
    $iflabel{ gpt }
    $reusemethod( }
    use_filesystem{ } filesystem{ vfat }
    method{ efi } format{ }
    mountpoint{ /boot/efi }
  .
  300 300 300 ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ /boot }
  .
  100% 3000 100% ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ / }
  .

Làm cách nào để tạo sda3một phân vùng vật lý cho mã hóa LUKS và sau đó có một hệ thống tệp trên đó?

CẬP NHẬT:

Tôi phát hiện ra rằng tôi có thể đặt phân vùng thành tiền điện tử như bên dưới, nhưng vẫn còn 3 vấn đề:

1. Tôi vẫn cần tạo và kích hoạt các khối được mã hóa trên phân vùng đã chọn
2. Tôi vẫn cần đặt hệ thống tệp ext4 chính xác trên ổ đĩa được mã hóa sau khi được tạo và kích hoạt
3. Công thức không chọn loại mã hóa dm-cryptđược yêu cầu để tạo và kích hoạt khối lượng mã hóa.

Vẫn đang vật lộn

boot-root ::
  100 100 100 fat32
    $primary
    $iflabel{ gpt }
    $reusemethod( }
    use_filesystem{ } filesystem{ vfat }
    method{ efi } format{ }
    mountpoint{ /boot/efi }
  .
  300 300 300 ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ /boot }
  .
  100% 3000 100% ext4
    method{ crypto } format{ }
  .

Đầu tiên, mở một thiết bị đầu cuối gốc:

sudo -i

Sau đó điền vào phân vùng cần được mã hóa bằng dữ liệu ngẫu nhiên bằng lệnh như sau:

openssl enc -aes-256-ctr -pass pass:"$(dd if=/dev/urandom bs=128 count=1 2>/dev/null | base64)" -nosalt < /dev/zero > /dev/sdxy

Bạn phải thay thế sdxybằng phân vùng sẽ được mã hóa. Sau đó gõ

cryptsetup luksFormat --cipher twofish-xts-plain64 --key-size 512 --hash sha512 --iter-time 2000 /dev/sdxy

để mã hóa phân vùng sdxy. Mở âm lượng và đặt tên cho nó root:

cryptsetup luksOpen /dev/sdxy root

Sử dụng lệnh này để tạo một hệ thống tập tin ext4 bên trong nó:

mkfs.ext4 /dev/mapper/root

Tiếp theo bạn có thể bắt đầu trình cài đặt. Chọn "Một cái gì đó khác" khi được hỏi bạn muốn làm gì. Sau đó chọn điểm gắn kết cho tất cả các phân vùng không được mã hóa của bạn. Đối với rootphân vùng của bạn , chọn /dev/mapper/root, nhấp vào "Thay đổi". Sau đó chọn ext4loại hệ thống tập tin và đặt điểm gắn kết thành /. Sau đó nhấp vào "Cài đặt ngay" và cài đặt Ubuntu bình thường.

Khi cài đặt xong bấm vào "Tiếp tục thử nghiệm". Mở một thiết bị đầu cuối và gõ:

sudo -i
cd /mnt
mkdir root
mount /dev/mapper/root root
mount /dev/sdyz root/boot

sdyznên được thay thế bằng bootphân vùng của bạn . Tiếp theo, gõ:

chroot root
mount -t proc proc /proc
mount -t sysfs sys /sys
nano /etc/crypttab

Mở một thiết bị đầu cuối thứ hai và gõ sudo blkid. Tìm UUID cho root( crypto_lukscái cuối cùng nói) và dán nó vào /etc/crypttab. Sau đó, tập tin /etc/crypttabsẽ trông giống như thế này:

root UUID=d68911dd-172a-4608-86d4-084eb72f409c none luks

Đóng tập tin với Ctrl+ x, yvà Enter. Nhập nano /etc/fstabvào thiết bị đầu cuối và kiểm tra xem mọi thứ có đúng không (ví dụ: UUID).

Cuối cùng, thoát khỏi môi trường chroot và gõ:

cryptsetup luksHeaderBackup /dev/sdxy --header-backup-file /root/root.img

Điều này đặt một hình ảnh của tiêu đề của phân vùng được mã hóa vào thư mục /rootvà đặt tên cho nó root.img. Sau đó di chuyển hình ảnh sang ổ đĩa ngoài (trong trường hợp quên mật khẩu). Bây giờ bạn có thể khởi động lại vào Ubuntu mới cài đặt của bạn.

Nguồn: http://thesimplecomputer.info/full-disk-encoding-with-ubfox