qui la configurazione che ho: - 2 dischi rigidi, - il primo è crittografato con LUKS e LVM. Vorrei aggiungere nel gruppo di volumi crittografato un secondo disco rigido. L'ho installato e crittografato con successo. Ma quando avvio, devo inserire 2 passphrase per decrittografare entrambi i dischi rigidi.

Non c'è un modo per usarne solo uno?

Finalmente trovo un trucco per inserire una sola password e tutti i miei dischi fisici sono criptati.

Cripto il primo con una passphrase, crittografo il secondo usando un file di chiavi che memorizzo sul primo disco rigido (/ root / mykeyfile).

E con la riga corretta nel file / etc / crypttab, fa il trucco.

Aggiorna / etc / crypttab

sda5_crypt UUID = fb07f1e8-a569-4db9-9fd7-fc1994e093b5 none luks

sdb1_crypt UUID = 4c0687f0-d7af-4f2e-9c57-5ca8e909d492 / root / mykeyfile luks

Su Ubuntu, è possibile utilizzare una chiave derivata dalla radice come chiave aggiuntiva su altri filesystem. Questo ha il vantaggio di mantenere la chiave per le altre unità fuori dal file system stesso.

Prima di fare questo, prima di tutto, assicurati che / tmp sia montato solo su ram! Suggerisco la modalità utente singolo per questa modifica.

mount -t ramfs none /tmp

Quindi, è possibile esportare la chiave derivata:

# replace vda5_crypt with the cryptsetup name of your root luks
# have a look in /dev/mapper or 'pvdisplay' to find it...
/lib/cryptsetup/scripts/decrypt_derived vda5_crypt > /tmp/key

E poi aggiungilo agli altri tuoi dispositivi:

# use your own disks here instead of sdb1 sdc1 sdd1 etc
cryptsetup luksAddKey /dev/sdb1 /tmp/key
cryptsetup luksAddKey /dev/sdc1 /tmp/key
cryptsetup luksAddKey /dev/sdd1 /tmp/key
rm /tmp/key

Ciò consentirà agli script di ubuntu init di utilizzare la chiave derivata una volta sbloccato il root per sbloccare il resto dei dispositivi a blocchi e renderli disponibili in modo simile in / dev / mapper. Non sono sicuro che richiedano voci / etc / crypttab: provale senza prima e, se non vengono visualizzate, inseriscile in crypttab senza chiave e dovrebbe sbloccarle.

(Non ho provato nulla di tutto questo.)

È possibile teoricamente impostare una variabile ambientale temporanea in uno script di avvio personalizzato a cui fanno riferimento gli script di inizializzazione per il processo di decrittazione. L'ho fatto qualche anno fa.

L'altra opzione è quella di eliminare gli script di init esistenti per il disco rigido e scriverne uno personalizzato che immetta la password una volta e quindi procede con i due processi di decodifica.

In alternativa, potresti essere in grado di estendere il volume LVM alla seconda unità. Se ricordo bene la crittografia dovrebbe essere trasferita.

No, non c'è modo di farlo immediatamente.