Di recente ho installato Ubuntu Server 11.04 con la crittografia LVM completa (installata dal programma di installazione). Vorrei ora utilizzare un file chiave per sbloccare automaticamente. Ho provato a seguire questa guida http://ubuntuforums.org/showthread.php?t=837416

Ho generato una chiave con questo comando: sudo dd if=/dev/urandom of=/boot/grub/keyfile bs=1024 count=4

l'ho inserito /boot/grubperché penso che non sia crittografato. Quando provo ad aggiungere la chiave con questo comando sudo cryptsetup luksAddKey /dev/sdX /boot/grub/keyfile , mi chiede la passphrase e quando la inserisco non succede nulla, nulla viene stampato sullo schermo! Lo ignoro e continuo gli altri passaggi e riavvio ma non è successo nulla e mi chiede la passphrase.

Grazie per l'aiuto .

Ci sono appena passato sul mio nuovo server di casa, ci sono voluti un sacco di ricerche su google e indovinare, ma ho funzionato. Proverò a riprodurre i passaggi qui. Sto usando Ubuntu Server 11.10 e ho iniziato con un'installazione praticamente standard usando LVM crittografato, quindi mi limiterò a mettere in relazione le modifiche che ho fatto da lì.

Impostare:

• / dev / sda1 è la mia partizione / boot non crittografata
• / dev / sda5 è la mia partizione lvm che contiene tutto il resto - root, swap e home
• / dev / sdc1 è la partizione sull'unità flash USB in cui memorizzerò il file di chiavi

Innanzitutto, ho creato un file di chiavi, proprio nella mia directory home:

dd if=/dev/urandom of=keyfile bs=512 count=4

(puoi usare una dimensione di blocco più grande o contare una chiave più grande)

Dì a cryptsetup la nuova chiave (sono i contenuti che sono importanti, non il nome del file):

sudo cryptsetup luksAddKey /dev/sda5 keyfile

Quindi, ho formattato la mia chiavetta USB con ext2 e gli ho dato un'etichetta. Ho usato un'etichetta, in modo che successivamente possa montarla per etichetta e sostituire l'unità flash USB nel caso in cui qualcosa vada storto.

sudo mkfs -t ext2 /dev/sdc1
sudo e2label /dev/sdc1 KEYS

(ovviamente, il tuo dispositivo varierà)

Ora, copia il file di chiavi sull'unità flash USB, di proprietà della modalità root 400:

mkdir KEYS
sudo mount /dev/sdc1 KEYS
sudo cp keyfile KEYS
sudo chown root KEYS/keyfile
sudo chmod 400 KEYS/keyfile

Modifica / etc / crypttab. Il mio originariamente contenuto

sd5_crypt UUID=(...) none luks

che ho cambiato in

sd5_crypt UUID=(...) /dev/disk/by-label/KEYS:/keyfile luks,keyscript=/lib/cryptsetup/scripts/passdev

Infine, aggiorna initramfs:

sudo update-initramfs -uv

Ora si avvia utilizzando il file di chiavi sull'unità flash USB. Se rimuovo l'unità flash (diciamo, quando vado in vacanza) non si avvia e i miei dati sono al sicuro.

Se qualcuno sa come ottenerlo per chiedere la passphrase se manca l'unità flash USB, sarebbe utile come fallback. Spero che questo aiuti, eventuali aggiunte o correzioni sarebbero più che benvenute!

Queste istruzioni di howtoforge.com mi hanno reso operativo con un volume di decodifica automatica.

Procedura: sbloccare automaticamente le unità crittografate LUKS con un file di chiavi

Passaggio 1: creare un file di chiavi casuale

sudo dd if=/dev/urandom of=/root/keyfile bs=1024 count=4

Passaggio 2: imposta il file di chiavi in ​​sola lettura su root

sudo chmod 0400 /root/keyfile

Ciò renderà il file chiave leggibile solo da root. Se qualcuno ottiene l'accesso a questo file di chiavi, allora hai comunque un problema più grande sul tuo computer.

In alternativa chown il file di chiavi desiderato su root: root e spostarlo nella cartella / root

Passaggio 3: aggiungere il file di chiavi a LUKS

I dispositivi abilitati LUKS / dm_crypt possono contenere fino a 10 file / password chiave diversi. Quindi, accanto alla password già impostata, aggiungeremo questo file di chiavi come metodo di autorizzazione aggiuntivo.

sudo cryptsetup luksAddKey /dev/sdX /root/keyfile

sdX è ovviamente il tuo dispositivo LUKS.

Innanzitutto ti verrà richiesto di inserire una password (esistente) per sbloccare l'unità. Se tutto funziona bene, dovresti ottenere un output come questo:

Enter any LUKS passphrase:
key slot 0 unlocked.
Command successful.

Passaggio 4: creare un mapper

I dispositivi LUKS devono creare un mapper a cui è possibile fare riferimento in fstab. Apri / etc / crypttab

sudo nano /etc/crypttab

e aggiungi quindi una riga come questa:

sdX_crypt      /dev/sdX  /root/keyfile  luks

oppure puoi usare l'UUID del dispositivo:

sdX_crypt      /dev/disk/by-uuid/247ad289-dbe5-4419-9965-e3cd30f0b080  /root/keyfile  luks

sdX_crypt è il nome del mapper che viene creato. Puoi usare qui qualsiasi nome, ad esempio "musica" o "film" o "sfdsfawe" ....

Salvare e chiudere il file emettendo ctrl-x, invio, invio. Ctrl-x chiude nano ma prima chiede di salvare il file [yes = invio] e quale sarà il nome [stesso nome = invio].

Quello che abbiamo fatto lì in realtà è dire che / root / keyfile deve essere usato al posto dell'inserimento della password per sbloccare l'unità.

Passaggio 5: montare il dispositivo in fstab

Ora, abbiamo un dispositivo sbloccato (beh, non ancora ma quando il sistema viene avviato) e dobbiamo solo montarlo ora. Apri / etc / fstab:

sudo nano /etc/fstab

e aggiungi una nuova voce come:

/dev/mapper/sdX_crypt  /media/sdX     ext3    defaults        0       2

Assicurati di avere il nome del mapper corretto che hai aggiunto nel passaggio 4. Assicurati anche che esista il punto di montaggio / cartella. Dopo averlo aggiunto, salva di nuovo il file e chiudilo (ctrl-x, invio, invio).

Passaggio 6: riavviare o rimontare

Questo è tutto. Ora puoi riavviare e i dispositivi aggiuntivi dovrebbero essere sbloccati e montati automaticamente. Puoi anche testarlo rimontando tutti i dispositivi:

sudo mount -a

Migliorando la risposta di Randy Orrison , ecco un piccolo script che ho creato, che farà fallire il sistema nel chiedere all'utente la password se non riesce a trovare il file di chiavi.

#!/bin/sh

ask_for_password () {
    cryptkey="Unlocking the disk $cryptsource ($crypttarget)\nEnter passphrase: "
    if [ -x /bin/plymouth ] && plymouth --ping; then
        cryptkeyscript="plymouth ask-for-password --prompt"
        cryptkey=$(printf "$cryptkey")
    else
        cryptkeyscript="/lib/cryptsetup/askpass"
    fi
    $cryptkeyscript "$cryptkey"
}

device=$(echo $1 | cut -d: -f1)
filepath=$(echo $1 | cut -d: -f2)

# Ask for password if device doesn't exist
if [ ! -b $device ]; then
    ask_for_password
    exit
fi

mkdir /tmp/auto_unlocker
mount $device /tmp/auto_unlocker

# Again ask for password if device exist but file doesn't exist
if [ ! -e /tmp/auto_unlocker$filepath ]; then
    ask_for_password
else
    cat /tmp/auto_unlocker$filepath
fi

umount /tmp/auto_unlocker

Salva e sostituirlo keyscript=/lib/cryptsetup/scripts/passdevin /etc/crypttabcon il percorso di questo file ed eseguire sudo update-initramfs -uve si è fatto.

@deitch Ho avuto la stessa configurazione di @Randy Orrison e ho riscontrato lo stesso problema che hai riscontrato e si scopre che è un bug di systemd che tenta di montare nuovamente il filesystem / quando trova la voce corrispondente in / etc / crypttab.

Per risolvere questo, ho appena rimosso la voce per sda5_crypt da / etc / crypttab una volta eseguito il comando update-initramfs -uv.

Riavvia e tutto funziona bene come previsto.