加密定制安装

Question

加密定制安装

34

我的电脑运行的是Ubuntu操作系统。我想在另一个介质上安装Ubuntu。我希望启用加密功能，但是由于Ubuntu安装程序的默认选项（擦除/并排等）只涉及默认驱动器，所以我必须选择"其他选项"并手动在另一个驱动器上创建分区。我创建了一个大约128MB的引导分区，然后就迷失了方向。如果我用剩余的空间创建一个加密分区，我无法将其拆分，因此就没有交换分区；如果我创建两个加密分区，似乎不太对，因为它要求设置两个不同的密码...

那么，我应该如何设置交换分区呢？（在安装过程中还是之后）。

- Yvain

请参阅https://askubuntu.com/questions/293028/how-can-i-install-ubuntu-encrypted-with-luks-with-dual-boot。 - Flimm

4个回答

4

这是给那些一直遇到这个问题想要稍微改变Ubuntu默认分区的答案。例如，删除swap分区并增加/boot大小。我认为很多人会因为所需步骤的数量而被b_laoshi的指导所打消了信心。

所以，对于简单的自定义分区加密，请使用"擦除磁盘并安装Ubuntu"选项，同时选择"为安全性加密新的Ubuntu安装"。我们将修改的是这个默认分区的配置。

这些配置文件位于/lib/partman/recipes[-arch]/目录下。对于我自己来说，我一直在修改/lib/partman/recipes-amd64-efi/30atomic文件。为了获得538M的efi分区、1024M的/boot分区和剩余空间的/ext4根分区，我编辑了该文件。

538 538 538 fat32
    $iflabel{ gpt }
    $reusemethod{ }
    method{ efi }
    format{ } .

1024 1024 1024 ext4
    $defaultignore{ }
    $lvmignore{ }
    method{ format }
    format{ }
    use_filesystem{ }
    filesystem{ ext4 }
    mountpoint{ /boot } .    

900 10000 -1 ext4
    $lvmok{ }
    method{ format }
    format{ }
    use_filesystem{ }
    filesystem{ ext4 }
    mountpoint{ / } .

请注意，在安装程序中选择要擦除的磁盘后，它会提示您分区的摘要，这样您就可以检查这个方法是否奏效，并且您得到了所需的分区。还请参阅https://askubuntu.com/a/678074/47073。

- Yrogirg

如果我能的话，我会给你十个赞。 - netiul

3

如何实现多个加密分区和无 LVM

由于我的先前答案太长了，如果您不想使用LVM，我将发布第二个答案，采用不同的方法。

您可以创建多个加密分区并使用decrypt_derived脚本，这样您只需要输入一次密码。请查看this blog post以获得逐步说明。作者使用一个密钥文件，但decrypt_derived LUKS脚本也足够了。

- b_laoshi

我最后还是拔掉了主驱动器，辅助安装可以在我的SD卡上找到:) 哈哈 - Yvain

2

一种完成任务的方法是使用Ubuntu网络安装程序https://www.ubuntu.com/download/alternative-downloads。

这不是一个图形化安装程序。但是在选择完整磁盘加密安装后，它会为您提供明确的磁盘选择。

- ernstkl

- b_laoshi · Accepted Answer

更新 2020-07-16： 这可能不适用于已经远离Ubiquity安装程序的Ubuntu版本（例如Lubuntu，现在使用Calamares），因为其中一些安装程序甚至会停用它们在预安装过程中没有配置的LVM分区，从而使得为系统安装配置的分区不可用。

如何使用LVM和单个加密分区完成此操作

警告

首先，128M对于引导来说太小了！我使用1G。否则，可能会发生这样的情况，您可能会忘记删除旧内核，/boot将被填满，然后您将不得不处理尝试从系统中删除旧内核的痛苦，以便您可以再次使用apt或apt-get。即使有1G，请确保定期删除旧内核。

下面的步骤不适合新手用户。

更新：我已经创建了一个脚本，可以为您执行以下操作以及更多！您只需在安装之前从Live OS运行它即可。您可以在我的博客上找到相关介绍。

从实时操作系统进行预安装

您想在手动分区时设置LUKS和LVM！我在Ubuntu 16.04.2 / 18.04 / 20.04上进行了测试。

从实时操作系统启动Ubuntu，并选择“尝试Ubuntu而不安装”的选项。按照我下面概述的步骤进行操作。假设您要安装到/dev/sdb。

使用您选择的工具对驱动器进行分区：我使用fdisk在msdos分区表上设置了我的分区，如下所示：

其他分区：现有的操作系统 - 我们不关心这些
sdb1：/boot（1G）
sdb2：LUKS分区（剩余的磁盘空间）

设置LUKS

sudo cryptsetup luksFormat --hash=sha512 --key-size=512 --cipher=aes-xts-plain64 --verify-passphrase /dev/sdb2
sudo cryptsetup luksOpen /dev/sdb2 CryptDisk
虽然不是必需的，但最好用零填充您的LUKS分区，以便在加密状态下，分区中填充随机数据。sudo dd if=/dev/zero of=/dev/mapper/CryptDisk bs=4M 注意，这可能需要很长时间！

在/dev/mapper/CryptDisk上设置LVM

sudo pvcreate /dev/mapper/CryptDisk
sudo vgcreate vg0 /dev/mapper/CryptDisk
sudo lvcreate -n swap -L 2G vg0
sudo lvcreate -n root -L 10G vg0
sudo lvcreate -n home -l +100%FREE vg0

从现有操作系统安装

现在您已经准备好进行安装了。当您到达安装的“安装类型”部分时，请选择“其他选项”。然后手动分配/dev/mapper/vg0-*分区，按照您希望进行配置的方式进行分配。不要忘记将/dev/sdb1设置为/boot。/boot分区不能加密。如果加密了，我们将无法启动。将“引导加载程序安装设备”更改为/dev/sdb，并继续安装。
安装完成后，不要重新启动！选择“继续测试”选项。

安装后从实时操作系统进行配置

如果您希望系统能够启动，这一步非常重要！我花了很多时间研究这个问题，以找出这些安装后的步骤。在我的情况下，我实际上是因为想要自定义 /dev/sda 上 /boot 的大小，但所有这些工作也适用于您的情况。

在终端中，输入以下命令并查找/dev/sdb2的UUID。记下该UUID以备后用。

sudo blkid | grep LUKS

我的机器上重要的一行是 /dev/sdb2: UUID="bd3b598d-88fc-476e-92bb-e4363c98f81d" TYPE="crypto_LUKS" PARTUUID="50d86889-02"

接下来，让我们重新挂载新安装的系统，以便进行更多的更改。

sudo mount /dev/vg0/root /mnt sudo mount /dev/vg0/home /mnt/home # 这可能不是必需的 sudo mount /dev/sdb1 /mnt/boot sudo mount --bind /dev /mnt/dev # 我不确定这是否是必需的 sudo mount --bind /run/lvm /mnt/run/lvm （仅适用于使用EFI的情况）：sudo mount /dev/sd*/your/efi/partition /mnt/boot/efi

现在运行 sudo chroot /mnt 以访问已安装的系统

从chroot中，再挂载一些东西

mount -t proc proc /proc mount -t sysfs sys /sys mount -t devpts devpts /dev/pts

设置crypttab。使用您喜欢的文本编辑器创建文件/etc/crypttab，并添加以下行，将UUID更换为您磁盘的UUID。

CryptDisk UUID=bd3b598d-88fc-476e-92bb-e4363c98f81d none luks,discard

最后，重新构建一些引导文件。

update-initramfs -k all -c - update-grub

重新启动，系统应该要求输入密码以解密启动！

特别感谢Martin Eve、EGIDIO DOCILE和blog.botux.fr的教程。通过参考他们的帖子并进行一些额外的故障排除，我终于能够弄清楚这个问题。

我尝试了很多次，一次又一次地失败了。根据错误信息，我不得不自己解决的部分是sudo mount --bind /run/lvm /mnt/run/lvm。