如何使用多个密码来解锁一个加密分区？

Question

我正在使用 Ubuntu 15.10 并使用安装期间显示的默认分区工具加密我的分区。现在，我希望能够将我的笔记本电脑交给其他人，而无需解密我的驱动器，也无需向他提供我的密码。我已经为他准备了第二个用户，但他甚至没有达到您可以自己登录的程度，因为他无法对驱动器进行加密。那么是否有可能有 2 个用于加密的密钥？

Answer 1

是的，LUKS 支持多个钥匙槽（总共 8 个），它们都可以解锁万能钥匙。

请参阅cryptsetup有关如何管理 LUKS 密钥槽的联机帮助页。例如，如果您的 LUKS 分区是 /dev/sda2，则：

sudo cryptsetup luksAddKey /dev/sda2

当你在做的时候，也可以考虑提供一个--iter-time N（N是以毫秒为单位的时间）选项来降低暴力破解密钥槽的风险。例如 2 秒的哈希时间：

sudo cryptsetup --iter-time 2000 luksAddKey /dev/sda2

列出您当前的键槽：

sudo cryptsetup luksDump /dev/sda2

首先添加一个新的密钥槽也是我建议更改当前密码短语的方式。首先按照上述说明添加一个新密码，重新启动，验证新密码有效（您永远不知道键盘布局不匹配等），然后删除旧的键槽。

sudo cryptsetup luksRemoveKey /dev/sda2

然后，系统会要求您提供要删除的密码。

如果您想在不提供当前密码的情况下删除密钥槽，您可以使用luksKillSlot，但要非常小心并确保提供正确的槽 ID。