双启动 Ubuntu（使用 LUKS、TPM）和 Windows 10（使用 BitLocker）

Question

我正在寻找一种在单个硬盘上双启动 Ubuntu 和 Windows 10 的方法：

Ubuntu 上的 LUKS + TPM，带有预启动密码

Windows 10 上的 BitLocker + TPM，具有预启动 PIN/密码

这可能吗？

Answer 1

这是一个很棒的问题，实际上我已经考虑这样做有一段时间了。

最终还是决定尝试一下，而且看起来效果还不错。

（为此，我使用了最新版本的Ubuntu Desktop和Windows 10 v.1903 。）

虽然我不确定 BitLocker 的系统驱动器加密是否可以与 Linux 的 dm-crypt/LUKS 加密配合良好，但VeraCrypt可能是 BitLocker 更理想的替代方案，因为它是开源的。我自己更喜欢 VeraCrypt 而不是 BitLocker，但理论上，无论您使用哪种途径，该过程都应该是相同的。

请记住，必须禁用 UEFI 安全启动才能使其工作。如果选择使用 BitLocker，则可能必须在 gpedit.msc 中启用预启动身份验证，以允许使用 PIN 或密码解锁 BitLocker 加密的系统。这可能意味着不使用 TPM。（老实说，这对我来说效果很好；我会尝试看看是否可以使用 TPM，但我对当前的设置很满意。）

不管怎样，经过一些纸上谈兵的研究，我自己尝试了这一点，我在 linuxquestions.org 论坛上发现了baderaj 的一篇帖子……唯一需要注意的是引导分区将是未加密的。对于大多数用途来说，这应该没问题。（Baderaj 引用了 TrueCrypt，但由于它早已被 VeraCrypt 废弃，并且不再开发，所以我建议在这里使用 VeraCrypt。）

基本上，他们的解决方案是让 Grub 引导加载程序具有指向 LUKS 加密的 Linux 分区的引导菜单项，以及 Windows 分区上的 VeraCrypt 引导加载程序。

TL;DR：逐步涉及以下内容：

1. 将未加密的 Windows 安装到单个分区（在驱动器上为 Linux 的第二个分区留出一些空间）。
2. 使用磁盘的剩余可用空间将 Linux 安装为 LUKS 加密分区。
3. 使用 VeraCrypt 加密 Windows 系统分区（替换 grub 的 MBR）。
4. 复制包含新安装的 VeraCrypt 引导加载程序的 MBR。
5. 将 grub 重新安装到 MBR（替换您复制的 VeraCrypt 的 MBR）。
6. 添加指向之前复制的 TrueCrypt 引导加载程序的 grub 引导加载程序菜单项。
7. 此时，您应该能够使用 grub 引导至 LUKS 加密的 Linux 分区或 VeraCrypt 加密的 Windows 分区。

如果您有兴趣遵循此方法，请务必通读Baderaj 的帖子。

如果您确实成功使用 BitLocker 而不是 Veracrypt 来实现此目的，请发布您的成功故事。:)