如何创建使用 LUKS 加密的 Live USB Ubuntu？

Question

我将创建一个可启动的 Ubuntu USB 闪存盘，我想知道是否可以使用LUKS加密这个 USB 闪存盘，所以当我启动它以运行 linux 时，在输入我的用户密码之前，它要求输入密码来解密整个闪存磁盘

1. 启动USB
2. 解密密码
3. 用户密码
4. 登录。

请注意，每次启动操作系统时，它都必须实时加载到内存中，我不想安装在外部 USB 驱动器上。提前致谢！

ps 如果不可能，我可以不加密 ./boot 并使用所有系统目录加密文件系统

Answer 1

这是不可能的，因为如果启动卷被加密，BIOS/UEFI 将无法执行启动扇区/启动应用程序。

不过，您可以使用 Ubuntu Live Installer 将 Ubuntu 安装到另一个 USB 记忆棒上作为系统磁盘，并使用 LUKS 加密。缺点是您将失去休眠的能力，因为 Ubiquity 当前创建的交换分区太小，并且还在每次启动时随机化加密密钥，这会消除交换分区的状态。

在第二种情况下，您的启动分区将是未加密的，因此它仍然可以被篡改，即可以将键盘记录器写入其中。您可以通过对启动卷进行签名并使用安全启动来解决这个问题，但随后您必须说服 Microsoft 对您的启动卷进行签名或为您提供签名密钥。祝你好运。

如果您确实担心键盘记录器，请携带自己的 PC，不要使用无线键盘/鼠标，启用安全启动，启动不保留任何状态的 LiveCD 映像，使用 VPN 通过 VPN 连接 VNC/RDP 客户端通过 SSL 连接到您实际保存状态的机器，使用一个强大的、难忘的密码，您永远不会在任何地方记录该密码（请参阅https://xkcd.com/936/以了解这意味着什么。）

这将保护您免受物理访问，它将保护您免受远程访问，并且将使您免遭暴力破解。这会很不方便，因为您并不总是能够访问网络，您将始终必须随身携带硬件，并且您将无法从所携带的硬件中获得良好的价值，因为您仅将其用作瘦客户端，忽略其额外的内存/处理/存储能力。

即使所有这些都无法保护您在打字时免受锁定在键盘上的闭路电视摄像机的侵害，因此您还需要注意周围的环境。

它还可能会增加您大量的移动数据费用。

因此，除非你确实是一个非常肥胖、多汁的目标，很可能会成为那些准备投入资源来攻击你的人的目标，否则我认为你最好避免使用公共互联网终端，携带自己的廉价设备，使用 LUKS 保护它，使用 VPN 或至少 TORBrowser 来保证您的浏览不会被监视。那么您最担心的应该是您是否将设备留在某个地方而被盗，但不用担心他们是否有权访问您的数据。