Raspberry Pi 4 和 Ubuntu Desktop 20.10 上的 LUKS 磁盘加密

Question

使用为 Raspberry Pi 4（64 位 ARM）预安装的 Ubuntu Desktop 20.10 磁盘映像，您在安装系统时没有使用 LUKS 加密磁盘的选项，就像使用基于 x86 USB 的安装程序一样.

作为参考，我按照此处的说明将系统安装到外部 SSD：https : //ubuntu.com/tutorials/how-to-install-ubuntu-desktop-on-raspberry-pi-4#1-overview

总而言之，我对安装非常满意，但我更希望能够加密整个驱动器。我不想费心去弄清楚如何只加密主文件夹，所以如果有人知道如何在安装操作系统时使用 LUKS 加密 20.10 安装，我会很感激听到你是如何做到的。谢谢！

Answer 1

编辑：我读错了原来的问题，但一切仍然适用。下面的使用/dev/mmcblk0p2是安装到microSD卡上。要安装到外部 SSD/HD，设备可能是/dev/sda2. 编辑时使用适当的设备cmdline.txt，crypttab并通过 首次启动(initramfs)。

最新的 Ubuntu 映像包含 cryptsetup，因此您可以使用台式电脑将“可写”（根）分区转换为 LUKS。我从20.10 64 位服务器映像开始。

1. 准备好 SD 卡，但不要安装到 RPi 中。将其保存在您的台式电脑上。

2. 卸载 SD 卡（/dev/sdc2 是我的“可写”（根）分区 - 你的可能不同）。

   sudo umount /dev/sdc2
   

3. 检查分区：sudo e2fsck -f /dev/sdc2

4. 缩小分区：sudo resize2fs -M /dev/sdc2

5. 加密分区（RPi没有硬件AES支持，Adiantum似乎表现更好）...

   sudo cryptsetup-reencrypt --new --reduce-device-size=16M --type=luks2 -c xchacha12,aes-adiantum-plain64 -s 256 -h sha512 --use-urandom /dev/sdc2
   

6. 解密LUKS分区：sudo cryptsetup luksOpen /dev/sdc2 rootfs

7. 展开分区：sudo resize2fs /dev/mapper/rootfs

8. 挂载分区：sudo mkdir mnt; sudo mount /dev/mapper/rootfs mnt;

9. 编辑etc/crypttab...sudo vim mnt/etc/crypttab

   • 添加rootfs /dev/mmcblk0p2 none luks

10. 编辑etc/fstab...sudo vim mnt/etc/fstab

    • 将第一行更改为/dev/mapper/rootfs / ext4 defaults,noatime 0 0

11. 在系统引导分区上，编辑cmdline.txt...

    • 改成root=LABEL=writable​root=/dev/mapper/rootfs
    • 删除splash（因此它会在启动时提示输入密码）
    • 添加cryptdevice=/dev/mmcblk0p2:sdcard到行尾

12. 它应该看起来像这样......

    dwc_otg.lpm_enable=0 console=serial0,115200 console=tty1 root=/dev/mapper/rootfs rootfstype=ext4 elevator=deadline rootwait fixrtc quiet cryptdevice=/dev/mmcblk0p2:sdcard
    

13. 卸下 microSD 卡并将其安装到 Raspberry Pi 中。它将无法启动并进入（initramfs），因为initramfs尚未更新。

14. 从 initramfs 手动解密：(initramfs) cryptsetup luksOpen /dev/mmcblk0p2 rootfs

15. 继续启动：(initramfs) exit

16. 登录 (ubuntu/ubuntu) 并更新 initramfs：sudo update-initramfs -u

17. 重启：sudo reboot

它应该重新启动，提示输入密码，然后启动操作系统。