无需解密 LUKS 分区即可重新启动？

Question

有没有办法kexec重新启动正在运行的内核而不必解密加密的 LUKS 根文件系统？

我想不会，但我不确定是否有解决方法。

Answer 1

由于 grub2 支持解密 LUKS 加密卷，因此我假设您的/boot分区也已加密。这也阻止了一些邪恶女仆的攻击。

如果是这种情况，您可以安全地拥有一个可以解密 initramfs 内的卷的密钥。现在，当 kexec 将 initramfs 加载到 ram 中时，它将能够在加载新内核时解密您的分区。

因为本指南在 initramfs 内部设置了 luks 密钥文件，这也解决了必须输入两次密钥短语的问题（第一次在 grub 中，第二次在 initramfs 加载时）。