在 Linux 中使用无密码身份验证的全盘加密

Question

我在 Debian 5.0.5 中有一个相当标准的磁盘加密设置：未加密的/boot分区和sdaX_crypt包含所有其他分区的加密。

现在，这是一个无头服务器安装，我希望能够在没有键盘的情况下启动它（现在我只能在连接了键盘和显示器的情况下启动它）。

到目前为止，我已经有了将/boot分区移动到 USB 驱动器的想法，并稍作修改以自动输入密钥（我认为askpass在某个地方的引导脚本中只是调用了）。这样我就可以无头启动，只需要在启动时有一个闪存驱动器。

在我看来，它的问题在于

1. 我需要花时间弄清楚所有的点点滴滴才能让它发挥作用，
2. 如果有更新，重新生成initrd，我需要在USB上重新生成引导分区，这看起来很乏味。

问题：是否有标准的低维护解决方案可用于我想做的事情？还是我应该完全去别处寻找？

Answer 1

您可以将系统设置为需要密钥而不是密码，并更改一些脚本以在 U 盘上搜索此密钥。我在 Debian Lenny 上找到了有关此过程的详细说明。最后有一些注释描述了新版本 Debian 的必要更改。

Answer 2

但是，如果您只是将密钥以明文形式存在，那么进行全盘加密有什么意义呢？

为此，在 Microsoft 和 Big Media 出于他们自己邪恶的用户压制目的而劫持可信计算平台之前，您需要类似于可信计算平台应该具备的功能。

这个想法是在主板上有一个芯片来保存密钥，并且只有在验证运行的软件由受信任的机构（您）正确签名时才让它提供密钥。这样，您就不会将键留在显眼的地方，也不必以交互方式启动服务器。

很遗憾，我从未见过可信计算得到任何良好的使用，它实际上对最终用户很有用。

Answer 3

Mandos（我和其他人写的）解决了这个问题：

Mandos 是一个允许具有加密根文件系统的服务器在无人值守和/或远程重启的系统。有关更多信息，包括常见问题列表，请参阅介绍手册页。

简而言之，启动服务器以安全的方式通过网络获取密码。有关详细信息，请参阅自述文件。