Як зробити попереднє шифрування лише кореневого розділу?

У мене є 3 розділи: EFI ( /boot/efi), boot ( /boot) і root ( /). Я хочу просто зашифрувати /. Я можу це зробити вручну через інсталятор, але я хочу його попередньо.

Як це визначити? Мій (незашифрований) рецепт виглядає приблизно так, як наведено нижче. Це щось із суперечливих пропозицій щодо розділів системи EFI, які я знайшов (я не знайшов чіткого керівництва).

boot-root ::
  100 100 100 fat32
    $primary
    $iflabel{ gpt }
    $reusemethod( }
    use_filesystem{ } filesystem{ vfat }
    method{ efi } format{ }
    mountpoint{ /boot/efi }
  .
  300 300 300 ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ /boot }
  .
  100% 3000 100% ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ / }
  .

Як я можу зробити sda3фізичний розділ для шифрування LUKS, а потім мати файлову систему поверх цього?

ОНОВЛЕННЯ:

Я виявив, що я можу встановити розділ як криптовалюту, як показано нижче, але все ще є три проблеми:

1. Мені ще потрібно створити та активувати зашифровані томи на обраному розділі
2. Мені ще потрібно встановити правильну файлову систему ext4 на зашифрованому томі після створення та активації
3. Рецепт не вибирає тип шифрування dm-crypt, необхідний для створення та активації зашифрованих томів.

Ще сильно борються

boot-root ::
  100 100 100 fat32
    $primary
    $iflabel{ gpt }
    $reusemethod( }
    use_filesystem{ } filesystem{ vfat }
    method{ efi } format{ }
    mountpoint{ /boot/efi }
  .
  300 300 300 ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ /boot }
  .
  100% 3000 100% ext4
    method{ crypto } format{ }
  .

Спочатку відкрийте кореневий термінал:

sudo -i

Потім заповніть розділ, який повинен бути зашифрований, випадковими даними, використовуючи таку команду:

openssl enc -aes-256-ctr -pass pass:"$(dd if=/dev/urandom bs=128 count=1 2>/dev/null | base64)" -nosalt < /dev/zero > /dev/sdxy

Ви повинні замінити sdxyрозділ, який буде зашифрований. Потім введіть

cryptsetup luksFormat --cipher twofish-xts-plain64 --key-size 512 --hash sha512 --iter-time 2000 /dev/sdxy

для шифрування розділу sdxy. Відкрийте гучність і назвіть її root:

cryptsetup luksOpen /dev/sdxy root

Використовуйте цю команду для створення файлової системи ext4 всередині неї:

mkfs.ext4 /dev/mapper/root

Далі ви можете запустити інсталятор. Вибираючи "Щось інше", коли вас запитують, що ви хочете зробити. Потім виберіть точки монтажу для всіх ваших незашифрованих розділів. Для свого rootрозділу виберіть /dev/mapper/root, натисніть "Змінити". Потім виберіть ext4тип файлової системи та встановіть значення монтажу /. Потім натисніть «Встановити зараз» і встановіть Ubuntu нормально.

Закінчивши встановлення, натисніть «Продовжити тестування». Відкрийте термінал і введіть:

sudo -i
cd /mnt
mkdir root
mount /dev/mapper/root root
mount /dev/sdyz root/boot

sdyzмає бути замінено вашим bootрозділом. Далі введіть:

chroot root
mount -t proc proc /proc
mount -t sysfs sys /sys
nano /etc/crypttab

Відкрийте другий термінал і введіть sudo blkid. Знайдіть UUID для root(той, що пише crypto_luksв кінці) і вставте його /etc/crypttab. Тоді файл /etc/crypttabповинен виглядати приблизно так:

root UUID=d68911dd-172a-4608-86d4-084eb72f409c none luks

Закрийте файл Ctrl+ x, yі Enter. Введіть nano /etc/fstabтермінал і перевірте, чи все виглядає правильно (наприклад, UUID).

Нарешті, вийдіть із середовища chroot та введіть:

cryptsetup luksHeaderBackup /dev/sdxy --header-backup-file /root/root.img

Це додає зображення заголовка зашифрованого розділу в папку /rootі називає його root.img. Потім перемістіть зображення на зовнішній диск (у разі забуття пароля). Тепер ви можете перезавантажити ваш недавно встановлений Ubuntu.

Джерело: http://thesimplecomputer.info/full-disk-encryption-with-ubuntu