J'ai récemment installé le serveur ubuntu 11.04 avec le cryptage lvm complet (installé à partir de la configuration). Je souhaite maintenant utiliser un fichier clé pour faire un déverrouillage automatique. J'ai essayé de suivre ce guide http://ubuntuforums.org/showthread.php?t=837416

J'ai généré une clé avec cette commande: sudo dd if=/dev/urandom of=/boot/grub/keyfile bs=1024 count=4

je l'ai inséré /boot/grubparce que je pense qu'il n'est pas crypté. Lorsque j'essaie d'ajouter la clé avec cette commande, sudo cryptsetup luksAddKey /dev/sdX /boot/grub/keyfile elle me demande la phrase secrète et quand je la mets, rien ne se passe, rien n'est imprimé à l'écran! Je l'ignore et continue les autres étapes et redémarre mais rien ne s'est passé et il demande la phrase secrète.

Merci pour l'aide .

Je viens de vivre cela sur mon nouveau serveur domestique, cela a pris beaucoup de recherches et de recherches, mais je l'ai fait fonctionner. Je vais essayer de reproduire les étapes ici. J'utilise Ubuntu Server 11.10 et j'ai commencé avec une installation à peu près standard en utilisant LVM chiffré, donc je vais simplement relier les modifications que j'ai apportées à partir de là.

Installer:

• / dev / sda1 est ma partition / boot non chiffrée
• / dev / sda5 est ma partition lvm qui contient tout le reste - root, swap et home
• / dev / sdc1 est la partition sur ma clé USB où je vais stocker le fichier de clés

Tout d'abord, j'ai créé un fichier clé, juste dans mon répertoire personnel:

dd if=/dev/urandom of=keyfile bs=512 count=4

(vous pouvez utiliser une taille de bloc plus grande ou compter pour une clé plus grande)

Dites à cryptsetup la nouvelle clé (c'est le contenu qui est important, pas le nom de fichier):

sudo cryptsetup luksAddKey /dev/sda5 keyfile

Ensuite, j'ai formaté ma clé USB avec ext2 et lui ai donné une étiquette. J'ai utilisé une étiquette, afin que plus tard je puisse la monter par étiquette et remplacer la clé USB en cas de problème.

sudo mkfs -t ext2 /dev/sdc1
sudo e2label /dev/sdc1 KEYS

(bien sûr, votre appareil variera)

Maintenant, copiez le fichier de clés sur le lecteur flash USB, appartenant au mode racine 400:

mkdir KEYS
sudo mount /dev/sdc1 KEYS
sudo cp keyfile KEYS
sudo chown root KEYS/keyfile
sudo chmod 400 KEYS/keyfile

Modifiez / etc / crypttab. Mine contenue à l'origine

sd5_crypt UUID=(...) none luks

que j'ai changé en

sd5_crypt UUID=(...) /dev/disk/by-label/KEYS:/keyfile luks,keyscript=/lib/cryptsetup/scripts/passdev

Enfin, mettez à jour les initramfs:

sudo update-initramfs -uv

Il démarre maintenant à l'aide du fichier de clés sur la clé USB. Si je retire la clé USB (disons, quand je pars en vacances), elle ne démarre pas et mes données sont sécurisées.

Si quelqu'un sait comment l'obtenir pour demander la phrase secrète si le lecteur flash USB est manquant, ce serait pratique comme solution de rechange. J'espère que cela vous aidera, tout ajout ou correction serait plus que bienvenu!

Ces instructions de howtoforge.com m'ont permis de démarrer avec un volume de décryptage automatique.

Comment: déverrouiller automatiquement des lecteurs chiffrés LUKS avec un fichier de clés

Étape 1: créer un fichier de clés aléatoire

sudo dd if=/dev/urandom of=/root/keyfile bs=1024 count=4

Étape 2: rendre le fichier de clés en lecture seule pour root

sudo chmod 0400 /root/keyfile

Cela rendra le fichier clé lisible uniquement par root. Si quelqu'un a accès à ce fichier de clés, vous avez quand même un problème plus important sur votre ordinateur.

Vous pouvez également afficher votre fichier de clés souhaité dans root: root et le déplacer dans le dossier / root

Étape 3: ajouter le fichier de clés à LUKS

Les appareils compatibles LUKS / dm_crypt peuvent contenir jusqu'à 10 fichiers / mots de passe différents. Donc, à côté du mot de passe déjà configuré, nous allons ajouter ce fichier de clés comme méthode d'autorisation supplémentaire.

sudo cryptsetup luksAddKey /dev/sdX /root/keyfile

sdX est bien sûr votre appareil LUKS.

Vous serez d'abord invité à entrer un mot de passe (existant) pour déverrouiller le lecteur. Si tout fonctionne bien, vous devriez obtenir une sortie comme celle-ci:

Enter any LUKS passphrase:
key slot 0 unlocked.
Command successful.

Étape 4: créer un mappeur

Les périphériques LUKS doivent créer un mappeur qui peut ensuite être référencé dans le fstab. Ouvrez / etc / crypttab

sudo nano /etc/crypttab

et ajoutez ensuite une ligne comme celle-ci:

sdX_crypt      /dev/sdX  /root/keyfile  luks

ou vous pouvez utiliser l'UUID de l'appareil:

sdX_crypt      /dev/disk/by-uuid/247ad289-dbe5-4419-9965-e3cd30f0b080  /root/keyfile  luks

sdX_crypt est le nom du mappeur en cours de création. Vous pouvez utiliser ici n'importe quel nom, par exemple "musique" ou "films" ou "sfdsfawe" ....

Enregistrez et fermez le fichier en tapant ctrl-x, entrez, entrez. Ctrl-x ferme nano mais demande d'abord d'enregistrer le fichier [yes = enter] et quel doit être le nom [same name = enter].

Ce que nous avons fait là-bas, c'est que / root / keyfile doit être utilisé à la place de l'entrée de mot de passe pour déverrouiller le lecteur.

Étape 5: Montez l'appareil dans fstab

Maintenant, nous avons un appareil déverrouillé (enfin, pas encore mais au démarrage du système) et nous avons juste besoin de le monter maintenant. Ouvrez / etc / fstab:

sudo nano /etc/fstab

et ajoutez une nouvelle entrée comme:

/dev/mapper/sdX_crypt  /media/sdX     ext3    defaults        0       2

Assurez-vous que vous avez le nom de mappeur correct que vous avez ajouté à l'étape 4. Assurez-vous également que le point / dossier de montage existe. Après l'avoir ajouté, enregistrez à nouveau le fichier et fermez-le (ctrl-x, entrez, entrez).

Étape 6: redémarrer ou remonter

C'est ça. Vous pouvez maintenant redémarrer et les appareils supplémentaires doivent être déverrouillés et montés automatiquement. Vous pouvez également le tester en remontant tous les appareils:

sudo mount -a

Améliorant la réponse de Randy Orrison , voici un petit script que j'ai créé, qui fera que le système se rabattra sur la demande de mot de passe à l'utilisateur s'il ne trouve pas le fichier clé.

#!/bin/sh

ask_for_password () {
    cryptkey="Unlocking the disk $cryptsource ($crypttarget)\nEnter passphrase: "
    if [ -x /bin/plymouth ] && plymouth --ping; then
        cryptkeyscript="plymouth ask-for-password --prompt"
        cryptkey=$(printf "$cryptkey")
    else
        cryptkeyscript="/lib/cryptsetup/askpass"
    fi
    $cryptkeyscript "$cryptkey"
}

device=$(echo $1 | cut -d: -f1)
filepath=$(echo $1 | cut -d: -f2)

# Ask for password if device doesn't exist
if [ ! -b $device ]; then
    ask_for_password
    exit
fi

mkdir /tmp/auto_unlocker
mount $device /tmp/auto_unlocker

# Again ask for password if device exist but file doesn't exist
if [ ! -e /tmp/auto_unlocker$filepath ]; then
    ask_for_password
else
    cat /tmp/auto_unlocker$filepath
fi

umount /tmp/auto_unlocker

Enregistrer et remplacer keyscript=/lib/cryptsetup/scripts/passdevdans /etc/crypttable chemin de ce fichier et lancez sudo update-initramfs -uvet vous avez terminé.

@deitch J'ai eu la même configuration que @Randy Orrison et j'ai rencontré le même problème que vous et il s'avère que c'est un bogue de systemd qui essaie de monter à nouveau le système de fichiers / car il trouve l'entrée correspondante dans / etc / crypttab.

Pour résoudre ce problème, je viens de supprimer l'entrée de sda5_crypt de / etc / crypttab une fois que la commande update-initramfs -uv a été exécutée.

Redémarrez et tout fonctionne bien comme prévu.