Установка на шифрованный раздел
Содержание
ЗАГОТОВКА СТАТЬИ
Установка
Инсталлятор anaconda. используемый в Роса начиная с платформы rosa2021.1, позволяет создавать шифрованные разделы в том числе можно шифровать и всю корневую ФС, при условии что загрузчики будут вынесены на отдельные разделы.
Для установки с шифрованным корнем делаем следующую разбивку:
Раздел 1
- Размер - 100-200 Мb
- FS - vfat, флаг esp (если разбивка в анаконде достаточно указать тип)
- Точка монтирования - /boot/efi
Раздел 2
- Размер - 500-1000 Mb (для установки хватит и 300, но для обновления initrd уже недостаточно)
- FS: ext4
- Точка монтирования - /boot
Раздел 3
- Размер - от 10 Gb
- FS - любая с поддержкой юникс прав, например ext4
- Точка монтирования - /
- Вот для этого раздела включаем шифрование LUKS2
Дальнейшая установка не отличается ничем. Во время загрузки ОС после выбора пункта загрузки в меню граба на этапе initrd у вас будет запрашиваться пароль. Прямо поверх заставки plymouth. Описания там нет нужно вводить пароль от корневого LUKS2 раздела.
Загрузка без ввода пароля
Как вы уже заметили загрузчики остаются на открытых разделах, чтобы защитить машину от взлома путем внесения изменений на этих разделах необходимо устанавливать пароль для UEFI. Но это приведет к тому, что для загрузки вам нужно будет вводить уже два пароля, а если еще отключен автологин то уже три. Однако есть способ загружать машину без ввода пароля LUKS не теряя при этом в безопасности.
Все современные x86_64 машины, примерно с 16го года оснащаются модулем tpm2, который можно использовать для разблокировки раздела LUKS. Утрируя можно объяснить идею так: ключ от LUKS вместо вас вводит машина. Таким образом изъятый носитель расшифровать не получится потому что ключ в машине, а машину загрузить не получится потому-что пароль на загрузку UEFI.
Есть два способа использования tpm2 для авторазблокировки корневого раздела LUKS для Linux.
- c использованием фреймворка clevis
- c systemd-cryptenroll.
Оба доступны для ОС Роса платформы rosa2021.1 и новее. Для их использования подготовлены специальные пакеты с упрощающие настройку:
luksunlock-systemd luksunlock-clevis
Можно выбрать любой либо устанавливать luksunlock и система выберет лучший вариант.
В консоли с правами root в системе установленной в LUKS раздел выполните:
dnf install luksunlock -y luksunlock
Далее следуйте указаниям утилиты, в простейшем случае понадобится только ввести пароль для LUKS раздела. После завершения работы утилиты пароль LUKS при загрузке более запрашиваться не будет.
Для того чтобы отключить авторазблокировку корневого раздела LUKS:
lukslock
