Eu instalei recentemente o servidor ubuntu 11.04 com a criptografia lvm completa (instalada a partir da instalação). Desejo agora usar um arquivo de chave para desbloquear automaticamente. Eu tentei seguir este guia http://ubuntuforums.org/showthread.php?t=837416

Eu gerei uma chave com este comando: sudo dd if=/dev/urandom of=/boot/grub/keyfile bs=1024 count=4

eu coloquei /boot/grubporque acho que não é criptografado. Quando tento adicionar a chave com essa vírgula, sudo cryptsetup luksAddKey /dev/sdX /boot/grub/keyfile ele me pede a frase secreta e, quando coloco que nada acontece, nada é impresso na tela! Eu o ignoro e continuo os outros passos e reinicializo, mas nada aconteceu e ele pede a senha.

Obrigado pela ajuda .

Acabei de passar por isso no meu novo servidor doméstico, demorou muito tempo pesquisando e adivinhando, mas consegui funcionar. Vou tentar reproduzir as etapas aqui. Estou usando o Ubuntu Server 11.10 e comecei com uma instalação praticamente padrão usando LVM criptografado, então vou relatar as alterações que fiz a partir daí.

Configuração:

• / dev / sda1 é minha partição / boot não criptografada
• / dev / sda5 é minha partição lvm que contém todo o resto - root, swap e home
• / dev / sdc1 é a partição da minha unidade flash USB onde armazenarei o arquivo de chave

Primeiro, criei um arquivo de chave, apenas no meu diretório pessoal:

dd if=/dev/urandom of=keyfile bs=512 count=4

(você pode usar um tamanho de bloco maior ou contar para uma chave maior)

Informe ao cryptsetup a nova chave (é o conteúdo que é importante, não o nome do arquivo):

sudo cryptsetup luksAddKey /dev/sda5 keyfile

Em seguida, formatei minha unidade flash USB com ext2 e dei uma etiqueta. Usei uma etiqueta, para que posteriormente possa montá-la por etiqueta e substituir a unidade flash USB, caso algo dê errado.

sudo mkfs -t ext2 /dev/sdc1
sudo e2label /dev/sdc1 KEYS

(é claro, seu dispositivo varia)

Agora, copie o arquivo de chave na unidade flash USB, de propriedade do modo raiz 400:

mkdir KEYS
sudo mount /dev/sdc1 KEYS
sudo cp keyfile KEYS
sudo chown root KEYS/keyfile
sudo chmod 400 KEYS/keyfile

Modifique / etc / crypttab. Mina originalmente continha

sd5_crypt UUID=(...) none luks

que eu mudei para

sd5_crypt UUID=(...) /dev/disk/by-label/KEYS:/keyfile luks,keyscript=/lib/cryptsetup/scripts/passdev

Por fim, atualize o initramfs:

sudo update-initramfs -uv

Agora ele é inicializado usando o arquivo de chave na unidade flash USB. Se eu remover a unidade flash (por exemplo, quando vou de férias), ela não inicializa e meus dados estão seguros.

Se alguém souber como solicitar a senha, se a unidade flash USB estiver ausente, isso seria útil como alternativa. Espero que isso ajude, quaisquer acréscimos ou correções seriam mais que bem-vindos!

Essas instruções de howtoforge.com me colocaram em funcionamento com um volume de descriptografia automática.

Como desbloquear automaticamente as unidades criptografadas LUKS com um arquivo de chave

Etapa 1: criar um arquivo-chave aleatório

sudo dd if=/dev/urandom of=/root/keyfile bs=1024 count=4

Etapa 2: Tornar o arquivo de chave somente leitura como root

sudo chmod 0400 /root/keyfile

Isso tornará o arquivo-chave legível apenas pela raiz. Se alguém tiver acesso a esse arquivo de chave, você terá um problema maior no seu computador.

Alternativamente, mostre seu arquivo de chave desejado para root: root e mova-o para a pasta / root

Etapa 3: adicione o arquivo de chave ao LUKS

Os dispositivos habilitados para LUKS / dm_crypt podem conter até 10 arquivos-chave / senhas diferentes. Portanto, além de ter a senha já configurada, adicionaremos esse arquivo de chave como método de autorização adicional.

sudo cryptsetup luksAddKey /dev/sdX /root/keyfile

O sdX é obviamente o seu dispositivo LUKS.

Primeiro, você será solicitado a inserir uma senha (existente) para desbloquear a unidade. Se tudo funcionar bem, você deve obter uma saída como esta:

Enter any LUKS passphrase:
key slot 0 unlocked.
Command successful.

Etapa 4: criar um mapeador

Os dispositivos LUKS precisam criar um mapeador que possa ser referenciado no fstab. Abra o / etc / crypttab

sudo nano /etc/crypttab

e adicione uma linha como esta:

sdX_crypt      /dev/sdX  /root/keyfile  luks

ou você pode usar o UUID do dispositivo:

sdX_crypt      /dev/disk/by-uuid/247ad289-dbe5-4419-9965-e3cd30f0b080  /root/keyfile  luks

sdX_crypt é o nome do mapeador que está sendo criado. Você pode usar aqui qualquer nome, por exemplo, "música" ou "filmes" ou "sfdsfawe" ....

Salve e feche o arquivo emitindo ctrl-x, enter, enter. Ctrl-x fecha o nano, mas primeiro ele pede para salvar o arquivo [yes = enter] e qual deve ser o nome [mesmo nome = enter].

O que fizemos lá na verdade é dizer que / root / keyfile deve ser usado em vez da entrada de senha para desbloquear a unidade.

Etapa 5: montar o dispositivo no fstab

Agora, temos um dispositivo desbloqueado (bem, ainda não, mas quando o sistema está sendo inicializado) e só precisamos montá-lo agora. Abra o / etc / fstab:

sudo nano /etc/fstab

e adicione uma nova entrada como:

/dev/mapper/sdX_crypt  /media/sdX     ext3    defaults        0       2

Verifique se você possui o nome correto do mapeador que você adicionou na etapa 4. Verifique também se o ponto / pasta de montagem existe. Depois de adicioná-lo, salve novamente o arquivo e feche-o (ctrl-x, enter, enter).

Etapa 6: reiniciar ou remontar

É isso aí. Agora você pode reiniciar e os dispositivos adicionais devem ser desbloqueados e montados automaticamente. Você também pode testá-lo remontando todos os dispositivos:

sudo mount -a

Melhorando a resposta de Randy Orrison , aqui está um pequeno script que eu criei, que fará o sistema recuar ao pedir uma senha ao usuário se ele não encontrar o arquivo de chave.

#!/bin/sh

ask_for_password () {
    cryptkey="Unlocking the disk $cryptsource ($crypttarget)\nEnter passphrase: "
    if [ -x /bin/plymouth ] && plymouth --ping; then
        cryptkeyscript="plymouth ask-for-password --prompt"
        cryptkey=$(printf "$cryptkey")
    else
        cryptkeyscript="/lib/cryptsetup/askpass"
    fi
    $cryptkeyscript "$cryptkey"
}

device=$(echo $1 | cut -d: -f1)
filepath=$(echo $1 | cut -d: -f2)

# Ask for password if device doesn't exist
if [ ! -b $device ]; then
    ask_for_password
    exit
fi

mkdir /tmp/auto_unlocker
mount $device /tmp/auto_unlocker

# Again ask for password if device exist but file doesn't exist
if [ ! -e /tmp/auto_unlocker$filepath ]; then
    ask_for_password
else
    cat /tmp/auto_unlocker$filepath
fi

umount /tmp/auto_unlocker

Salvar-lo e substituí- keyscript=/lib/cryptsetup/scripts/passdevnos /etc/crypttabcom o caminho para esse arquivo e executar sudo update-initramfs -uve está feito.

@deitch Eu tinha a mesma configuração como @Randy Orrison e me deparei com o mesmo problema que você e, ao que parece, é um bug do systemd que tenta montar o sistema de arquivos / novamente ao encontrar a entrada correspondente em / etc / crypttab.

Para resolver isso, apenas removi a entrada para sda5_crypt de / etc / crypttab depois que o comando update-initramfs -uv foi executado.

Reinicie e tudo funciona bem conforme o esperado.