Tuxonice и зашифрованый swap

cat /etc/crypttab
Насколько мне известно, по-умолчанию Ubuntu предлагает шифруемый из /dev/urandom swap, чтобы не вводить пароль, при этом гибернация не работает вовсе.

psh@psh-laptop:~$ cat /etc/crypttab

cryptswap1 /dev/sda1 /dev/urandom swap,cipher=aes-cbc-essiv:sha256

И правда, /dev/urandom. Это лечится?

В дебиане инсталлер предлагает использовать LVM поверх шифрованного физического раздела, это решает проблему восстановления из свапа.

А как оно сказывается на быстродействии? Вроде бы LVM сам по себе снижает скорость чтения-записи,а тут еще и шифрование.

/dev/urandom swap,cipher=aes-cbc-essiv:sha256

Так и есть.
Попробуйте:
swapoff /dev/mapper/cryptswap1
cryptsetup remove cryptswap1
cryptsetup luksFormat /dev/sda1 # ввод пароля
cryptsetup luksOpen /dev/sda1 cryptswap1
mkswap /dev/mapper/cryptswap1

А в crypttab запишите:
cryptswap1 UUID=<uuid, который появится у раздела /dev/sda1> none luks,swap

А в /etc/initramfs-tools/conf.d/resume:
RESUME=/dev/mapper/cryptswap1

И перегенерируйте initramfs. TuxOnIce здесь будет ни при чём (пробовал найти про гибернацию с tuxonice на зашифрованный раздел, не нашёл), но это хотя бы должно работать.

У меня luks поверх lvm, ничего не тормозит.

У меня на LVM поверх LUKS оверхед получается на уровне единиц процентов.

Спасибо, все работает - tuxonice усыпляет и будит. Правда для ежедневного использования жестковато, каждой включение два раза пароль вводить. Пойду искать, как это по-человечески делается.

Неправильно ты, post-factum, диск шифруешь, ты luks на lvm кладешь, а надо luks на винт класть, так секурнее будет

Это почему же секурнее?

Посмотрел на два коментария рядом и вспомнил простоквашино, диалог Матроскина и дяди Фёдора:). Кстати, а если серьёзно - есть разница, или нет?

Понятия не имею — я делал наугад :). А соображения у меня было типа такого: «ну если в основе lvm, то рулим всеми разделами, выборочно их шифруя». /boot тоже на lvm, только без шифрования.

/boot тоже на lvm, только без шифрования.

Привет, гипервизор. Ключи тоже в /boot?

ты luks на lvm кладешь, а надо luks на винт класть, так секурнее будет

Это почему же секурнее?

Перемещение логических разделов LVM. Замена паролей LUKS. Старая копия заголовка LUKS. Расположение файловых систем. Гипервизор с клавиатурным шпионом в неразмеченной области LVM. Подмена загрузчика. Подмена незашифрованного логического раздела. Запись компромата в незашифрованный раздел.

Граб2 всё равно с зашифрованного раздела не умеет грузиться.

Граб2 всё равно с зашифрованного раздела не умеет грузиться.

С USB диска умеет. Далее работает initramfs, которое умеет LUKS, LVM, RAID, /usr на отдельном разделе и всё на свете.

Да вот как-то нет желания таскать флешку с собой.

Да вот как-то нет желания таскать флешку с собой.

Пряч под мышиный коврик.

Коврика нету :)).

Сервак что ли? Если да, то да - головная боль. Нужно программно-аппаратное решение, навроде TPM и загрузки по сети. Либо забить на шифрование как на лишнюю бесполезную сущность.

Ноут.

Тогда только ССЗБ, другого выхода нет.