Монтирование шифрованного диска при загрузке системы

Да способ есть. Самописный initramfs на любом носителе с которого может грузится твой комп в него же можно поместить и ключ для расшифровки.

Вот тут копал?

Про F17: https://lists.fedoraproject.org/pipermail/users/2012-August/423515.html

Про баг и workaround в F18/F19: http://forums.fedoraforum.org/showthread.php?p=1662443

EncryptedFilesystemHowto5

Спасибо всем.

Про F17: https://lists.fedoraproject.org/pipermail/users/2012-August/423515.html

Я только одного не понял здесь:

rd.luks.key=<filename>:<device>

Что в моём случае нужно прописать вместо filename? SD карта у меня /dev/mmcblk0, раздел где лежит файл /dev/mmcblk0p1 - куда раздел должен быть смонтирован при таком раскладе?

см. man dracut.cmdline

keypath is a path to key file to look for. It's REQUIRED. When keypath ends with '.gpg' it's considered to be key encrypted symmetrically with GPG. You will be prompted for password on boot. GPG support comes with 'crypt-gpg' module which needs to be added explicitly.

keydev is a device on which key file resides. It might be kernel name of devices (should start with «/dev/»), UUID (prefixed with «UUID=») or label (prefix with «LABEL=»). You don't have to specify full UUID. Just its beginning will suffice, even if its ambiguous. All matching devices will be probed. This parameter is recommended, but not required. If not present, all block devices will be probed, which may significantly increase boot time.

Так что можно наверное uuid взять, и будет как-то так: rd.luks.key=/key_file:UUID=403C-A34B

Это очень не безопасно. Имеет смысл иметь эту карточку только как дополнительный метод проверки, но не как основной точно.

Хм, а какие есть серьёзные аргументы против этого? Кроме как кража/потеря/поломка карточки?

Ну Вы сами себе аргументы нашли, как я вижу. :) Просто не совсем понятно, зачем использовать шифрование, когда оно так уязвимо из-за карточки становится.

Ну Вы сами себе аргументы нашли, как я вижу. :) Просто не совсем понятно, зачем использовать шифрование, когда оно так уязвимо из-за карточки становится.

Зачем использовать шифрование если оно все равно не поможет против ректального криптоанализа?

А по сабжу: При размерах современных флешек можно разбить так что тот ключик никто и не заметит даже если он будет под самыми глазами лежать. Ну а так или иначе а пароли все равно нужно как то хранить соответственно все равно они уязвимы.

Зачем использовать шифрование если оно все равно не поможет против ректального криптоанализа?

А запятые помогут?

А по сабжу: При размерах современных флешек можно разбить так что тот ключик никто и не заметит даже если он будет под самыми глазами лежать. Ну а так или иначе а пароли все равно нужно как то хранить соответственно все равно они уязвимы.

Я не понимаю, в чём проблема запомнить 12+ символьный пароль?

А запятые помогут?

Нет вот если только еще немного неуместной иронии.

Я не понимаю, в чём проблема запомнить 12+ символьный пароль?

Один единственный? Вообще никакого. А теперь усложняем до состояния реальной жизни когда паролей все-же несколько чуть более чем один единственный да еще и с условием, что иногда эти пароли таки просто необходимо менять на новые. Нет. Все еще ничего трудного.

Один единственный? Вообще никакого. А теперь усложняем до состояния реальной жизни когда паролей все-же несколько чуть более чем один единственный да еще и с условием, что иногда эти пароли таки просто необходимо менять на новые. Нет. Все еще ничего трудного.

Тогда карточка должна использоваться как дополнительный метод + 8символьный пароль. Или 20 символьный в виде какой-нибудь цитаты малоизвестной.

Тогда карточка должна использоваться как дополнительный метод + 8символьный пароль. Или 20 символьный в виде какой-нибудь цитаты малоизвестной.

Спасибо капитан. И да в luks емнип можно на один носитель до 8ми паролей так что проблем нет никаких.

В общем, удалось осуществить задуманное только добавив файл в конфиг dracut и пересобрав initramfs. Мне такой вариант вполне подходит, потому как boot у меня на флешке, так что в итоге я имею то что хотел.

А вот просто кинуть файл на флешку и указать в параметрах ядра где он лежит, увы, не удалось. Даже после выполнения рекомендаций с dracut'ом по ссылке на форуме.

В любом случае, очень благодарен за подсказки в нужном направлении.

А почему ход решения проблема не опубликуешь?

Потому что публиковать стоит только 100% корректное решение, а у меня, пока что, при обновлении ядра моя схема слетела и пересборка initramfs не помогет. Смотрю вот в чём дело. Решение, конечно же опубликую как только пойму что оно точно рабочее.