问题[disk-encryption](computer)

我首先会说我找到了一个临时解决方案，但需要一个永久性解​​决方案，我没有足够的专业知识来做到这一点。我的临时修复只是一个幸运的猜测，第一次尝试就成功了，这里是所发生事情的完整过程。顺便说一句，我决定给它添加情感，不要太单调，像在讲故事一样写。如果我不遵循 T 的指导方针，请不要批评太多。

我决定在一台非常旧的计算机上安装 Peppermint OS，Compaq Presario V3000 Intel Core 2 Duo（代号 Merom），它是 64 位（截至撰写日期，PeppermintOS 只有 64 位版本，并且仍在使用 32 位版本），RAM 2GB 和150GB 存储空间。

我下载了可用的最新版本（截至 2022 年 4 月 4 日）并制作了一个 live USB 来安装操作系统。我像往常一样完成了设置并决定选择磁盘加密，安装进行得很顺利并且对于机器来说非常快（不到 10 分钟）。在那之后是重新启动的时间。

在启动过程中，bios 首先询问加密密钥（在其他发行版中，它首先是 GRUB，然后是加密密钥，这个是加密密钥，然后是 GRUB），在给出密钥后，它启动到 GRUB 和启动过程开始。

这是问题开始的地方：Peppermint logo 显示了一段时间，然后屏幕进入终端显示

BusyBox v1.30.1 (Debian 1:1.30.1-6+b3) 内置 shell (ash)
输入“帮助”以获得内置命令列表。

(initramfs) _

我会跳过不必要的部分，最后我只是输入 exit 看看它为什么拒绝启动

exit

然后我收到了消息

放弃等待根文件系统设备。常见问题：
 - 引导参数（cat /proc/cmdline）
  - 检查 rootdelay=（系统等待的时间是否足够长？）
 - 缺少模块（cat /proc/modules; ls /dev）
警报！/dev/mapper/luks-UUID1 不存在。掉到壳里！


BusyBox v1.30.1 (Debian 1:1.30.1-6+b3) 内置 shell (ash)
输入“帮助”以获得内置命令列表。

(initramfs) _

我的本能当然是验证要引导的磁盘是否存在。

ls dev

sda, sda1, sda2 存在所以机器可以看到它毕竟连接（我不需要使用 / 因为我已经在其中了）

ls dev/mapper

ls: dev/mapper: 没有这样的文件或目录

好的！我说，所以驱动器还没有解密，这就是为什么没有映射器。所以我研究了一下目前我可以使用什么以及如何使用它。跳过。在我找到我需要的东西之后：

cryptsetup open dev/sda1

命令需要设备和映射名称作为参数。

所以我寻找一种获取 UUID 的方法（我可以跳过它，但它适用于那些有同样问题但不知道如何获取 UUID 的人）

blkid

/dev/sda1: UUID="UUID1" TYPE="crypto_LUKS" PARTUUID="PUUID1"
/dev/sda2: UUID="UUID2" TYPE="crypto_LUKS" PARTUUID="PUUID2"

现在是时候解密了

cryptsetup open dev/sda1 UUID1

输入 dev/sda1 的密码：
(initramfs) _

cryptsetup open dev/sda2 UUID2

输入 dev/sda2 的密码：
(initramfs) _

那应该做对吗？

exit

错误的 ！

放弃等待根文件系统设备。常见问题：
 - 引导参数（cat /proc/cmdline）
  - 检查 rootdelay=（系统等待的时间是否足够长？）
 - 缺少模块（cat /proc/modules; ls /dev）
警报！/dev/mapper/luks-UUID1 不存在。掉到壳里！


BusyBox v1.30.1 (Debian 1:1.30.1-6+b3) 内置 shell (ash)
输入“帮助”以获得内置命令列表。

(initramfs) _

（我也可以跳过这部分，但我选择不）好吧，让我们看看出了什么问题

ls dev/mapper

UUID1 UUID2 控件

伟大的 ！它在 UUID 之前缺少“luks-”……来吧！（如果你愿意，下一部分也可以跳过，但我还是放在这里）

然后我决定查看配置文件

cat /proc/cmdline

BOOT_IMAGE=/boot/vmlinuz-5.10.0-13-amd64 root=UUID=UUIDR ro quiet cryptdevice=UUID=UUID1:luks-UUID1 root=/dev/mapper/luks-UUID1 splash resume=/dev/mapper/luks- UUID2

我认为这就是问题所在，所以只需修改文件对吗？

vi /proc/cmdline

它是只读的，所以没有机会修改任何东西，叹息！（可跳过部分结束）

那只是问题部分，现在是解决方案部分（临时解决方案）

我决定抓住我用来安装 Peppermint 和 live boot 的安装盘来读取我需要先解密的磁盘上的内容

sudo apt install cryptsetup

（实时启动的修改是持久的，所以第一次后不需要再次安装）

sudo cryptsetup open /dev/sda1 UUID1

输入 /dev/sda1 的密码：

sudo mount /dev/mapper/UUID1 /mnt
cd /mnt/boot/grub

（我对每一层都做了 cd 和 ls 但决定跳过它并放在完整的路径上，至于我为什么选择这条路径只是随机猜测恰好可行）

对于那些不知道如何使用 vim 和正确退出的人来说，live boot 没有 nano 或 emacs（是的 vim/vi 是胜利，是的，我是 vim 团队），请在使用前研究和学习基础知识，你被警告了。

sudo vi grub.cfg

有6个“luks-”要删除，两行，每行三个
第151行和第175行

:wq!

强制退出

（回想起来，我应该阅读警告，因为这将避免我一次又一次地执行此步骤，我已经多次执行此步骤，这是完全没有必要的，但至少我可以提供其他人在哪里编辑反而）

这是我第二次意识到的愚蠢错误，大声笑，所以这是我第二次做的，以避免再次这样做

cd /mnt/etc/default
sudo vi grub

我删除了第 9 行中的所有“luks-”，即 3

:wq

我修改/mnt/boot中的文件的原因是我没有GRUB的专业知识（你可以说我是GRUB的新手）并且我不知道直接更新GRUB的命令在 /mnt/boot 中配置（提供的命令是针对 /boot 的，这意味着它将从 /etc/default 更新 /boot，而不是从 /mnt/etc/default 更新 /mnt/boot

我第二次更改 /mnt/etc/default/grub 因为我阅读了警告，所以我必须再次重复这个不必要的步骤，而不是只做一次，对于那些阅读本文的人，如果你做得正确，你将做这一步只有一次

现在重复的部分要在每次启动时完成

重启设备，BIOS 询问加密密钥，然后是 GRUB，然后

BusyBox v1.30.1 (Debian 1:1.30.1-6+b3) 内置 shell (ash)
输入“帮助”以获得内置命令列表。

(initramfs) _

exit

放弃等待根文件系统设备。常见问题：
 - 引导参数（cat /proc/cmdline）
  - 检查 rootdelay=（系统等待的时间是否足够长？）
 - 缺少模块（cat /proc/modules; ls /dev）
警报！/dev/mapper/UUID1 不存在。掉到壳里！


BusyBox v1.30.1 (Debian 1:1.30.1-6+b3) 内置 shell (ash)
输入“帮助”以获得内置命令列表。

(initramfs) _

blkid

/dev/sda1: UUID="UUID1" TYPE="crypto_LUKS" PARTUUID="PUUID1"
/dev/sda2: UUID="UUID2" TYPE="crypto_LUKS" PARTUUID="PUUID2"

cryptsetup open dev/sda1 UUID1

输入 dev/sda1 的密码：
(initramfs) _

cryptsetup open dev/sda2 UUID2

输入 dev/sda2 的密码：
(initramfs) _

ls dev/mapper

UUID1 UUID2 控件

应该这样做！

exit

终于系统启动了！

这个修复的问题是我需要在每次启动时手动解密分区，第二个分区是根本没有挂载的交换分区（我使用 htop 来验证）。所以我想问是否有人可以为我提供永久修复，我不必在每次启动时手动解密每个分区并且交换分区已正确安装。

我还将写信给 Peppermint 的开发人员，以便他们可以为他们的下一个版本解决问题。我高度怀疑这是因为他们在 GRUB 之前在 BIOS 中解密磁盘，因此 GRUB 不知道如何解密它，另一个发行版（魁北克，我无法使用它，因为我的机器没有 VT-X）我在询问磁盘加密密钥之前尝试启动 GRUB，这样可能会有所不同，顺便说一句，如果使用加密的人决定使用非拉丁字符库作为他们的加密密钥怎么办？在 Qubes 中您无法更改键盘布局，而在 Peppermint 中它处于 BIOS 级别，因此定义磁盘加密密钥的人员在安装操作系统时必须按照美国键盘标准设置密钥，否则可能会导致主要并发症。

编辑！！

对于交换，这是一个愚蠢的修复（为什么我以前没有想到，哈哈）只需编辑文件 /etc/fstab 并删除每个分区的 UUID 之前的所有“luks-”，哈哈

在我的 Windows 10 专业版安装中使用 Veracrypt 或 BitLocker 完整系统磁盘加密时，我看到了此 gif 中的行为。在重新启动以查看全盘加密是否有效的初始“系统检查”时，我发现我无法可靠地输入我的密码。

在引导身份验证屏幕上按一次键会导致将多个字符添加到密码字段中。输入失真。这不仅仅是隐藏密码的查看/显示/反馈选择。就好像键盘太灵敏/太快，并且在框中输入了多个键。

使用 VeraCrypt，如果我点击“Esc”，屏幕会显示一个进度条然后冻结，我必须重新启动。发生这种情况时，屏幕会在进度条的不同点锁定。这是不一致的。大约 1/50 次我能够点击“Esc”并成功绕过测试启动屏幕并返回 Windows。

对于 BitLocker，“Esc”可以在我使用它的任何时候可靠地让我回到 Windows。

这个问题对于 Veracrypt 和 Bitlocker 的行为非常相似，但对于 BitLocker 略有不同。过去，BitLocker 的行为与 Veracrypt 几乎相同，但是当我今天测试时，我发现当我按下任何不是“Escape”的键后，BitLocker 会立即冻结。

我试过了...

• 不同的 USB 端口
• 不同的键盘
• PS/2 转 USB 键盘适配器
• 使用输入密码的 Adruino 设备来模拟键盘
• 调整各种 BIOS/UEFI 设置
• 清除 TPM 密钥并更新芯片组驱动程序

经过一些故障排除后，BitLocker过去确实为我工作过。密码提示很好。但是，在 Windows 更新运行一天后，此问题再次出现。我不得不不断尝试，直到我可以使用恢复工具并手动解密磁盘。我今天再次测试，希望事情神奇地好，但没有。在这一点上，预引导身份验证过程对我来说太复杂了。

我在使用 AMD Ryzen 7 3700X 的 ASUS AB350 Pro4

看来我不是唯一有这个问题的人。有人甚至拥有相同的 CPU，并通过 UEFI 设置进行了自己的潜在修复，但听起来他们的“修复”似乎没有完全解决问题。

我已经在我的 1U 服务器上安装了 CentOS，并使用了 LUKS 加密。我的问题是 - 如果机器正在运行并且他在机器上（未登录），是否有可能访问硬盘上的任何文件？甚至拥有军用级技术的人？

我的意思是，如果有人对机器有实际的物理访问权限，请打开监视器，但它会要求他输入用户名和密码。他可以登录到 shell 并开始浏览文件吗？还是在电脑以某种方式运行时直接访问硬盘？

我猜当它关闭时他不能因为驱动器被加密并且它会要求他提供解密密码？

我通过修改现有操作系统将我的机器配置为从备用磁盘启动。但是，某些分区仍在从内部存储中挂载。

在/home分区的情况下，我/dev/dm-0使用它来解密底层块设备。但是由于它是一个精确的副本（因为我将原始数据转储/dev/sda到/dev/sdb），如何知道后面的设备/dev/dm-0是/dev/sda47还是/dev/sdc47？

当我在我的设备上安装 Debian Buster（带有 4.19 内核）时，我选择了使用全盘加密的引导式分区。

所以当前设置是 LUKS 上的 LVM，并且 /boot 是未加密的：

user@HOST:~$ lsblk -f
NAME               FSTYPE      LABEL UUID                                FSAVAIL FSUSE% MOUNTPOINT
sda
├sda1              ext2              a81YDwjp-q50N-nbZH-JLwr-Djhhe0aDxI6 94,4M      55% /boot
├sda2
└sda5              crypto_LUKS       E5ZYjKug-zrNW-yW4Q-jwFD-MdgSY08zqKo
 └sda5_crypt       LVM2_member       aJTjWXcR-Nxth-LcnV-5tzp-iBzbCU0zy8d
  ├HOST--vg-root   ext4              PHVJaGjc-46vv-u5co-fXxd-NCZJUkzK21Q 129,1G      5% /
  └HOST--vg-swap_1 swap              1XZehc8C-2yKA-Y8Qr-eCc1-EI3ezAgVNBo                [SWAP]

现在最好改进此设置并使用临时密钥加密交换卷。但这是为什么呢？毕竟交换已经加密，因为它驻留在加密的硬盘上。顺便说一句，我不使用休眠。

我想要的是从我系统上的额外加密层中获得尽可能多的好处。例如，我先在本地加密一些数据，然后再将其备份到远程位置。如果完整的硬盘加密被击败，这种加密也可以作为第二道防线......但前提是在这种情况下交换不可读。

从默认的 Debian 配置开始（即无需循环重新安装），有没有办法用临时密钥加密交换？