Início / computer / Perguntas / 1551921
Accepted
LiCa
Asked: 2020-05-15 19:52:06 +0800 CST

Como posso reinstalar o Ubuntu focal 20.04 em um sistema criptografado LUKS existente?

  • 772

Sou usuário do Ubuntu há muito tempo (mais de uma década), mas não estou aqui porque não tive problemas com o Ubuntu. Com a chegada do Ubuntu 20.04 LTS decidi criptografar meus dados (ou sistema se necessário). Estou procurando o seguinte:

  • Método para reinstalar o Ubuntu com criptografia LUKS em uma instalação anterior do Ubuntu criptografada com LUKS em um sistema de inicialização dupla com Windows 10.
  • Manter todos os meus arquivos pessoais (ou seja /home, pasta) intactos, com ou sem uma partição separada. Não desejo mover tudo, reinstalar e depois mover as coisas de volta.
  • Abordagem baseada em GUI simples por meio do instalador padrão. Eu sei usar a linha de comando, mas prefiro não usar, especialmente para algo tão sensível quanto a criptografia.

O que estou procurando é basicamente o mesmo que este documento . Exceto que eu preciso dele em um sistema/partição criptografado LUKS. Tentei fazer isso em um sistema sobressalente com o Ubuntu 20.04 e não consegui encontrar uma maneira de informar ao instalador a senha para o sistema criptografado. O resultado final foi uma reinstalação que não inicializou ou a partição criptografada foi apagada. Também tentei executar o instalador com e sem pré-desbloquear a partição criptografada, mas sem sucesso.

Eu sou capaz de fazer tudo acima com Fedora, OpenSUSE, Manjaro, (embora eles só façam isso quando /homeestiver em uma partição separada, o que é bom para mim), então não tenho certeza do que estou fazendo de errado no Ubuntu.

encryption multi-boot

3 respostas

  1. Best Answer

    Com base em meus experimentos pessoais usando o instalador do Ubuntu 20.04, pesquisa online e perguntas a vários fóruns (e falta de respostas lá), concluo que, a partir de hoje, não há como fazer o seguinte:

    • Instalando/reinstalando o Ubuntu...
    • usando a GUI do instalador...
    • em um sistema pré-criptografado (LUKS, com /homepartição separada ou não) sem destruir arquivos pessoais pré-existentes...
    • com inicialização dupla outro sistema operacional.

    Claro que existem maneiras de fazer isso se você confiar na linha de comando, o que eu queria evitar. Decidi mudar para o Fedora 32, pois ele atende a todos esses requisitos. O Ubuntu me serviu muito bem por mais de uma década, espero retornar quando o problema acima for corrigido.

    Para os interessados ​​na configuração do Fedora 32:

    • Configuração de inicialização dupla com o Windows 10.
    • Reutilize (NÃO FORMATE) /boot/efia partição da instalação do Windows 10
    • Criar /bootpartição NÃO CRIPTOGRAFADA
    • /Criar/reutilizar partição ENCRYPTED
    • /homeCriar/reutilizar partição ENCRYPTED
    • Forneça a senha para desbloquear as partições criptografadas acima.
    • Pós-instalação, repositório RPMFusion adicionado e extensão Gnome Tweaks

    Esse é o resumo, já faz uma semana e até agora as coisas estão ótimas com o Fedora 32. Eu realmente não notei muita diferença do Ubuntu para minhas necessidades (e-mail, navegação, visualização de fotos/vídeos, música, skype, planilhas, documentos) .

    Obrigado!

    • 3

  2. Eu poderia gerenciá-lo com meu PC, tive que reinstalar porque a atualização do Ubuntu falhou de 18 LTS para 20 LTS.

    Eu tinha um Ubuntu 18 LTS com duas partições:

    • /dev/sda1 para /boot sem criptografia
    • /dev/sda5 para LVM PV com criptografia (partição estendida porque o instalador do Ubuntu 18 LTS foi criado dessa forma no último Natal)

    Dentro da partição LVM, tenho tudo criptografado com luks:

    • gabor2-vg VG
      • root LV formatado para ext4 montado para /
      • home LV formatado para ext4 montado para /home
      • trocar LV

    Da mesma forma que no seu caso, o LV inicial contém todas as minhas coisas importantes que desejo manter intocadas enquanto reinstalo todo o meu sistema para o último Ubutnu 20.04.1 LTS com Cinnamon UI.

    Eu tenho um servidor PXE em casa para facilitar meu trabalho, mas você também pode usar um pendrive para fazer o mesmo com a ajuda de imagens iso e software de gravação de imagem rufus.

    Na primeira rodada, tentei o instalador de inicialização líquida do Ubuntu 20.04 LTS. Começou bem, mas mostrou apenas minhas partições: sda1 e sda5, então nada sobre LVM e LUKS.

    Encontrei no menu de ajuda no canto superior direito uma opção para ter um bash shell. Espero ter aberto o volume LUKS, ir e voltar, mas o instalador ainda não viu os volumes LVM.

    cryptsetup luksOpen /dev/sda5 gabor2-crypt

    Como segunda rodada, tentei exatamente o mesmo com o live CD do Ubuntu 20.04 LTS. Abri um terminal, abri o contêiner luks e iniciei o instalador a partir do ícone da área de trabalho.

    Magicamente este instalador viu os volumes lógicos LVM se eu abrisse o container LUKS e pudesse selecionar qual LV é qual, e qual deve ser formatado e qual não. Perfeito, pensei, mas meu PC não inicializou. Recebi o prompt do initramfs.

    Na instalação, quando você selecionar sistemas de arquivos, pontos de montagem, etc. para seus volumes LVM, tenha cuidado com a opção de formato para evitar a reformatação acidental de seu LV doméstico. Reformatei /boot e / para garantir que nenhum resíduo permaneça para trás.

    O motivo era bastante óbvio: /etc/crypttab não foi definido pelo instalador automaticamente.

    Então, voltei para o CD do Ubuntu ao vivo (inicializado a partir do PXE, mas tanto faz), montei todas as partições necessárias, entrei no chroot, editei o crypttab, regenerei o initramfs e o grub, então pude inicializar enquanto minha casa permanecia intocada. Minha interface do usuário Cinnamon tinha o plano de fundo original, ícones, etc. Muito bom. Seria ainda melhor se fosse totalmente automatizado :)

    Aqui estão os comandos que usei para corrigir o boot conforme descrito acima. O ponto de partida é um CD Ubuntu 20.04.1 LTS ao vivo no PC que acabamos de reinstalar e queremos consertar.

    # open luks container
cryptsetup luksOpen /dev/sda5 gabor2-crypt

# mount LVM volumes
mount /dev/mapper/gabor2--vg-root /mnt
mount /dev/mapper/gabor2--vg-home /mnt/home
mount /dev/sda1 /mnt/boot

# mount some other thing just because to make chroot fully functional
mount --bind /dev /mnt/dev
mount --bind /run /mnt/run
mount --bind /proc /mnt/proc
mount --bind /sys /mnt/sys

# enter into chroot where we want to act as we would be in the properly booted target system which is our new Ubuntu 20.04.1 LTS
chroot /mnt

# get the UUID we have to write to /etc/crypttab file
blkid /dev/sda5
/dev/sda5: UUID="........-....-....-......." TYPE="crypto_LUKS" PARTUUID=".....-.."

# create crypttab (if no vim, install it with apt!)
vim /etc/crypttab
  gabor2_crypt UUID="........-....-....-......." none luks

# regenerate initramfs and grub (initramfs might be enough but I'm lazy enough to reboot and grub update takes quite a little time)
update-initramfs -u
update-grub

# we are done, need to exit from the chroot and unmount and close everything to ensure filesystem consistency, then reboot
exit
umount /mnt/dev
umount /mnt/sys
umount /mnt/proc
umount /mnt/run
umount /mnt/boot
umount /mnt/home
umount /mnt/
cryptsetup luksClose gabor2-crypt
reboot

    Espero ter descrito com precisão o que fiz e ajudar outros também.

    Quando acabei de reiniciar meu PC sem desmontar meus volumes lógicos e sem fechar meu contêiner LUKS, tive alguns problemas no sistema de arquivos: meu volume raiz foi remontado em somente leitura automaticamente em momentos aleatórios. Depois que fiz aquela longa série de comandos de desmontagem, o problema do sistema de arquivos desapareceu.

    Boa sorte! Divirta-se!

    • 2

  3. Há um bug do Launchpad sobre isso, a solução alternativa é:

    https://bugs.launchpad.net/ubuntu/+source/ubiquity/+bug/1904270

    Gambiarra

    Ubuntu 20.04: Etapas extras para reutilizar a partição criptografada LUKS existente

    (substitua nvme0n1p8 por sua partição LUKS criptografada)

    • ANTES de iniciar o instalador (se estiver no desktop Ubuntu ou Kubuntu live CD), ou na primeira etapa (se estiver usando o instalador live CD baseado em texto do Ubuntu Server):
    # open existing LUKS partition 
cryptsetup luksOpen /dev/nvme0n1p8 nvme0n1p8_crypt
    • Em seguida, faça isso no final após a execução do instalador ou inicialize em um ambiente de CD ao vivo (por exemplo, Kubuntu) e faça:
    cryptsetup luksOpen /dev/nvme0n1p8 nvme0n1p8_crypt
mount -o subvol=@ /dev/mapper/MainVG-root /mnt/
mount /dev/nvme0n1p7 /mnt/boot/
mount --rbind /dev/ /mnt/dev/
mount --rbind /sys/ /mnt/sys/
mount --rbind /run/ /mnt/run/
mount --rbind /proc/ /mnt/proc/
chroot /mnt /bin/bash -l
blkid | grep crypto_LUKS
# Example: /dev/nvme0n1p8: UUID="8cb9831a-692e-4b0e-936f-72529a3ed56d" TYPE="crypto_LUKS" PARTUUID="139f23d2-a0ff-4f4f-b41f-8083964ac894"
apt install vim
vim /etc/crypttab
# Add a line for the encrypted partiton, e.g:
# nvme0n1p8_crypt UUID="8cb9831a-692e-4b0e-936f-72529a3ed56d" none luks
#
# MAKE SURE There's a newline at end of /etc/crypttab

# update the initramfs
update-initramfs -u -k all


umount -l /mnt


# Optional, probably not needed
grub-install --recheck /dev/nvme0n1
grub-mkconfig -o /boot/grub/grub.cfg
    • 1

relate perguntas