Шифрование корневой ФС + съёмный носитель с ключом.

[Hanuvan]

Добрый день.
1. Есть ubuntu server 16.04, хочу сделать раздел boot на флешке чтобы после загрузки вынимать её и забирать с собой.
2. Все кроме boot раздела хочу зашифровать, чтобы при загрузке требовалось ввести пароль (но хочется без пароля об этом дальше).
3. Вместо пароля хочется чтобы лежал ключ на съёмном носителе (в идеале на usb токене из которого ключ не извлекается), т.е. если вставлена флешка с boot разделом и флешка с ключем (токен) - система грузится, нет ни чего не происходит.

1. Подскажите пожалуйста, проблем не будет от съёмного boot, так можно делать?
2. Какое ПО для этого используется (grub2\lvm\lusk)?
3. Возможно велосипед уже изобретен и есть подробный мануал ?

[F12]

Возможно велосипед уже изобретен и есть подробный мануал?

- есть, правда не для сервера, но тем не менее...

[Hanuvan]

Не совсем то, там по паролю, вводить пароль быстро надаедает.

[fisher74]

На сервере? Быстро надоедает вводить пароль при запуске? Что с ним Вы там делаете?

ЗЫ и исправьте в теме "ключОм" - глаз режет

[oermolaev]

вводить пароль быстро надаедает.

чтобы после загрузки вынимать её и забирать с собой.

ууу, а не надоест каждый раз приходить с флешкой?
Пароль можно ввести удаленно:

[Hanuvan]

вводить пароль быстро надаедает.

чтобы после загрузки вынимать её и забирать с собой.

ууу, а не надоест каждый раз приходить с флешкой?
Пароль можно ввести удаленно:

Если удаленно нельзя проверить контрольные суммы того что оставалось не зашифрованным то вариант не подходит.

[THE_SIRIUS]

ууу, а не надоест каждый раз приходить с флешкой?

Ну вы же к автомобилю идёте с ключами) У человека важные файлы, хочет сделать интересный и безопасный для себя доступ ) Я так же расшифровку файлов для ноутбука и домашнего ПК делал от флешки, вот на днях помогали люди с форума, подсказывали. Теперь доволен как слон )

[oermolaev]

интересный и безопасный для себя доступ

На моей флешке есть неформатированный luks раздел при расшифровке которого с помощью пароля, скриптом /lib/cryptsetup/scripts/decrypt_derived добывается ключ, которым уже разблокируются винты с системой.
Полагаю тоже интересно.
Но флешку я не планирую выдергивать пока дверь выпиливать не начнут.

[THE_SIRIUS]

интересный и безопасный для себя доступ

На моей флешке есть неформатированный luks раздел при расшифровке которого с помощью пароля, скриптом /lib/cryptsetup/scripts/decrypt_derived добывается ключ, которым уже разблокируются винты с системой.
Полагаю тоже интересно.
Но флешку я не планирую выдергивать пока дверь выпиливать не начнут.

Да, это очень интересно ) У меня по проще схема, и с "багом", если не вставить флешку то кидает "Welcome to emergency mode!". При этом не помогает следующие "nofail":

Код: [Выделить]

/dev/sdb1 /mnt/usb vfat ro,nofail 0 0
/home/.vitaliy /home/vitaliy ecryptfs nofail 0 0

[Jolly Roger]

Но флешку я не планирую выдергивать пока дверь выпиливать не начнут.

Прийти могут в Ваше отсутствие, дернуть автомат и скопировать содержимое флешки, Вы вернетесь, все включите, ну с кем не бывает свет выключили. Через пару недель все повторится, только на флешке будет уже модифицированное содержимое (хотя что мешает модифицировать в первый раз), в третий раз просто все сольют а потом придут и предъявят. Тут вариантов может быть много, можно пофантазировать , но мы то законопослушные но любим безопасность. Поэтому нужно чтобы всё своё всегда с собой.

[THE_SIRIUS]

мы то законопослушные но любим безопасность

Увы, не все такой подход понимают, и на ответ "мне нечего скрывать" у меня обычно facepalm. Я из-за этого шифрования, настройки системы и сети, и перешел на linux)