用cryptsetup/LUKS进行全盘加密#

本指南展示了如何配置LUKS加密卷，在启动时用`Nitrokey Pro <https://shop.nitrokey.com/shop/product/nk-pro-2-nitrokey-pro-2-3>`__或`Nitrokey Storage <https://shop.nitrokey.com/shop/product/nitrokey-storage-2-56>`__验证。

为了提供一些背景资料，cryptsetup-initramfs现在支持使用Nitrokey Pro和Nitrokey Storage等OpenPGP智能卡来解锁LUKS加密的卷。一旦你完成设置，你只需要在启动时插入Nitrokey并输入用户密码，而不是输入常规的磁盘加密口令。

这些说明已经在Ubuntu 20.04和Debian 10上进行了测试。

警告

下面的指南有可能会把你的电脑锁住。你应该意识到这些风险，我们建议你在第二台电脑上使用下面的脚本，或者在完全备份后使用，因为你可能会丢失你的数据。

要求#

  • 一台至少有一个LUKS加密卷的Ubuntu或Debian电脑。

请参阅下面的章节，以确定哪种方法与本指南兼容。

  • 一个Nitrokey Pro 2或Nitrokey Storage 2 `初始化<openpgp.html>`_的键。

已知问题#

到目前为止，该脚本只适用于手动分区的卷，即由未加密的``/boot``分区和加密的根``/`` 分区组成。

请不要选择你所使用的操作系统为本指南提供的自动全盘加密功能。在Ubuntu和Debian上使用安装界面自动进行分区时，你将面临反复的错误。

说明#

  1. 安装依赖项

$ sudo apt install scdaemon opensc gnupg2

  1. 创建智能卡-鲁克斯目录

$ mkdir smartcard-luks && cd smartcard-luks

  1. 下载智能卡-鲁克斯-脚本

$ wget https://raw.githubusercontent.com/daringer/smartcard-key-luks/main/smartcard-key-luks
$ sudo chmod +x smartcard-key-luks

  1. 导出公钥

要从GnuPG的钥匙圈中导出你的公钥。

$ gpg2 --armor --export KeyID > pubkey.asc

如果你已经将公钥上传到钥匙服务器（或将其储存在其他地方），你应该以你最习惯的方式检索它，并继续进行第5步。

  1. 为你的根分区确定并验证正确的LUKS设备名称。

$ cat /etc/crypttab
# if there is only one entry, you want the 1st column of this entry

提示

通常这应该是`nvme0n1p3_crypt`（用于NitroPC）或`sda3_crypt`（用于NitroPads）。 你可以而且应该通过检查`/etc/crypttab`中提到的UUID是指定的分区，即`/dev/disks/by-uuid/`中的符号链接。

  1. 以luks设备名称（例如：nvme0n1p3_crypt）和`pubkey.asc`为参数执行脚本。

$ sudo ./smartcard-key-luks nvme0n1p3_crypt pubkey.asc

一旦你用OpenPGP公钥作为参数运行该脚本，它就会自动设置一个新的LUKS秘密，用该公钥进行加密，并设置crypttab、LUKS、initramfs和GRUB。

首先，你会被提示``User PIN``。

img1

一旦你解锁了Nitrokey，你会被提示你的``OLD passphrase``。这是你在安装时输入的加密卷的口令。

img2

注解

这是在你丢失Nitrokey或无法使用的情况下的一种后备选择。到目前为止，它还没有经过测试，用户必须意识到，如果后备方法不奏效，就有可能被锁在电脑外。

一旦你输入了口令，脚本就会在大约一分钟内完成设置。不要打断脚本，否则你可能会在重启后被锁定在你的电脑之外。

img3

完成了!

现在你必须重新启动，你应该能够使用你的Nitrokey来解锁你的加密驱动器。

使用方法#

重新启动后，系统会提示你输入用户密码。

img5

输入你的用户密码以解锁硬盘

img6

进一步提示#

更改密码锁#

一旦完成这个设置，你就不应该再使用（gnome）*disks*工具来改变（后备）密码。正确的方法是像这样直接调用*cryptsetup*。

$ sudo cryptsetup luksChangeKey /dev/nvme0n1p3

`nvme0n1p3`是你为之设置钥匙的分区。

使用多个键#

使用多个（硬件）安全密钥是很容易的，这样每个密钥都能独立解锁LUKS驱动器。只要导出多个公钥，同时*将多个密钥*传给设置脚本，像这样。

$ sudo ./smartcard-key-luks nvme0n1p3_crypt pubkey-1.asc pubkey-2.asc

设置持卡人姓名#

在启动时输入PIN码以解密LUKS根分区时，会向用户展示一个持卡人。请使用``$ gpg –edit-card``并在提示中输入 ``admin<xid=”189”></x>`和``name``来设置OpenPGP卡（Nitrokey Storage 2或Nitrokey Pro 2）的持卡人。

替换/删除钥匙#

不可能直接添加/删除钥匙。因此，你需要删除/删除旧的设置，然后用指定的钥匙重新运行设置。

从luks-device（nvme0n1p3）中删除密钥文件（路径，如果你使用了上面的脚本）。

$ sudo cryptsetup luksRemoveKey /dev/nvme0n1p3 /etc/cryptsetup-initramfs/cryptkey.gpg

删除密钥文件本身。

$ sudo rm /etc/cryptsetup-initramfs/cryptkey.gpg

重新运行上述设置。

用X509证书解锁LUKS2#

SystemD支持使用X509证书解锁LUKS2分区，在`Vladimir Timofeenko的个人博客上有一篇关于如何实现这一功能的精彩博客文章。