使用 dm-crypt 加密 archLinux 根分区

发表于: 2022-12-4 | 预计阅读时长: 5.1 分钟 | 标签: dm-crypt , linux , encrypt , archlinux

本文最后更新于 N 天前，文中所描述的信息可能已过时

警告：在正式操作之前，请务必备份根分区

这篇博文仅介绍了使用 LUKS2 格式加密已有的未加密的根分区和之后的一些调整。如果需要更多信息，请参考 [ArchWiki] dm-crypt/Device encryption。

~~某些人：~~
~~你要加密干嘛，你是不是有见不得人的东西。~~
~~身正不怕影子斜，干嘛要加密。~~
~~你在害怕什么，居然需要用加密？~~
…

dm-crypt 是 linux 内核 2.6 及之后版本中的硬盘加密子系统，所以你不用像 veracrypt 那样安装它。但是你需要安装 Cryptsetup ——它的命令行前端。不过，大多数发行版都已内置了它。

准备

# cryptsetup benchmark

benchmark

它会测试各种密码的性能。在结果中会有一些密码的吞吐量特别高，说明它可能是受硬件支持的密码，请根据情况优先选用它们。(但我觉得懂这些的也不会来这里，所以建议使用默认设置)

在这里，我们选用了 aes-xts 和 sha256 用来在之后加密根分区，这也是 Cryptsetup 的默认参数。

查看默认参数 # cryptsetup --help

最后一位参数会让它加密完成后自动解密分区于 /dev/mapper/名称，就不需要再用 # cryptsetup open。

# cryptsetup reencrypt --encrypt --reduce-device-size 32M /dev/根分区 名称

由于我们刚才可能过度地缩小了文件系统，所以现在我们要扩展文件系统大小

# resize2fs /dev/mapper/名称

进入 chroot 环境

# mount /dev/mapper/名称 /mnt
# arch-chroot /mnt

# vim /etc/mkinitcpio.conf

找到 HOOKS，它大概长这样：

HOOKS="base udev autodetect modconf block filesystems fsck"

现在你需要在 autodetect 后面加上 keyboard keymap，在 block 后面加上 encrypt。

HOOKS="base udev autodetect keyboard keymap modconf block encrypt filesystems fsck"

这里只介绍了 grub，如果你使用其他的引导程序请参考 [ArchWiki] Kernel_parameters

# vim /etc/default/grub

找到 GRUB_CMDLINE_LINUX，在引号里加上

cryptdevice=UUID=分区的UUID:名称

UUID 可以使用 # blkid /dev/根分区 查看。

# vim /etc/fstab

把挂载在根目录上的 /dev/根分区 改为 /dev/mapper/名称。

# mount /dev/引导分区 /boot
# mkinitcpio -p linux
# grub-install /dev/引导设备 //如果是 uefi 引导，请跳过这一条命令
# grub-mkconfig -o /boot/grub/grub.cfg

然后重启即可。

end

Thx.