ไดรฟ์เข้ารหัสที่ปลอดภัยโดยอัตโนมัติเมื่อเข้าสู่ระบบของผู้ใช้

ไดเร็กตอรี่เข้ารหัส / โฮมติดตั้งโดยอัตโนมัติสำหรับฉันเมื่อฉันเข้าสู่ระบบฉันมีฮาร์ดไดรฟ์ภายในตัวที่สองที่ฉันฟอร์แมตและเข้ารหัสด้วย Disk Utility ฉันต้องการให้มันถูกติดตั้งโดยอัตโนมัติเมื่อฉันเข้าสู่ระบบเช่นเดียวกับไดเรกทอรีเข้ารหัส / โฮมของฉัน ฉันจะทำสิ่งนี้ได้อย่างไร

มีคำถามที่คล้ายกันหลายอย่างที่นี่ แต่คำตอบไม่เหมาะกับสถานการณ์ของฉัน อาจเป็นการดีที่สุดที่จะปิด / รวมคำถามของฉันที่นี่และแก้ไขข้อที่สองด้านล่าง แต่ฉันคิดว่าอาจถูกละทิ้ง (ดังนั้นจึงไม่เคยถูกทำเครื่องหมายว่ายอมรับ)

โซลูชันนี้ไม่ใช่วิธีที่ปลอดภัย แต่จะหลีกเลี่ยงการเข้ารหัส
อันนี้ต้องมีการแก้ไขfstabซึ่งจำเป็นต้องป้อนรหัสผ่านเพิ่มเติมเมื่อบูต มันไม่อัตโนมัติเหมือนการติดตั้ง / ที่บ้าน
คำถามนี้คล้ายกันมาก แต่ไม่สามารถใช้กับไดรฟ์ที่เข้ารหัสได้ วิธีแก้ปัญหาใช้ไม่ได้กับความต้องการของฉัน
นี่คือหนึ่งแต่สำหรับไดรฟ์ NTFS ของฉันคือ ext4

ฉันสามารถฟอร์แมตใหม่และเข้ารหัสไดรฟ์ที่สองอีกครั้งหากวิธีการแก้ไขปัญหานี้ต้องการ ฉันมีข้อมูลทั้งหมดสำรองไว้ที่อื่น

คุณไม่ต้องการโซลูชันด้านบนอีกต่อไป

วิชาบังคับก่อน:

• การติดตั้ง Ubuntu 14.04 LTS
• ไดเรกทอรีบ้านที่เข้ารหัส (ดูhttps://help.ubuntu.com/community/EncryptedHome )
• ความปรารถนาที่จะติดตั้งไดรฟ์รองที่เข้ารหัสโดยอัตโนมัติ [แก้ไข] เมื่อคุณเข้าสู่

หมายเหตุ: วิธีนี้มีความปลอดภัยน้อยกว่าการติดตั้งไดรฟ์ที่เข้ารหัสด้วยตนเอง ถ้าใครมีการเข้าถึงทางกายภาพไปยังเครื่องคอมพิวเตอร์ของคุณคุณจะประมาทด้วยรหัสผ่านรากของคุณหรือคอมพิวเตอร์ของคุณมีหลายบัญชีผู้ใช้ / ผู้เข้าพักวิธีนี้ไม่ปลอดภัย ; ไดรฟ์รองยังคงติดตั้งอยู่เมื่อคุณออกจากระบบ แต่ไม่ต้องปิดระบบดังนั้นผู้ใช้รายอื่นสามารถมองเห็นเนื้อหาของไดรฟ์นั้นได้

ส่วนที่ 1: เข้ารหัสลับไดรฟ์รอง

1. ใน Unity dash ประเภท "ดิสก์" และกด Enter
2. ด้านล่าง "อุปกรณ์" คลิกที่ฮาร์ดไดรฟ์ที่คุณต้องการเข้ารหัส
3. ด้านล่าง "เล่ม" คลิกที่ปุ่มฟันเฟือง / มากกว่าการกระทำ
4. คลิกที่ "Format Volume" สำหรับประเภทให้เลือก "เข้ารหัสเข้ากันได้กับระบบ Linux" ตั้งชื่อไดรฟ์ของคุณและตั้งรหัสผ่านให้แน่น
5. คลิก "รูปแบบ"

ตอนที่ 2: ติดตั้ง HDD โดยอัตโนมัติเมื่อเริ่มต้นระบบ

1. เปิดแอปพลิเคชัน "ดิสก์" ไว้และคลิกที่ฟันเฟือง
2. คลิก "แก้ไขตัวเลือกการเข้ารหัส"
3. "ตัวเลือกการเข้ารหัสอัตโนมัติ" จะเปิดขึ้นและเมนูด้านล่างเป็นสีเทา ปิดตัวเลือกการเข้ารหัสอัตโนมัติ
4. ป้อนวลีรหัสผ่านจากเมื่อคุณฟอร์แมตดิสก์ คลิก "ตกลง"

ตอนนี้คุณมีฮาร์ดไดรฟ์เข้ารหัสที่จะทำการเมาท์โดยอัตโนมัติเมื่อคอมพิวเตอร์บูท

เมื่อฉันเขียนคำตอบนี้เมื่อไม่กี่ปีที่ผ่านมานี่เป็นวิธีที่ดีที่สุดในการนำโซลูชันมาใช้ ตอนนี้ฉันขอแนะนำให้คุณดูคำตอบต่อไปโดยใช้ mount.ecryptfs_private แทน

ฉันกำลังมองหาวิธีในการเมานต์ eCryptfs ปริมาณที่สองโดยอัตโนมัติ คอลเล็กชันของสคริปต์และการแก้ไขการกำหนดค่าต่อไปนี้จะปลอดภัยและปรับระดับเสียงของคุณโดยอัตโนมัติเมื่อเข้าสู่ระบบไม่ว่าจะเป็น GUI หรือ CLI

มีวิธีแก้ปัญหาที่ดีกว่าซึ่งกำลังอยู่ในขั้นตอนการสร้าง (แม้ว่าฉันคิดว่ายังไม่พร้อมสำหรับการติดตั้งโดยอัตโนมัติในการเข้าสู่ระบบของผู้ใช้สคริปต์นี้จะมีอายุการเก็บรักษาที่ จำกัด ):

ecryptfs บนฮาร์ดไดรฟ์ขนาดเล็กเกินไป - วิธีเพิ่มลิงค์ในการเข้ารหัส?

ความปลอดภัยของสคริปต์ขึ้นอยู่กับไดเรกทอรีหลักของคุณที่เข้ารหัสด้วย eCryptfs เพื่อให้สคริปต์และไฟล์ที่มีรหัสผ่านเพื่อแกะรหัสผ่านของคุณถูกเข้ารหัส หากคุณเปิดคอมพิวเตอร์ทิ้งไว้โดยที่รูทเชลล์เปิดหลังจากเข้าสู่ระบบคุณจะสามารถเข้าถึงรหัสผ่านได้อย่างไรก็ตามการใช้ sudo NOPASSWD ช่วยให้สามารถติดตั้งพาร์ติชันได้อย่างปลอดภัยโดยไม่ต้องป้อนรหัสผ่านหรือทิ้งข้อความรหัสผ่านไว้ในไฟล์

ข้อบกพร่องที่รู้จักอย่างหนึ่งของสคริปต์เหล่านี้คือโวลุ่มที่สองของคุณจะไม่ถูกถอดออกจากการล็อกเอาต์ดังนั้นจึงไม่เหมาะสำหรับระบบที่มีผู้ใช้หลายคน

โซลูชันของฉันมีการใช้งานหลายส่วนเชลล์สคริปต์สองอันอันหนึ่งที่ทำการติดตั้งจริงและอีกอันที่ทำหน้าที่เป็นตัวหุ้ม

นี่เป็นสคริปต์ตัวตัดคำที่ตรวจสอบความถูกต้องหากไดเรกทอรีนั้นถูกเมาท์อยู่แล้วหากไม่ได้อยู่นั้นจะเรียกสคริปต์การเมานท์โดยใช้ sudo:

/ home / johnf / scripts / automount_ecryptfs

#!/bin/bash

MOUNT_POINT=/home/johnf/slow

grep -q $MOUNT_POINT /proc/mounts
if [ $? -eq 1 ]; then
  sudo /home/johnf/scripts/mount_other_ecryptfs
fi

สคริปต์นี้เรียกใช้ / home / johnf / สคริปต์ / mount_other_ecryptfs ซึ่งมีดังนี้

โปรดทราบว่าสคริปต์นี้อนุมานว่าคุณเปิดใช้งานการเข้ารหัสชื่อไฟล์หากคุณไม่จำเป็นต้องปรับเปลี่ยนสคริปต์เพื่อจัดการกับการตรวจจับ (ดูที่ ecryptfs-recovery-private) หรือคุณสามารถลบตัวเลือกการติดตั้ง ecryptfs_fnek_sig

ต่อไปนี้คือสคริปต์ / home / johnf / สคริปต์ / mount_other_ecryptfs:

#!/bin/bash

ENCRYPTED_VOLUME=/vol0/.ecryptfs/johnf/.Private/
MOUNT_POINT=/home/johnf/slow
PASSFILE=/home/johnf/scripts/ecryptfs_passphrase
MOUNT_PASSWORD=secret_passphrase
ECRYPTFS_SIG=`head -1 ${ENCRYPTED_VOLUME}//../.ecryptfs/Private.sig`
ECRYPTFS_FNEK_SIG=`tail -1 ${ENCRYPTED_VOLUME}//../.ecryptfs/Private.sig`

printf "%s" $MOUNT_PASSWORD | ecryptfs-insert-wrapped-passphrase-into-keyring ${ENCRYPTED_VOLUME}/../.ecryptfs/wrapped-passphrase
mount -t ecryptfs -o key=passphrase:passfile=${PASSFILE},ecryptfs_sig=${ECRYPTFS_SIG},ecryptfs_fnek_sig=${ECRYPTFS_FNEK_SIG},ecryptfs_cipher=aes,ecryptfs_key_bytes=16,ecryptfs_passthrough=n ${ENCRYPTED_VOLUME} ${MOUNT_POINT}

คุณจะต้องสร้างไฟล์ด้วยรหัสผ่านของคุณในนั้นไฟล์นี้จะถูกใช้โดยคำสั่ง eCryptfs mount:

/ home / johnf / scripts / ecryptfs_passphrase:

passwd=secret_passphrase

คุณต้องแก้ไขการอนุญาตในหลาย ๆ ไฟล์:

chmod +x /home/johnf/scripts/automount_ecryptfs
sudo chown root:root /home/johnf/scripts/mount_other_ecryptfs /home/johnf/scripts/ecryptfs_passphrase
sudo chmod a=x /home/johnf/scripts/mount_other_ecryptfs
sudo chmod 400 /home/johnf/scripts/ecryptfs_passphrase

ก่อนที่จะสร้างสคริปต์คุณต้องสร้างการกำหนดค่า sudoers เพื่ออนุญาตการดำเนินการของสคริปต์การติดตั้งโดยใช้ sudo โดยไม่ต้องป้อนรหัสผ่าน sudo ของคุณ

เพิ่มสิ่งต่อไปนี้ใน / etc / sudoers (หรือไฟล์ใน /etc/sudoers.d) คุณจะต้องการแทนที่ johnf ด้วยชื่อผู้ใช้ของคุณ จำเป็นต้องใช้พา ธ สัมบูรณ์ไปยังสคริปต์การเมานต์

johnf   ALL = NOPASSWD: /home/johnf/scripts/mount_other_ecryptfs

ขั้นตอนสุดท้ายคือการเรียกใช้สคริปต์ automount_ecryptfs ในการเข้าสู่ระบบ

บน Ubuntu Unity (และอาจเป็น gnome) ให้ใช้แอปเพล็ตเริ่มต้นเพื่อสร้างโปรแกรมเริ่มต้นใหม่ที่เรียก / home / johnf / สคริปต์ / automount_ecryptfs

ในการเมานต์ eCryptfs ปริมาณที่สองโดยอัตโนมัติเมื่อเข้าสู่ระบบใน bash shell คุณจะต้องแก้ไขไฟล์ ~ / .bashrc ของคุณ เพิ่มรายการต่อไปนี้:

/home/johnf/scripts/automount_ecryptfs

ด้วยการกำหนดค่านี้คุณควรเมานต์ eCryptfs ตัวที่สองของคุณโดยอัตโนมัติ

สร้างคำตอบของ @ johnf แต่ใช้Mount.ecryptfs_privateแทน:

• เข้ารหัสแล้ว/home/bob/(เช่นบน SSD) โดยใช้เวท dir ที่เข้ารหัสตามปกติของ Ubuntu
• การเข้ารหัส/media/hdd/bob_extra/(เช่น. บนฮาร์ดดิสก์) /home/bob/extraจะได้รับการติดตั้งไป สิ่งนี้ควรเปิดอัตโนมัติในการเข้าสู่ระบบเช่นเดียวกับที่ dir บ้านทำ
• ใช้คีย์ / ข้อมูลรับรองเดียวกันสำหรับทั้งคู่

สร้างมัน

mkdir /media/hdd/bob_extra
cp /home/bob/.ecryptfs/Private.sig /home/bob/.ecryptfs/extra.sig
echo "/media/hdd/bob_extra /home/bob/extra ecryptfs none 0 0" > /home/bob/.ecryptfs/extra.conf

ทดสอบมัน

mount.ecryptfs_private extra

วิ่งmountคุณจะเห็น:

...
/media/hdd/bob_extra on /home/bob/extra type ecryptfs (ecryptfs_check_dev_ruid,ecryptfs_cipher=aes,ecryptfs_key_bytes=16,ecryptfs_unlink_sigs,ecryptfs_sig=12345678abcdef,ecryptfs_fnek_sig=abcdef12345678)

เป็น unmount:

sudo umount /media/hdd/bob_extra

ตั้งค่า automount

สร้าง/home/bob/bin/automount_ecryptfs.extraซึ่งจะทำการติดตั้งหากยังไม่ได้ติดตั้ง

#!/bin/bash

MOUNT_POINT=/home/bob/extra

grep -q $MOUNT_POINT /proc/mounts
if [ $? -eq 1 ]; then
  mount.ecryptfs_private extra
fi

ทำให้เป็น executable ( chmod +x) จากนั้นเพิ่มเข้าไปใน/home/bob/.bashrc:

...
/home/bob/bin/automount_ecryptfs.extra

จากนั้นเพิ่มไปยังแอปพลิเคชันเริ่มต้นของ Gnome เช่นกัน

สร้างสคริปต์ในไดเรกทอรีบ้านที่เข้ารหัสของคุณ~/scripts/mount_storage.sh::

#!/bin/bash

sudo cryptsetup open --type luks UUID=12e26119-0ee2-4eb4-bd40-d8a3547ecf0c storage --key-file ~/keys/storage_keyfile
sudo mount /dev/mapper/storage /storage

เพิ่มใน "แอปพลิเคชันเริ่มต้น":

sh ~/scripts/mount_storage.sh

เพิ่มไปที่/etc/sudoers:

%sudo   ALL= NOPASSWD: /sbin/cryptsetup open --type luks UUID=12e26119-0ee2-4eb4-bd40-d8a3547ecf0c storage --key-file *
%sudo   ALL= NOPASSWD: /bin/mount /dev/mapper/storage /storage

คุณต้องสร้าง/storageจุดเชื่อมต่อและเปลี่ยน UUID ในสคริปต์ด้านบน (ค้นหาด้วยblkid)

ฉันกลัวว่านี่จะไม่ใช่คำตอบยอดนิยม ...

มันเป็นไปไม่ได้ที่จะติดตั้งพาร์ติชั่นที่เข้ารหัสโดยอัตโนมัติโดยไม่ต้องหลีกเลี่ยงความปลอดภัยของการเข้ารหัส

คิดเกี่ยวกับความหมายของ " อัตโนมัติ " และเข้าใจว่าหมายความว่าพวกเขาจะได้เห็นข้อมูลของคุณโดยอัตโนมัติ

การดำเนินการต่อไปนี้ควรมีความปลอดภัย การขอข้อความรหัสผ่านจะทำให้ผู้ใช้รายอื่นไม่สามารถเข้าถึงโวลุ่มได้แม้ว่าจะติดตั้งก็ตาม

1. เปิดดิสก์เลือกไดรฟ์แล้วคลิกที่ระดับเสียง LUKS คลิกที่ล้อเฟืองและเลิกเลือก "ค่าเริ่มต้นเซสชันผู้ใช้" เลือก "ปลดล็อกเมื่อเริ่มต้นระบบ" และ "ต้องได้รับอนุญาตเพิ่มเติมเพื่อปลดล็อก":

2. คลิกที่วอลุ่มดิสก์ (ใต้ปริมาตร LUKS) คลิกที่ล้อเฟืองและเลิกเลือก "ค่าเริ่มต้นเซสชันผู้ใช้" เลือก "Mount at system startup" และ "Show in user interface":

คุณสามารถเลือกที่จะต้องการการรับรองความถูกต้องเพิ่มเติมเพื่อกำหนดระดับเสียง แต่ในกรณีนี้การติดตั้งจะไม่เป็นไปโดยอัตโนมัติสำหรับผู้ใช้ที่มีปัญหา