Шифрование раздела home в файловой системе brtfs

[Bansardo]

Здравствуйте,
Данная тема не в полной мере раскрыта на вики и других источниках.
Есть ноутбук с ssd на котором развернута Alt K 10.2. Необходимо зашифровать раздел /home.
Как известно при установке можно создать шифрованный раздел LUKS и там создать 2 подраздела @ и @home с точками монтирования / и /home соответственно согласно инструкции создания разделов не в автоматическом режиме. Если вручную создавать шифруемый раздел с необходимыми подразделами, то при нажатии в установщике системы далее он вместо того, чтобы создать ФС уводит ПК в перезагрузку.
Как на работающей системе выполнить данную манипуляцию толкового мануала найдено небыло. У кого есть опыт использования brtfs+LUKS, поделитесь пожалуйста.
Ну и заметки по производительности данной связки.

[ASte]

Установщик этого не умеет.
Устанавливаете систему не выделяя home в отдельный раздел и оставляете место под шифрованный раздел который создадите позже.
На установленной системе:
Создаете раздел luks на свободном месте
Создаете на нем файловую систему btrfs
Создаете подтома как написано здесь https://www.altlinux.org/Btrfs
Переносите /home на шифрованный раздел

[Bansardo]

Так. А как система будет понимать что home в шифрованном разделе и просить пароль от контейнера luks при загрузке?

[ASte]

У меня до конца недели  нет под рукой ноутбука где /home на btrfs, но в этой части ЕМНИП с ext4 различий не так много.
Здесь на btrfs / а /home на ext4.

Код: [Выделить]

$ cat /etc/crypttab
luks-home       UUID=......       none    luks,discard
luks-swap       /dev/nvme0n1p3  /home/lukskey.txt     luks,discard

$cat /etc/fstab
...
UUID=....       /home   ext4    nosuid,relatime,nodiratime,commit=120       1       2
UUID=.....       swap    swap    discard 0       0
....


[Bansardo]

luks-swap       /dev/nvme0n1p3  /home/lukskey.txt     luks,discard

не совсем понял про luks-swap в файле crypttab
То есть нужно создать файл crypttab в который поместить зашифрованный раздел по его UID чтобы система открыла контейнер, а далее фстабом содержимое контейнера примонтируется
На сколько производительность снизится, не мерили?
Если будет возможность, то скиньте как этоже выглядит на brtfs
И как быть с засыпанием ноутбука? часто пользуюсь именно гибернацией

[ASte]

Вот в той схеме которую я привел, гибернация работает.
Меня производительность устраивает, специально не мерил.
luks-swap - для шифрования swap.
Какой смысл шифровать /home и не шифровать /swap ? В swap могут при hibernate попасть ключи от /home из памяти в открытом виде, и  теоретически их оттуда можно вытащить.

То есть нужно создать файл crypttab в который поместить зашифрованный раздел по его UID чтобы система открыла контейнер, а далее фстабом содержимое контейнера примонтируется

да.

Перед тем как настраивать это все  на ноутбуке рекомендую потренироваться на виртуалке.

Чтобы рабаотало hibernate и запрашивался пароль один раз ключик от /swap нужно положить на другой шифрованный раздел.

Тогда при загрузке оно спросит пароль от /home а при просыпании - от /swap

[Bansardo]

luks-swap       /dev/nvme0n1p3  /home/lukskey.txt     luks,discard

А если поменяется имя раздела? может лучшее UID указать для swap?

[ASte]

Может быть..
Просто у меня так сделано.. Уже не помню почему.. Возможно поленился

[ASte]

А вот еще.. Совсем забыл..
После всех манипуляций с crypttab и fstab ЕМНИП нужно перегеренить initrd

[Denver79]

При установке kworkstation 11 с зашифрованными разделами (BIOS, MBR, BTRFS, @/, @home и два отдельных ещё зашифрованных раздела) после установки и перезагрузки не загружаются иксы. Предлагает Ctrl-D - не помогает. И только логиниться под root. В логах пишет про не подключенные два отдельных зашифрованных раздела.
В логах среди прочего про это пишет:

Код: [Выделить]

мар 16 00:23:14 host-15 systemd-cryptsetup-generator[704]: Failed to create unit file '/run/systemd/generator/systemd-cryptsetup@luks\x2d12df3419\x2de7fd\x2d0e48\x2d9304\x2dc70e7ea19906.serv>
мар 16 00:23:14 host-15 (sd-exec-[699]: /usr/lib/systemd/system-generators/systemd-cryptsetup-generator failed with exit status 1.
мар 16 00:23:14 host-15 systemd-sysv-generator[714]: SysV service '/etc/rc.d/init.d/ifplugd' lacks a native systemd unit file. ~ Automatically generating a unit file for compatibility. Please update package to include a native systemd unit file, in order to make it safe, robust and future-proof. ! The update package to include a native systemd unit file, in order to make it safe, robust and future-proof. ! This compatibility logic is deprecated, expect removal soon. !
Я так понимаю что-то поменяли в 11-й версии и при загрузке автоматически монтируется теперь только зашифрованные системные разделы - корень и хом, а другие разделы почему-то не хочет. В 10-й версии такой проблемы нет.
Ставил на ноут HP 2011-го года. Сделал такую же установку в Виртуалбокс - проблема повторилась (оттуда и логи скопировал). Значит проблема не в ноутбуке.

Что стало не так в 11й версии и как заставить автоматически расшифровывать и другие разделы при загрузке?

[gosts 87]

Ctrl-D

Требование нажать эту комбинацию клавиш при загрузке – означает нарушение структуры файловой системы на диске.