Cifrar discos y particiones en LINUX, LVM, VG, LV

[Burt]

Muy buenas @UltimaNeurona.

Más que nada y para que no pienses que todo el currazo que te pegaste en el hilo ha caído en saco roto, te informo que aprovechando que estoy de vacaciones he reinstalado en mi PC principal mi S.O. siguiendo los pasos para el cifrado con LUKS del disco, con LV, VG etc...todo ha ido fantástico!!

Te muestro como ha quedado. He usado solo la mitad de capacidad del disco nvme y la otra mitad la dejo por si lo quiero usar para lo que sea




Todavía me queda instalar cosas, pero a día de hoy está así, por eso me sobra tanto espacio en el VG.

Un saludo y muchas gracias!

[UltimaNeurona]

Buenas de nuevo Burt !!

Me alegro de que le hayas sacado partido a todo lo comentado en el hilo y que la instalacion se realizara sin contratiempo, te ha quedado fino, a disfrutar!

Un saludo y de nada!

[Burt]

Hola de nuevo. Por si a alguien le interesa:

TPM-backed Full Disk Encryption is on its way to Ubuntu!
Get ready for a smoother, more secure experience and say goodbye to manual passphrases during boot.

Lo que no entiendo muy bien es esto de que para desbloquear el dispositivo ya no será necesaria la frase de contraseña

This means that passphrases will no longer be needed on supported platforms, and that the secret used to decrypt the encrypted data will be protected by a TPM and recovered automatically only by early boot software that is authorised to access the data

Un saludo.

[UltimaNeurona]

Hola de nuevo. Por si a alguien le interesa:

TPM-backed Full Disk Encryption is on its way to Ubuntu!
Get ready for a smoother, more secure experience and say goodbye to manual passphrases during boot.

Lo que no entiendo muy bien es esto de que para desbloquear el dispositivo ya no será necesaria la frase de contraseña


Un saludo.

Buena noticia Burt.

La mayoria de distros apuestan actualmente por fde que es el cifrado completo de disco. Esto es lo que hemos estado haciendo en este hilo con dm-crypt y luks. Para desbloquear el disco cifrado passphrase (contraseña) o key.


En un entorno con tpm, si se utiliza este modulo (no es obligatorio), es este chip el que almacena y protege la contraseña de desbloqueo para descifrar los datos. Esto se realiza de forma automatica y transparente para el usuario sin tener que introducir una password. A mi este metodo no me gusta mucho, ya que al arrancar, se desbloquea/descifra el disco automaticamente y lo primero que ves es la pantalla de login.

Esto que comento ya lo hace windows con bitlocker+tpm. Tras instalar windows podemos cifrar el disco de sistema con bitlocker.
Para facilitar las cosas, el comportamiento por defecto de bitlocker en equipos uefi que cuentan con tpm, es almacenar las claves en este chip. Debido a esto, al encender el ordenador el disco duro se desbloquea automaticamente y no te pide contraseña. Es decir, al encender llegaras hasta la pantalla de logueo como habitualmente sin notar nada.

Este comportamiento por defecto se puede cambiar en windows mediante politicas de grupo para que bitlocker no use solo tpm, sino que utilice medidas adicionales como tpm+pin, tpm+key o tpm+key+pin. Lo ideal es requerir autenticacion adicional durante el arranque.
Si roban el equipo y no pide pin, el ordenador encenderia hasta la pantalla de logueo. Auqnue aqui el bypass del usuario es mas complejo ya que tpm y secure boot se encarga de estas cosas, por ejemplo no dejandote arrancar desde un usb.

Esta autenticacion adicional: Pre-boot authentication with BitLocker is a policy setting that requires the use of either user input, such as a PIN, a startup key, or both to authenticate prior to making the contents of the system drive accessible. The Group Policy setting is Require additional authentication at startup and the corresponding setting in the BitLocker CSP is SystemDrivesRequireStartupAuthentication.


Hasta ahora, para hacer uso de tpm habia que recurrir a software, modulos, sus correspondientes configuraciones, etc. Cuando todo esto este implementado de forma nativa en ubuntu supongo que sera out of the box y que tambien se podra configurar como en el caso de windows.

Un saludo!.

[Burt]

Buenas. Ayer se actualizó el kernel de mi distro (KDE neon) y al arrancar el PC hoy me ha dado un bonito kernel panic...



La versión del kernel anterior es 6.2.0-35-generic con la que sigo pudiendo arrancar pero con la que se ha actualizado 6.2.0-36-generic no puede abrir /dev/root. Tener en cuenta que mi disco está cifrado con LUKS 2.

Si intento ir a las opciones de recuperación a través del GRUB me indica que no puede acceder o abrir el Volum Group (VG)



He mirado que los UUID de las particiones coincidan entre fstat y lo que me dice blkid y no hay incongruencias.

Así que, ¿alguien sabría como puedo solucionar esto o mejor elimino el último kernel y tiro con el anterior que no da problemas?

Un saludo!


P.D.: Pues igual no es culpa del último kernel, veo que se instaló el 9 de octubre y durante este tiempo ha funcionado. Ha sido después de alguna actualización de otras cosas lo que habrá causado el problema. Extraño.


SOLUCIONADO:

Alguna cosa no debió ir bien durante la última actualización.
Normalmente yo actualizo mediante consola con estos comandos:

sudo pkcon refresh
sudo pkcon update

Así es como debe hacerse en 'KDE neon' y no se recomienda el típico método de Ubuntu:

sudo apt update
sudo apt dist-upgrade

pese a que esta distro está basada y de hecho es un Ubuntu.

Pero en esta ocasión he forzado hacerlo vía apt y me ha resuelto el problema

Un saludo

[UltimaNeurona]

Me alegro Burt!

Seguramente lo que ocurrio es que tras la actualizacion del kernel via metodo neon, cuando se genera el initramfs y la actualizacion del grub, no se actualizo bien la linea root= que puedes ver en las entradas de /boot/grub/grub.cfg para cargar la raiz. En este archivo puedes ver las entradas de los kernels y la raiz que carga grub.

Ahora acabo de actualizar a 6.2.0-36-generic via apt update&apt upgrade y esa entrada apunta bien al root, root=/dev/mapper/sysvg-rootlv en mi caso.

Un saludo!