Administrace komentářů

### pokud chces, nejdriv vytvorit LUKS bordel na "zmateni nepritele"
sudo cryptsetup open --type plain --key-file /dev/random /dev/sdXY bordel
sudo dd bs=1M if=/dev/zero of=/dev/mapper/bordel
sudo cryptsetup luksClose bordel
# zlikvidovat LUKS hlavicku
sudo  dd if=/dev/urandom of=/dev/sdXY bs=1M count=10

### ted jiz vytvoreni finalniho LUKS (mozna nejsou parametry idealni, kdyztak at se nekdo jeste vyjadri)
sudo cryptsetup --cipher aes-xts-plain64 --key-size 512 --hash sha512 --use-random luksFormat /dev/sdXY

### odemknuti LUKS (misto sdXY_open muzes vymyslet svuj nazev, ale pak se ho dal drz)
sudo cryptsetup luksOpen /dev/sdXY sdXY_open

### pustis instalaci BEZ instalace Grubu
sudo ubiquity --no-bootloader

### pripojeni ciloveho systemu (zkontroluj nejdriv zda nezustal v /target nahodou instalaci jeste pripojen)
sudo mount /dev/mapper/sdXY_open /target
# pripojeni prvniho FAT32 oddilu
sudo mount /dev/sdX1 /target/boot/efi
# pripojeni systemovych 
sudo mount --bind /dev /target/dev
sudo mount -t devpts devpts /target/dev/pts
sudo mount -t proc proc /target/proc
sudo mount -t sysfs sysfs /target/sys
# chroot do nainstalovaneho
sudo chroot /target

# instalace GRUBu
grub-install --target=x86_64-efi /dev/sdX
# pridani parametru GRUBu aby nabidl odemknuti LUKS pri bootu
echo "GRUB_ENABLE_CRYPTODISK=y" >> /target/etc/default/grub
update-grub

### tak lze do initramfs pridat soubor klice a nastavit automaticke (JEN toto druhe odemknuti)
## vytvoreni crypttab s informaci o LUKS
# zjisteni UUID LUKS oddilu
blkid /dev/sdXY
echo "sdXY_open UUID=to_tvoje_zjistene_UUID /crypto_keyfile.bin luks,keyscript=/bin/cat" >/target/etc/crypttab

# pridani "scriptu" co pri generovani/aktualizaci initramfs bude kopirovat klic do initramfs
echo '#!/bin/sh\ncp /boot/crypto_keyfile.bin "${DESTDIR}"' /target/etc/initramfs-tools/hooks/crypto_keyfile
chmod +x /target/etc/initramfs-tools/hooks/crypto_keyfile

# zamezeni pristupu do /boot (kde je klic) uzivatelum
chmod -R g-rwx,o-rwx /target/boot

# vytvoreni klice a pridani jako dalsi klic pro LUKS
dd bs=512 count=4 if=/dev/urandom of=/target/boot/crypto_keyfile.bin
chmod 000 /target/boot/crypto_keyfile.bin
cryptsetup luksAddKey /dev/sdXY /target/boot/crypto_keyfile.bin

# aktualizaci initramfs (ted navic bude obsahoval ten klic a cryptsetup)
update-initramfs -k all -u

# odejiti z chrootu
exit

# odmontovani
sudo umount /target/{dev/pts,dev,proc,run,sys,boot,home}
sudo umount /target

# zamknuti LUKS
sudo cryptsetup luksClose sdXY_open

je dost mozne ze sem se nekde preklepl, neco opomenul atd (neoveroval sem celej postup ted v instlalaci, i kdyz vychazi z toho jak sem to nekolikrat instaloval), takze instalaci provadej bud s odpojenejma vsema diskama (krome te flash), nebo ve Virtualu