Dotaz: Dual boot - UEFI/Legacy?

[Petr Fiedler]

Zdravím,

mám nový notebook s Windows a recovery partitions a rád bych úplně smazal celý disk včetně recovery a nainstaloval si na něj Windows 10 a Linux Mint 18.3. Mám ale pár otázek, se kterými si nevím rady:

1) Mám použít UEFI, neob Legacy?

2) Půjde v případě dual bootu vůbec použít UEFI?

3) Pokud půjde použít UEFI, půjde použít při dual bootu secure boot?

Ještě dodám, že bych chtěl šifrovat, ale v tom zatím nemám vůbec jasno co a jak.

---

---

Odpovědi

[alkoholik]

UEFI = GPT partition table, legacy BIOS = DOS partition table. Zapomen na nejake kombinovani.
Dual boot jed normalne pres UEFI. Klidne muzes mit vic partition typu EFI. Na jedne bude grub, na druhe Windows bootloader. Windows pak jdou chainloadovat z GRUBu.
Pro secure boot je UEFI podminka nutna, nikoli dostacujici. Pochybuju, ze ma Mint podepsana jadra.

[Petr Fiedler]

Prosím tě a poradil bys mi, jak to mám udělat? Já když to celé instaluji, tak postupuji takto: První instaluji Windows. V instalátoru smažu celý disk (sda) a zvolím velikost oddílu (sda2) pro Windows. Instalátor sám vytvoří oddíl (sda1) pro Winloader. Po nainstalování je tedy na disku Winloader (sda1), Windows (sda2) a volné místo. Ve Windows pak udělá třetí oddíl (sda3) na data. Když pak instaluji Mint, tak vytvořím na zbylém místě sda4 pro Mint a GRUB instaluji na sda. Jak bych měl tedy postupovat, kdybych chtěl mít více partition EFI?

[k3dAR]

ty uz si zapomel na svoje predchozi vlakno o sifrovani flash? postup je v postate totoznej, jedinej rozdil je ze uz tam budes mit par oddilu od Windows, takze je potreba jen je nemazat

[Petr Fiedler]

ty uz si zapomel na svoje predchozi vlakno ...

No já to zkusím.

[Petr Fiedler]

Raději se zeptám, než abych to zkazil. Takže nainstaluju Windows a vytvořím partyšnu pro data. Takže to bude takhle:

sda1 Winloader
sda2 Windows
sda3 Data
volné místo

A teď spustím instalaci Mintu. Spustím terminál a v něm:

sudo ubiquity --no-bootloader

Pak v instalátoru vytvořím sda4=1 GB pro EFI a naformátuju na FAT. Pak vytvořím sda5 pro systém. Na sda5 nainstaluji Mint a po úspěšném nainstalování kliknu na "Pokračovat" a v terminálu zadám:

sudo mount /dev/mapper/sda5 /target
sudo mount /dev/sda4 /target/boot/efi
sudo mount --bind /dev /target/dev
sudo mount -t devpts devpts /target/dev/pts
sudo mount -t proc proc /target/proc
sudo mount -t sysfs sysfs /target/sys
sudo chroot /target
grub-install --target=x86_64-efi /dev/sda
update-grub
update-initramfs -k all -u
sudo umount /target/{dev/pts,dev,proc,run,sys,boot,home}
sudo umount /target

Je to správně?

[k3dAR]

bohuzel spatne
1. vubec bys tim neresil sifrovani Linuxoveho oddilu
2. "/dev/mapper/sda5" - pokud pracujes s beznym oddilem (a je jedno zda na MBR/MSDOS nebo GPT rozddeleni), tak jde vzdy o zarizeni /dev/sdXY, v /dev/mapper/ jsou zarizeni pro LV (oddil v LVM), odemceny LUKS, a dalsi pro tuhle situaci nedulezite)
3. EFI oddil uz budes mit od Windows, je zbytecne (i kdyz to jde) delat dalsi EFI oddil pro Linux
az na bod 2. by jinak postup zabral na nainstalovani EFI zavadece v chrootu, nicmene pokud bys Mint nastartoval primo v rezimu EFI (jak zjistit uz vis z minula), tak by EFI zavadec si (pokud se nepletu) instaloval automaticky bez celeho tohoto postupu a pustenim instalatoru pres ikonu (= bez parametru --no-bootloader)

pokud ale chces sifrovat Linux oddil, je potreba pouzit kompletni postup ze scriptu z vlakna "Sifrovana USB flashka), pouze s rozdilem ze se vynecha "parted mklabel gpt" (protoze to uz bude) a misto 1, 2 a 3 oddilu budes resit 4(oddil pro LUKS), protoze 1(bios_grub) odpada kdyz nepotrebujes Legacy boot, 2(EFI) odpada kdyz uz bude z Windows (jen tento EFI stale pripojis do /target/boot/efi (ale pozor sdXY musis zadat to na kterem poradi to Windows udelaji)...

[alkoholik]

Windows dela svuj EFI oddil dost maly (tusim jenom 100MB). Je lepsi, kdyz se o nej s linuxem nehada.

[Petr Fiedler]

Kdysi to bylo 100 MB, dnes je to 500 MB.

[Petr Fiedler]

No, věděl jsem, že to nebude šifrované. Šlo mi jen o instalaci EFI a systému. Nějak jsem zapomněl, že LUKS musí být první. Mám v tom dost chaos, protože vůbec nevím, jak to udělat.

Windows budu muset šifrovat VeraCryptem.
Datadisk (data partyšna) bude nešifrovaný a na citlivá data tam bude kontejner.
Linux bude šifrovaný pomocí LUKS.
A do toho ještě to UEFI.
A ještě TRIM - ve Win údajně defaultně zapnuto, v Linuxu naopak.
Secure boot?
Napřed nabootovat Liveko a zaplnit smetím?

Masakr! To teda bude boj :D

Si říkám, jestli nemám dát Linux do virtuálu, celé to po odzálohování Clonezilou zašifrovat VeraCryptem a bylo by to. Nebudu na to spěchat a dám tomu čas.

Jen tak pro inspiraci. Kdybys musel používat oba systémy a chtěl bys šifrovat, jak by sis to udělal ty? Asi EFI a Linux (LVM, LUKS) a Windows do KVM, že?

[k3dAR]

LUKS nemusi byt prvni (v poradi rozdeleni na disku), ale musi byt pripraven driv nez udelas instalaci GNU/Linuxu.
TRIM je v GNU/Linuxu uz pekne dlouho take zapnuto, resp. je pripravena naplanovana uloha co pousti automaticky nastroj fstrim...
Secure boot s Ubuntu uz par let neni problem, s Mintem dle odkazu co sem tu nekde postnul by take nemelo...
ten postup je jak sem psal totoznej s tou USB Flash, akorat ze se nemaze disk a cisla oddilu jsou jinde...
pro inspiraci, ja presne jak pises, GNU/Linux jedine nativne(presne jak sem ti resil tu Flash, NEoddelenej boot, LUKS nad tim LVM nad tim LV (rootfs, home, swap) a filesystem ext4, pripadne Windows jedine ve virtualu a (protoze nepotrebuju bezesvej) tak jedine v KVM Win by tedy byli take na sifrovanem LUKS/LVM...

[Petr Fiedler]

A ještě k:

UEFI = GPT partition table, legacy BIOS = DOS partition table. Zapomen na nejake kombinovani.

To je jasné. UEFI/Legacy v názvu vlákna znamená UEFI nebo Legacy? Jakože co z toho zvolit?

[k3dAR]

UEFI = GPT partition table, legacy BIOS = DOS partition table. Zapomen na nejake kombinovani

to neni pravda... "Legacy BIOS" muze snadno startovat z GPT tim ze bude obsahovat nezformatovany oddil s flagem bios_grub kam si GRUB2 svoji Legacy img automaticky nahraje...
a tento 1 disk s GPT rozdeleni tedy muze obsahovat a startovat jak pres Legacy tak pres UEFI...

[Petr Fiedler]

UEFI = GPT partition table, legacy BIOS = DOS partition table. Zapomen na nejake kombinovani

to neni pravda... "Legacy BIOS" muze snadno startovat z GPT tim ze bude obsahovat nezformatovany oddil s flagem bios_grub kam si GRUB2 svoji Legacy img automaticky nahraje...
a tento 1 disk s GPT rozdeleni tedy muze obsahovat a startovat jak pres Legacy tak pres UEFI...

Jsem fakt moula. Zrovna dneska jsem četl na české Wiki o UEFI a tam se psalo, že "existují BIOSy, které umí systém zavést z disků obsahujících GPT tabulku".

[Jardik]

Imho tomu biosu je jedno, co tam je za tabulku, proste z prvnich 512B nacte bootloader a spusti ho, o ostatni se stara ten a podpora gpt je na nem. Z gpt tedy klidne nabootujes I 19 let stary pc. Neschopnost bootu z gpt windows je jen umele omezeni jejich bootloaderu.

[Josef Kufner]

Pokud jde o klasický "Legacy" boot, tak máš pravdu. Pokud jde o UEFI, tak je to úplně jinak – namísto boot sektoru se bere zaregistrovaný soubor na EFI oddílu s FAT.

[Jardik]

Moje poznamka byla samozrejme k

existují BIOSy, které umí systém zavést z disků obsahujících GPT tabulku

Jinak s efi jsem jeste niky nebootoval, nevidim v tom absolutne zadny prinos, jen starosti s vytvarenim efi oddilu pri instalaci a vice zabraneho mista, ktereho na ssd neni nikdy dost.

[Josef Kufner]

Tak si to nastuduj a uvidíš.

[k3dAR]

Pochybuju, ze ma Mint podepsana jadra.

https://community.linuxmint.com/software/view/linux-signed-generic
ano, ten web je brutalne desnej ale aspon to plati

[Harvie.CZ]

Ja jsem v praci vyrabel univerzalni image disku co nabootuje pres BIOS i UEFI. Neni to tak tezky. Myslim, ze to musi bejt GPT, ale BIOS umi bootovat i z GPT (konec koncu to se bezne dela pokud chces bootovat s BIOSem z 4TB+ disku).

Muzu tedy spolehlive potvrdit, ze to funguje bez nejakejch slozitejch hacku. Nicmene nevidim duvod, pokud neplanujes (jako ja) jednu instalaci poustet na ruznym HW, kde predem nevis jestli je uefi nebo bios.

[k3dAR]

ano

[Josef Kufner]

V BIOSu vypni Secure Boot a zapni UEFI (resp. nech zapnuté; legacy vypni).

Pokud po instalaci budeš mít podepsaný Grub, tak můžeš Secure Boot zas zapnout. Pokud ne, tak ho nech vypnutý, ono o moc nejde.

Šifrovaní je na UEFI nezávislé. Budeš celkem potřebovat tři nebo čtyři oddíly: EFI, Windows C: a pro Linux /boot a /. V případě šifrovaného disku bude ten kořenový oddíl ve skutečnosti šifrovaný kontejner ve kterém bude LVM a tam teprve kořen. EFI a /boot si dej na začátek vedle sebe, neboť je můžeš spojit a mít /boot a EFI jako jeden FAT32 oddíl. Druhá možnost je nechat Grub startovat šifrovaný oddíl (umí to, ale nejsem si jist podporou v instalátorech).

[k3dAR]

ja bych ten SecureBoot urcite prvne nevypinal, duveroval bych ze Mint nahodi podepsane jadro i grub (dle popisu to maji podepsane pres Ubuntu klice)...

a URCITE bych nedelal oddelenej/mimo_LUKS boot, pak bu muze kdokoliv zmenit initramfs a zadavane heslo do LUKS ani nepozna ze se pres ssh/ftp/mail/cokoliv odesila utocnikovi...

instalator (v *buntu/Mint) si s tim sice neporadi, ale lze to pomerne snadno obejit tim ze se LUKS/LVM pripravi predem, viz predchozi vlakno s totoznym problemem (pouze zamyslene na USBFlash a bez Dual Windows) a resenim, jen to nepatrne upravit (vynechat parted mklabel gpt a posunout cisla oddilu)

[Josef Kufner]

Otázkou je, proti čemu se chceš šifrovaním bránit. Pokud jde o odcizení notebooku/disku, tak je to jedno a nešifrovaný /boot a vypnutý Secure Boot nijak nevadí. Pokud se bojí, že mu to někdo upraví, tak je potřeba zapnout Secure Boot a dát si tam vlastní klíče, jinak je to na nic.

[Petr Fiedler]

Otázkou je, proti čemu se chceš šifrovaním bránit.

Chci mít notebook zabezpečený co nejlépe. Nikdy nevíš, co tě může potkat.

[Petr Fiedler]

k3dAR,

mě se ten tvůj způsob líbí. Secure boot nevypínat, spolehnout se, že Mint nainstaluje podepsané jádro i GRUB a mít NEoddělený /boot a vše pěkně zašifrované. A stačí vlastně jen něco zakomentovat v tom skriptu a pohlídat si čísla těch oddílů. To není problém. Problém je v tom, že budu muset oddíl s Windows šifrovat VeraCryptem a možná i Winloader a to pak nevím, jak by se to líbilo Linuxu. Nevím to jistě, ale předpokládám, že když spustím notebook, tak se nejdřív objeví login screen VeraCryptu s požadavkem na zadání hesla a pak už nedokážu domyslet, co by se dělo dál. Jen tak nějak tuším, že Linuxu se to nebude líbit. A možná ani VeraCryptu. Jak už jsem zde myslím psal, tak když jsem chtěl šifrovat na desktopu celý disk - Winloader/Windows/Data/Mint, tak VeraCryptu vadilo, že je zavaděč Linuxu na sda a chtěl po mě, abych jej přesunul na sda4, že se na začátku bude spouštět boot menu VeraCryptu a ten bude zavádět systémy.

Mimochodem, z toho notebooku jsem taky v pasti. Chtěl jsem Clonezillou pro jistotu udělat zálohu disku včetně recovery a zatím jsem ani nepřišel na to, jak tu Clonezillu zavést. V BIOSu není nic jako "Boot priority" a v boot menu nic vidět taky není. Takže vlastně ani nevím, jak ten Mint vůbec do toho notebooku dostanu. Zítra jdu na lekci Linuxu, tak poprosím kluky, aby na to mrkli...

[Petr Fiedler]

Tak na konec jsem se rozhodl, že zkusím tohle:

Na notebooku spustím Linux z flešky, smažu disk a vytvořím na něm 1024 MB oddíl FAT32 pro UEFI. Inatalátor Windows totiž udělá jen 512 MB. Otázkou je, jestli to Windows nepředělají podle sebe. Pokud ano, vše smažu a nechám to na Windows. Pak v instalátoru Windows vytvořím partyšnu pro Windows a nainstaluji je. Pak vytvořím partyšnu pro data a pro Linux. Spustím instalaci Linuxu s NEodděleným /boot a jako místo pro zavaděč zvolím sda4 (linuxová partyšna - požaduje to VeraCrypt). Vše budu instalovat jako UEFI se zapnutým Secure boot. Pak záloha Clonezillou (spuštěno jako Legacy) a pak vše zašifruji VeraCryptem, který by měl při startu pc požádat o heslo a pak zobrazit svoje boot menu pro výběr OS.

Prosím o schválení. Je to dobře?

A ještě se chci zeptat, jestli má někdo zkušenosti s VeraCryptem? Prý by měl mít mód pro SSD.

[Petr Fiedler]

Ještě je varianta, že bych nešifroval celý disk, ale prohodil bych linuxový oddíl s oddílem pro data a zašifroval bych jen sda1 Winloader, sda2 Windows, sda3 Linux a sda4 data bych nešifroval. A na tom datovém oddílu bych měl kontejner na citlivá data. To bych ale takto udělal jen za předpokladu, že by to při zapnutém TRIMu pomohlo disku. Pokud by to nepomohlo, tak bych šifroval celý disk, abych nemusel pokaždé ještě zadávat heslo ke kontejneru.

[k3dAR]

tzn. Chces Linux oddil sifrovat VeraCryptem?
Nevim zda by to slo ale urcite bych to nedelal, Veracryptem zasifruj jen Windows oddil, Linux oddil zasifruj pres LUKS, grub na sda4 nedavej, kdyz instalujes efi grub tak (pokud se nepletu) stejne jen nahrava neco.efi do EFI oddilu...
Takze pak pres BootMenu desky vyberes zda se ma startovat Veracrypt nebo Grub, pripadne co sem ted rychle vygooglil lze Veracrypt volat i z Grubu...

[Petr Fiedler]

No, a dokážeš domyslet, jak se to bude chovat? Když zašifruji Windows (single boot) VeraCryptem, tak se při startu pc objeví okýnko pro heslo a pak se teprve spustí zavádění Windows. Když zašifruješ Linux (single boot), tak se při startu pc objeví dialog na zadání hesla a pak se teprve spustí zavádění systému. Nebude se to při dual bootu mezi sebou "mlátit"?

Navíc pokud by se objevilo napřed okýnko VC, tak bych musel zadat heslo a pak vybrat Linux (kdybych jej chtěl spustit) a zase heslo pro LUKS, ne?

Jsem si říkal, že kdybych to zašifroval celé VeraCryptem, tak bych při startu pc zadal jednou heslo, vybral OS a hotovo. VeraCryptu ale vadí zavaděč Linuxu a chce po mě, abych jej dal na linuxový oddíl. Alespoň na pc to tak bylo. Ale najsem si jistý, jestli pc používá UEFI, nebo Legacy.

Netrvám na VC. Pokud myslíš, že je pro Linux lepší LUKS a login screeny by se mezi sebou nebily, tak bych to tak mohl udělat. Co teda myslíš?

[Petr Fiedler]

I když vlastně linuxový VC nešifruje systémový disk. Asi by to nefungovalo.

[k3dAR]

domejslel sem to nez sem to psal a domyslene ti napsal viz:
Takze pak pres BootMenu desky vyberes zda se ma startovat Veracrypt nebo Grub, pripadne co sem ted rychle vygooglil lze Veracrypt volat i z Grubu...
ty 2 dialogy o kterej pises jsou 2 ruzne efi binarky, ty si muzes v bootmenu (DESKY!) vybrat kterej se ma natahnout, podle toho se zobrazi dotaz na heslo...

[Petr Fiedler]

ty 2 dialogy o kterej pises jsou 2 ruzne efi binarky, ty si muzes v bootmenu (DESKY!) vybrat kterej se ma natahnout, podle toho se zobrazi dotaz na heslo...

To předpokládáš NEšifrovaný EFI?

[k3dAR]

tak pokud neplanujes implementovat podporu veracryptu do "biosu" sve desky, tak EFI nemuze byt sifrovanej, protoze z neho se musi zavadec (i ten Veracrypt) nacist u EFI je to proste jinak nez si mel s Legacy, tam jak Grub tak VeracryptLoader sel do MBR

[Petr Fiedler]

tak pokud neplanujes implementovat podporu veracryptu do "biosu" sve desky ...

A jak mám tu podporu implementovat? Když např. vytvořím bootovací flešku a nechám ji v pc, tak po rebootu zmáčknu F12 a v boot menu jí vidím. Ale to se dělá "samo". Nic neimplementuji. To jako budu muset nějak "na tvrdo" dostat něco do "BIOSu"? Nechápu.

BTW, myslím, že když VeraCryptem šifruješ systémový disk, tak ti zašifruje i loader. V dokumentaci jsem o tom něco četl, ale už přesně nevím.

[k3dAR]

ta implementace byla joke nepredpokladal ze by jsi hackoval BIOS sve desky, nebo se naboril k vyrobci a ukradl mu zdrojaky

tedy EFI NEMUZE byt sifrovane, protoze si z neho UEFI("BIOS"(NE Legacy)) nacita EFI binarky... kdyz nainstalujes Windows daji do EFI svoji binarku zavadece, kdyz nainstalujes Linux, da si tam EFI binarku GRUBu, kdyz nainstalujes Veracrypt da si tam svoji EFI binarku, a sifrovane Windows kdyz bys chtel nastartovat pres original EFI Windows zavadec tam to nepujde, musi se pres Veracrypt EFI...
EFI binarky z HDD se nactou pokud jsou ulozene v EFIVARS, z vymenych disku se nacitaj i bez toho, proste si to UEFI pri zapnuti ocucha a kde je najde, tak to zobrazi v boot menu... ve stejnem boot menu bys mel videt prave jak GRUB (z ubuntu ma jmeno boot polozky "ubuntu", z Mintu mozna take tim ze ho podepisujou Ubuntu podpisem), pak tam uvidis VeraCrypt a Windows... do GRUB menu lze pridat uzivatelskou polozky aby nacetla pri vybrani VeraCrypt efi (viz ten odkaz na kterej ses ptal zda to pujde), ale to jen kdyz bys nechtel pouzivat BootMenu desky, ale jen GRUB, nevyhoda by pak byla ze bys musel zadat do GRUB heslo pro LUKS i kdyz bys chtel startovat VeraCrypt-Win (protoze GRUB moduly i configurace by byla na sifrovanem LUKS), takze pokud by nevadilo pouzivat hotkey pro bootmenu desky, vybral bys tam Ubuntu nebo Veracrypt a zadal vzdy jen to konkretni heslo k tomu/...

[k3dAR]

ad EFI binarky z HDD se nactou pokud jsou ulozene v EFIVARS
do EFIVARS si to uklada automaticky instalator (jak Win, Lin, Veracrypt) nebo to jde upravovat/pridavat/mazat rucne (jen pokud tam neco chces menit) pres efibootmgr (v Lin)

[Petr Fiedler]

Používat hotkey by vůbec nevadilo. Teď tuním Windows. Nemůžu se ale věnovat jen tomu, takže to vidím tak ještě na 2, nebo 3 dny. Pak udělám zálohu a před instalací Linuxu se určitě ozvu.

Zatím zdarec ...

A dík ...

[Josef Kufner]

Udělej si čtyři oddíly: EFI & Grub, Windows C:, Linux /, a čtvrtý na data sdílená mezi oběma systémy.

EFI pro Linux stačí jednotky MB. Nevím kolik si tam veme Windows. 500MB je až až.

EFI nebude šifrované.

Windowsí C: šifruj tím, co mají Windows rády.

Linuxí / zašifruj pomocí Luks (instalátor umí).

Sdílený oddíl zašifruj něčím, co funguje jak pod Windows, tak pod Linuxem.

[Petr Fiedler]

Josefe díky.

Já bych právě rád použil pro Windows ten VeraCrypt. Používám jej už dlouho a jsem s ním velice spokojen. Funguje i na Linuxu. Mám jej nainstalovaný v obou systémech a z jednoho i druhého s jeho pomocí rozšifrovávám kontejner na data partyšně. Problém je, že asi šifruje loader. Něco jsem o tom četl dnes v manuálu. Bylo to ale anglicky. Asi tedy budu muset najít něco jiného a to se mi hooodně nechce.

[Petr Fiedler]

A když bych šifroval linuxový oddíl pomocí LUKS, mohl bych pak aplikovat tohle?

[k3dAR]

mohl, to je to co sem psal:
pripadne co sem ted rychle vygooglil lze Veracrypt volat i z Grubu...

[Petr Fiedler]

Tak teď jsi mě zase nahlodal to udělat

[k3dAR]

Linuxí / zašifruj pomocí Luks (instalátor umí).

mam pocit ze se opakuju ale instalator neumi zasifrovat boot a bylo by tedy zbytecne to sifrovat takto polovicate kdyz to jde zasifrovat rucne vcetne boot...

[Josef Kufner]

Pokud to instalátor neumí, tak /boot může být dočasně na EFI oddílu, případně jde mít /boot a EFI oddíly vedle sebe a pak je spojit/zrušit.

[k3dAR]

instalator to neumi, ale musim rict ze ackoliv je tve reseni mene technicke, je ve zkutecnosti mnohem snadnejsi tedy nainstalovat pres instalator a pak presunout /boot/* z oddeleneho/nesifrovaneho oddilu do LUKS/LVM/rootfs/boot (+zrusit pripojovani /boot v /etc/fstab)...

[Josef Kufner]

Však jo. Proč to dělat jednoduše, když to jde složitě, že?

[Petr Fiedler]

Tak ještě jinak. Tohle je difinitivní. Winloader/Windows/data a Linux do virtuálu. Na desktopu jsem nechtěl Linux do virtuálu, protože se to někdy chová jinak, než na železe. Ale na notebooku si to můžu dovolit. Primární je pro mě totiž desktop. Navíc v notebooku mám dobrý procesor Intel core i7 8850U (4 jádra, 8 vláken, 1,8 GHz/4 GHz) a taky v něm mám na rozdíl od desktopu GPU, takže video bude v pohodě. A kdybych potřeboval zkusit něco na železe, tak nabootuju tu flešku s Mintem a hotovo.

A ze studijních důvodů si ten šifrovaný dual boot udělám na desktopu.

Vyřešeno, díky všem ...

[k3dAR]

na to ze si poustit instalace a clonezilovani k veceri si to vzdal moc brzo ne? a hlavne bez vyzkouseni toho zda by ti navrhovane reseni vyhovovalo

[Petr Fiedler]

na to ze si poustit instalace a clonezilovani k veceri si to vzdal moc brzo ne? a hlavne bez vyzkouseni toho zda by ti navrhovane reseni vyhovovalo

Já jsem fakt věděl, že mě do toho budeš povzbozovat. Tak jo, zkusím to, ať máš radost

[k3dAR]

co ja, ale ty budes happy az ti po vyzkouseni zjistis ze to funguje jak sis pral

[Petr Fiedler]

No to každopádně!

[Petr Fiedler]

Ahoj k3dAR,

jsem teď krok od toho, abych se tedy pustil do LUKS, LVM a instalace Mintu (EFI, secure boot). Jen si nevím rady ještě se dvěma věcmi. Týkají se však Windows a nechci o tom psát sem. Tak jsem si kvůli tomu založil svůj blog a tam jsem vše sepsal. Mohl by sis to prosím přečíst a poradit mi s tím? Na živě se mi psát nechce. V tebe mám větší důvěru. Vím, že rozumíš i Windows. Tady

[Petr Fiedler]

Tak na VeraCrypt můžu zapomenout. Alespoň pro šifrování Windows. Nerozumí si to se secure bootem. Budu muset najít jiný způsob, jak šifrovat Windows. Nebo to udělám tím BitLockerem a Linux budu muset dát do virtuálu.

[k3dAR]

nepouzivam ani Windows ani Veracrypt, ale se secure bootem si to rozumet MA, tady je nejake video, nekoukal sem na nej, tak nevim zda to resi tvuj problem, ani nevim jakej presne problem "nerozumi" mas
https://www.youtube.com/watch?v=oqDMP1rD4Zg

[Petr Fiedler]

Myslím, že to video se týká šifrování systému, který startuje pomocí UEFI (bez secure bootu). To mi taky funguje. Když jsem to zašifroval, tak se zapnutým secure bootem na mě při startu pc vyskočilo chybové okno. Dal jsem OK a dál se nic nedělo. Když jsem vypnul secure boot, tak se objevil dialog pro zadání hesla a pak naběhl systém. Ale to už je teď jedno, protože jsem to odstranil a zapl jsem BitLocker a taky jsem vytvořil partyšnu na data (zatím prázdná) a taky jsem jí zašifroval BitLockerem. Při startu Windows zadám heslo a ta partyšna se mi automaticky taky zpřístupní, což je fajn. A pro Linux existuje driver DisLocker, který to umí rozšifrovat a připojit, takže pohoda. Teď je otázka, jak postupovat při instalaci Linuxu? Pořád platí to s tím tvým skriptem?

[k3dAR]

aha, tak k veracrypt secure boot asi info zde...

s tim scriptem to plati, ze musis v nem vypustit "parted mklabel" ktere rusi&znovyvytvari_ciste_rozdeleni_disku, a zmenit/posunout poradi oddilu ktere to vytvari a neformatovat EFI a priradit tomu ten stavajici oddil a mozna jeste neco, co si ted bez koukani na script neuvedomuju

[Petr Fiedler]

aha, tak k veracrypt secure boot asi info zde

Nahlodal jsi mě opustit ten BitLocker a vrátit se k VeraCryptu Budu si to muset v klidu promyslet. Co bys použil ty? U toho BitLockeru je výhoda, že umí šifrovat jen obsazené místo na oddílu.

[k3dAR]

Nevim co bych pouzil, Windows na zeleze nepouzivam dlouho, takze z praxe ani BitLocker ani VeraCrypt neznam, nevim zda jsou mezi nimi zavaznejsi rozdily, jedine co me napadlo, jak moc je DisLocker stable, kdyz VeraCrypt je vice nativni, nehledal sem vice infa, jen se podival na README ze podporuje zapis :)

Lepe by ti poradil nekdo kdo obe reseni a v dualbootu zna...

[Petr Fiedler]

Dobře, díky. Tak nějak, ani nevím proč jsem myslel, že s Windows přijdeš do styku. Třeba v práci. Pokud se nepletu, tak děláš grafiku, ne? Ale to asi používáš jablko, že jo? Už tě teda s Windows nebudu trápit A díky, že si tomu věnoval čas

[k3dAR]

s Windows sem sveho casu ~15 let prichazel do styku pracovne stale, ale sifrovani se neresilo a koncil sem v dobe prichodu W7, jinak stale prichazim "pracovne" do styku, resim instalace z PXE a upravy ISO aby obsahovaly aktualizace, ale opet sifrovani neresim, pripadne ve virtualu take neresim sifrovani kdyz to bezi systemove nad LUKS grafiku nedelam a jablko mam jen starej MacMini jeste s PPC CPU a nebezelo dlouho protoze nekam zapadl zdroj

[Petr Fiedler]

Tak to nechápu kde jsem vzal, že jsi grafik Haluz!

[Petr Fiedler]

k3dAR

tak řešením by mohl být ten BitLocker viz. tady. Šifroval bych tím i tu datovou partyšnu a z Linuxu bych k tomu přistupoval pomocí driveru Dislocker.

Zkusím tohle a když tak se ještě ozvu.

[Petr Fiedler]

Tak nakonec jsem to udělal následovně:

S VeraCryptem byly velké problémy kvůli SecureBootu. Tak jsem se rozhodl, že použiju BitLocker. Takže jsem nainstaloval Windows 10 (UEFI), mám zapnutý SecureBoot, vše je šifrováno BitLockerem (výhoda je, že šifruje jen obsazené místo) a Mint mám ve virtuálu. Datovou partyšnu šifrovanou nemám a citlivá data na ní mám ve VeraCrypt kontejnerech a naprostá spokojenost. Když bych potřeboval plnohodnotný Linux, tak do notebooku zapojím flešku s Mintem a hotovo.

Označuji jako řešení, i když raději bych ten VeraCrypt, ale byly by s tím obrovské problémy (SecureBoot) a kdo ví, jestli by to vůbec šlo?