Dotaz: debian 13 boot s luks keyfile na usb flashdisku, fallback password ne

[pavele]

Mám nainstalovaný Debian 13.

První diskový oddíl je nešifrovaný /boot.

Druhý diskový oddíl je šifrovaný pomocí luks.

Při instalaci systému jsem nastavil přístupové heslo k luks. Po restartu se systém zeptá na heslo, to zadám a systém najede.

Chci mít možnost automatického přihlášení/odemknutí luks pomocí klíče uloženého na flashdisku a fallback pomocí hesla, když nebude fleška k dispozici. Upravil jsem tedy /etc/crypttab, aby vypadal nějak takto:

dm_crypt-0 UUID=80edd8a0-51ef-43ac-b2c1-62ababd1809a /dev/disk/by-uuid/09179c27-02cd-43a8-a59b-fd6eb8ef9e32:/luks-keyfile:30 luks,keyscript=passdev

Po restartu a vložení USB flešky se luks odemkne a systém najede. Bohužel bez flashdisku nedojde k fallbacku na prompt s heslem.

Zkusil jsem přidat do souboru crypttab directivu keyfile-timeout=10. Při update-initramfs mi vyleze chybová hláška, že parametr keyfile-timeout je neznámý.

Co s tím?

Odpovědi

[pavele]

Příloha:

• Snímek obrazovky_2026-02-03_18-06-22.jpg (84817 bytů)

Přidávám fotku - boot bez flashdisku.

[X]

Jen podle oka ID v logu jsou uplne jina nez mas v crypttab. Narazil jsem na podobny problem, ale zda to pomuze nevim.

[pavele]

Pardon, skutecny soubor /etc/crypttab

# Funguje jen s heslem

#sda2_crypt UUID=bba1f061-d95f-4a86-a4b3-73978d296483 none luks,discard,x-initrd.attach

# Funguje jen s klicem

sda2_crypt UUID=bba1f061-d95f-4a86-a4b3-73978d296483 /dev/disk/by-uuid/005B-2A9F:/keyfile:30 luks,keyscript=passdev

Muzu si vybrat bud jeden nebo druhy,u toho s klicem nefunguje fallback na heslo.

[X]

Pokus 1:

sda2_crypt UUID=bba1f061-d95f-4a86-a4b3-73978d296483 /dev/disk/by-uuid/005B-2A9F:/keyfile:30 luks,keyscript=/lib/cryptsetup/scripts/passdev

Pokus 2:

sda2_crypt UUID=bba1f061-d95f-4a86-a4b3-73978d296483 /dev/disk/by-uuid/005B-2A9F:/keyfile:30 luks,keyscript=/lib/cryptsetup/scripts/passdev,initramfs

src,src,src

[X]

update-initramfs -uv

[pavele]

Tak nic. Už mi zbývá asi jen zkusit vlastní skript místo /lib/cryptsetup/scripts/passdev.

[pavele]

ChatGPT řekl:

Jo, tohle je klasický problém passdev – ten skript je navržený tak, že když selže čtení klíče, už nevyvolá interaktivní dotaz, takže se k passphrase nikdy nedostaneš. Řešení je vlastní keyscript, který:

zkusí najít USB a načíst keyfile

pokud se to nepovede → vrátí nenulový návratový kód, aby cryptsetup spadl zpět na interaktivní prompt

[Max]

To je divný, keyfile-timeout by měl být dostupný už celkem dlouho.

Jak odemykáš luks? Přes encrypt? Nebo mnohem lépe přes sd-encrypt? Pokud přes encrypt, doporučuji switch na sd-encrypt a zkusit použít pak parametry v rámci něho, tj.

rd.luks.key=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX=/path/to/keyfile:UUID=ZZZZZZZZ-ZZZZ-ZZZZ-ZZZZ-ZZZZZZZZZZZZ

a timeout

rd.luks.options=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX=keyfile-timeout=10s

Tj. místo kernel parametru GRUB_CMDLINE_LINUX="cryptdevice=UUID=d3ab738e-3a7b-4fca-96bc-32d01a3c3d38:system" použít:

GRUB_CMDLINE_LINUX="rd.luks.name=d3ab738e-3a7b-4fca-96bc-32d01a3c3d38=system rd.luks.name=f9a3b527-479a-4600-8007-036ab55a5262=system2... rd.luks.key=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX=/path/to/keyfile:UUID=ZZZZZZZZ-ZZZZ-ZZZZ-ZZZZ-ZZZZZZZZZZZZ rd.luks.options=XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX=keyfile-timeout=10s"

Aspoň podobně to jedu v ArchLinux, Debian 12 údajně potřeboval přejít na dracut, ale co tak koukám, tak Debian 13 / Trixie by podporu pro toto mělo mít.
Zdar Max

[okurka]

Jak odemykáš luks? Přes encrypt? Nebo mnohem lépe přes sd-encrypt?

jen reklama?

[pavele]

Provedl jsem klasickou instalaci Debianu 13 s tím, že mám samostatně /boot a samostatně diskový oddíl sda2 zašifrovaný luks. Po instalaci bez problémů odemknu luks pomocí hesla, systém najede.

Co chci: Použít pro odemknutí klíč, umístěný na USB flashdisku a v případě, že flashdisk není přítomný, tak fallback na přihlášení heslem. Opravte mě a Al, jestli je to možné s použitím tohoto řádku v /etc/crypttab s volbou "keyscript=passdev:

sda2_crypt UUID=bba1f061-d95f-4a86-a4b3-73978d296483 /dev/disk/by-uuid/005B-2A9F:/keyfile:30 luks,keyscript=passdev

[Peter Golis]

Ako veľmi bude tá flashka chránená voči odcudzeniu, bude kryptovaná alebo sa bude jednať o falošný pocit bezpečia? Pýtam sa pre kamaráta.

Radšej by som zainvestoval do napr. Yabakey alebo niečoho podobného, keď už TPM vyžaduje SB ...

[pavele]

S Yubikey budo mít úplně stejný problém s fallback na heslo jako s flashdiskem.

[pavele]

Pokud dám do /etc/crypttab místo passdev cestu ke svému skriptu, tak:

- pokud je flashdisk vložený, vše proběhne v pořádku, luks se odemkne

- Bez flashdisku můj skript skončí s exit 1 a měl by následovat fallback na heslo, ale skript je okamžitě znovu nahozen (proč?). Pokud dám jako parametr crypttab directivu keyfile-timeout=10, při update-initramfs mi vyleze chybová hláška, že parametr keyfile-timeout je neznámý.

[X]

Je to trochu slozitejsi:

Please note that there are several independent cryptsetup wrappers with their own crypttab format. This manpage covers Debian's implementation for initramfs scripts and SysVinit init scripts. systemd brings its own crypttab implementation. We try to cover the differences between the systemd and our implementation in this manpage,

[Peter Golis]

Používam TPM s automatickým fallbackom na zadanie hesla, a funguje to spoľahlivo.

Ale je pravda že nepoužívam debian, a dodané backdoorové kľúče som vymazal.

[RealJ]

a nahral jsi si jako Izak cinske a ruske klice? Se ptam pro kamarada...

[ewew]

Je nutné použiť správny syntax. Keďže debian používa systemd-cryptsetup nie pôvodný cryptsetup. Z tohto dôvodu sa líši syntax crypttabu.

dm_crypt-0 UUID=80edd8a0-51ef-43ac-b2c1-62ababd1809a /luks-keyfile:UUID=09179c27-02cd-43a8-a59b-fd6eb8ef9e32 luks,keyfile-timeout=10 Tento syntax mi fungoval v qemu s debianom 14. Odpojenie USB s kľúčom vyvolalo požiadavku na heslo k šifrovanému oddielu. Netestoval som to voči dynamickej detekcii USB. V qemu bolo usb definované cez usb-storagem, nie scsi-hd.

[dnes 00:14 pavele]

Debian 14 bude mít asi jinou syntax než Debian 13.

Mám už funkční skript, ale Debian mi trochu háže klacky pod nohy, protože /bin/sh je v Debianu dash = /bin/dash, a v něm nefungují všechny věci jako v Bashi.

[Max]

1) Vždy můžeš volat bash, prostě do scriptu dáš #!/bin/bash
2) výše uvedené s rd.luks... nefunguje? Mělo by být v Debian13
Zdar Max