Ноутбук с двумя зашифрованными дисками LUKS: HDD и SSD: как начать с одной и той же парольной фразы?

Question

В моем ноутбуке с Linux у меня есть два диска: один большой обычный жесткий диск и маленький, но быстрый SSD.
На SSD у меня есть небольшая незашифрованная /boot часть, содержащая ядра, образы initrd и GRUB. Все остальное (включая Linux / , swap , /home , ...) находится на двух псевдоустройствах с шифрованием LUKS . Они запускаются во время загрузки с использованием записей в /etc/crypttab . Все работает просто отлично.

Но во время загрузки я должен ввести две парольные фразы, чтобы активировать оба контейнера LUKS.

Поскольку я использовал одну и ту же парольную фразу для обоих дисков, я сейчас ищу умный и безопасный способ, который позволяет мне запускать оба диска, вводя парольную фразу только один раз во время загрузки. Есть идеи?

Я уже знаю, что могу сохранить фразу-пароль для второго диска в файле ключа в уже зашифрованной корневой файловой системе на SSD и сослаться на нее в /etc/crypttab . Но я боюсь, что этот ключевой файл может каким-то образом просочиться (возможно, он может появиться в образах initrd в незашифрованном виде /boot/ partition?).

Answer 1

Это не совсем та информация, которую вы ищете, но если вы сохраните парольную фразу для второго диска в ключевом файле уже зашифрованной корневой файловой системы на SSD и обратитесь к ней в файле /etc /crypttab, эта информация может помочь: я только что проверил и ключ отсутствует в файле initrd. AFAIK, он надежно хранится только в зашифрованной корневой файловой системе, поэтому этот параметр может быть безопасным.