Jak wstępnie szyfrować tylko partycję root?

Mam 3 partycje: EFI ( /boot/efi), boot ( /boot) i root ( /). Chcę po prostu zaszyfrować /. Mogę to zrobić ręcznie za pomocą instalatora, ale chcę to wstępnie zaprogramować.

Jak to zdefiniować? Mój (niezaszyfrowany) przepis wygląda mniej więcej tak: Jest to coś w rodzaju pomieszania sugestii dla partycji systemowych EFI, które znalazłem (nie znalazłem jasnego przewodnika).

boot-root ::
  100 100 100 fat32
    $primary
    $iflabel{ gpt }
    $reusemethod( }
    use_filesystem{ } filesystem{ vfat }
    method{ efi } format{ }
    mountpoint{ /boot/efi }
  .
  300 300 300 ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ /boot }
  .
  100% 3000 100% ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ / }
  .

Jak mogę sda3stać się fizyczną partycją do szyfrowania LUKS, a następnie mieć na niej system plików?

AKTUALIZACJA:

Odkryłem, że mogę ustawić partycję jako kryptograficzną, jak poniżej, ale nadal występują 3 problemy:

1. Nadal muszę utworzyć i aktywować zaszyfrowane woluminy na wybranej partycji
2. Nadal muszę ustawić poprawny system plików ext4 na zaszyfrowanym woluminie po utworzeniu i aktywacji
3. Przepis nie wybiera typu szyfrowania, dm-cryptktóry jest wymagany do utworzenia i aktywacji zaszyfrowanych woluminów.

Wciąż mocno się zmaga

boot-root ::
  100 100 100 fat32
    $primary
    $iflabel{ gpt }
    $reusemethod( }
    use_filesystem{ } filesystem{ vfat }
    method{ efi } format{ }
    mountpoint{ /boot/efi }
  .
  300 300 300 ext4
    use_filesystem{ } filesystem{ ext4 }
    method{ format } format{ }
    mountpoint{ /boot }
  .
  100% 3000 100% ext4
    method{ crypto } format{ }
  .

Najpierw otwórz terminal główny:

sudo -i

Następnie wypełnij partycję, która powinna być zaszyfrowana, losowymi danymi za pomocą następującego polecenia:

openssl enc -aes-256-ctr -pass pass:"$(dd if=/dev/urandom bs=128 count=1 2>/dev/null | base64)" -nosalt < /dev/zero > /dev/sdxy

Musisz zastąpić sdxypartycję, która zostanie zaszyfrowana. Następnie wpisz

cryptsetup luksFormat --cipher twofish-xts-plain64 --key-size 512 --hash sha512 --iter-time 2000 /dev/sdxy

do szyfrowania partycji sdxy. Otwórz wolumin i nazwij go root:

cryptsetup luksOpen /dev/sdxy root

Użyj tego polecenia, aby utworzyć w nim system plików ext4:

mkfs.ext4 /dev/mapper/root

Następnie możesz uruchomić instalatora. Wybierz „Coś innego”, gdy zostaniesz zapytany, co chcesz zrobić. Następnie wybierz punkty montowania dla wszystkich niezaszyfrowanych partycji. W przypadku rootpartycji wybierz /dev/mapper/rootopcję „Zmień”. Następnie wybierz ext4typ systemu plików i ustaw punkt montowania na /. Następnie kliknij „Zainstaluj teraz” i zainstaluj Ubuntu normalnie.

Po zakończeniu instalacji kliknij „Kontynuuj testowanie”. Otwórz terminal i wpisz:

sudo -i
cd /mnt
mkdir root
mount /dev/mapper/root root
mount /dev/sdyz root/boot

sdyznależy zastąpić bootpartycją. Następnie wpisz:

chroot root
mount -t proc proc /proc
mount -t sysfs sys /sys
nano /etc/crypttab

Otwórz drugi terminal i wpisz sudo blkid. Znajdź UUID dla root(tego, który mówi crypto_luksna końcu) i wklej go do /etc/crypttab. Plik /etc/crypttabpowinien wyglądać mniej więcej tak:

root UUID=d68911dd-172a-4608-86d4-084eb72f409c none luks

Zamknij plik z Ctrl+ x, ya Enter. Wpisz nano /etc/fstabterminal i sprawdź, czy wszystko wygląda poprawnie (np. UUID).

W końcu zamknij środowisko chroot i wpisz:

cryptsetup luksHeaderBackup /dev/sdxy --header-backup-file /root/root.img

Spowoduje to umieszczenie obrazu nagłówka zaszyfrowanej partycji w folderze /rooti nadanie mu nazwy root.img. Następnie przenieś obraz na dysk zewnętrzny (w przypadku zapomnienia hasła). Teraz możesz ponownie uruchomić system w nowo zainstalowanym systemie Ubuntu.

Źródło: http://thesimplecomputer.info/full-disk-encryption-with-ubuntu