Login

Recent searches

No recent searches

Search options

Only available when logged in.
fosstodon.org is one of the many independent Mastodon servers you can use to participate in the fediverse.
Fosstodon is an invite only Mastodon instance that is open to those who are interested in technology; particularly free & open source software. If you wish to join, contact us for an invite.

Administered by:

Server stats:

10K
active users

fosstodon.org: AboutStatusProfiles directoryPrivacy policy

Mastodon: AboutGet the appKeyboard shortcutsView source codev4.3.7

#fde

2 posts2 participants0 posts today
Replied in thread
Public
SPdevALK 🐘️ ☑️

@delta glad to hear you are on top of things and of course advancing to new tech and transforming an initial base is hard.

Maybe backward compatibility should be sacrificed at some point even… making it EpsilonChat

Just look at #grub taking 10+ years to adapt to the #argon2i key derivation standard (still not implemented) making #FDE with #LVM on #LUKS still ‘hard to do’. so yeah…

Continued thread
Public
Sam Lehman :nixos:

The workflow I really want is something like:

- Use full disk encryption () via
- Only *require* a password to decrypt the disk from an encrypted data-at-rest state (i.e. boot)
- Once decrypted, prefer using fingerprint unlock (retaining the password option for convenience & necessary for remote access).
- Login should decrypt the keyring regardless of auth method.

Then maybe have a panic/lockdown mode like Android/iOS that sends the device back into the encrypted-at-rest state.

Public *
🅴🆁🆄🅰 🇷🇺
Про полнодисковое шифрование #FDE средствами #Luks
На ровном месте проявилась проблема, что идентификаторы разделов (partitions) теряются в определённых обстоятельствах. Потому система не может загрузиться, из-за чего в опции rd.luks.data приходится использовать /dev/disk/by-id/... вместо UUID'а раздела на диске.

Т.е. идентификатор шифрованного LUKS-раздела затирается в каких-то обстоятельствах и отдельных случаях, тем самым является совершенно ненадёжным способом указания на раздел диска.

Например, это затирание было замечено после того как выполнялось выставление флагов allow-discards, no_read_workqueue и no_write_workqueue через:
cryptsetup open --type luks2 --persistent --allow-discards --perf-no_read_workqueue --perf-no_write_workqueue ...

Соответственно, для `systemd-boot` загрузчика в файле /boot/loader/etries/your-system-100.500.conf приходится указывать нечто сродни: 
options    rd.luks.data=7f2df3a2-3c68-492e-bbd6-1ccf956379c0=/dev/disk/by-id/nvme-VENDOR_MODEL_SERIAL_ID_-partN
options    rd.luks.name=7f2df3a2-3c68-492e-bbd6-1ccf956379c0=crypto_dev_name
... или ...
options    rd.luks.data=2b507209-fcf1-4aae-a55a-1ba4e908cc8b=/dev/disk/by-id/ata-VENDOR_MODEL_SERIAL_ID_-partN

Где:
  • partN — это part1 или part2... part3 и т.д. номер разделов.
  • Используемые UUID'ы это из Luks-заголовка, т.е видимые через cryptsetup luksDump и отсутствующие в выдаче:
    lsblk -f
  • Идентификаторы разделов конкретного диска ...-VENDOR_MODEL_SERIAL_ID_-partN можно наблюдать через:
    ls /dev/disk/by-id/

Тоже самое касается и /etc/cryptsetup.initramfs, если таковой используется.

Почему #systemd-boot?
Использование #GRUB весьма неразумно при полнодисковом шифровании, так же использовать GRUB затруднительно, когда при старте надо открывать несколько шифрованных разделов.
Например, один из разделов на диске может быть swap, в который сохраняется система при hibernate. Да swap может быть и файлом на основном разделе, но далеко не всех такое устраивает и не все файловые системы это поддерживают.

#lang_ru #linux #LUKS
hub.hubzilla.deHubzilla.de
#systemdboot
Public
Dantali0n :arch: :i3:

Its been, I've lost count, 6 years? And still GRUB2 does not support while absolutely gets stomped .

Effectively rendering with encrypted boot insecure on Linux (X86). While with u-boot on ARM you can use argon2

I do not understand why this isn't like a high priority issues for GNU

Public
R. L. Dane :debian: :openbsd:

Logging in to on
Password: ********
<nope!>
Password: ********
<No, try again>
Password: ********
<Yep, that's the one>

Logging in to FDE on :
Password: ********
<Let me think about that>
<Considering the possibilities>
<Engaging quantum mulligan decryption>
<Calling a lifeline>
<INITIATING GRUB RECOVERY YOU HAVE NO CHANCE TO SURVIVE MAKE YOUR TIME!!!!!>

FFFFF-----!!!!!!!

Public
Habr

Установка Ubuntu 24.04 с полным шифрованием диска и использованием TPM

Это буквально "заметки для себя", но так как гуглёж до начала не дал никакой толковой информации, то решил оставить их и для остальных, может кому-то пригодится.

habr.com/ru/articles/832782/

ХабрУстановка Ubuntu 24.04 с полным шифрованием диска и использованием TPMЭто буквально "заметки для себя", но так как гуглёж до начала не дал никакой толковой информации, то решил оставить их и для остальных, может кому-то пригодится. Вступление Hidden text Исторически...
#linux#ubuntu#fde
Public
rtn

Quick guide on encrypting an external drive. Assuming the drive is at /dev/sda with a /dev/sda1 partition

Set up encrypted volume (-y for verifying the password)
# cryptsetup luksFormat -y -v /dev/sda1

Unlock the encrypted volume and create a mapping to /dev/mapper/DUDE
# cryptsetup luksOpen /dev/sda1 DUDE

Create a file system
# mkfs.ext4 /dev/mapper/DUDE

Mount the partition
# mkdir /mnt/DUDE
# mount /dev/mapper/DUDE /mnt/DUDE

#cryptsetup#FDE
ExploreLive feeds
About