Bij recente installatie van openSUSE (Leap/Tumbleweed) kan je voor versleutelde gegevens op de harde schijf kiezen, maar daarna heb je soms het vervelende gevolg dat je twee keer je wachtwoord moet ingeven: 1 keer voor grub (dat op een andere partitie zit) en 1 keer voor de hoofd-harde schijf op root / of de swap partitie. Vroeger heb ik dit ook al kunnen omzeilen (OpenSUSE 15.1 installatie met versleutelde gebruikersgegevens), maar hier een update..

De situatie:

– Start op (van boot partitie): grub vraagt wachtwoord.
– spreekt / partitie aan: vraagt wachtwoord.

Welcome to GRUB!
Enter passphrase for hd0,gpt2 (56c57….):

of bv:

Enter passphrase for hd0,gpt3 (6091….):

Na de vraag: komen er geen letters of ***, je kan ook geen pijltjes gebruiken, backspace lukt soms wel om iets te verbeteren …

Attempting to decrypt master key …

ps: Als je je wachtwoord verkeerd hebt intikt (keyboard staat bij start in qwerty) krijg je iets als:

GNU GRUB version 2.06 .. enz.

en moet je opnieuw afsluiten/opstarten.

Loading Linux ramdisk …
[?] Please enter passphrase for disk … (partition):
(press TAB for no echo)

************ (zijn zichtbaar)

Hier vraagt het systeem voor de tweede keer je passphrase, je toetsenbord is nu al ingesteld (bv op azerty). Deze willen we overslaan.

Een extra sleutel

Er moet een extra sleutel bijgemaakt worden, die ook de gegevens kan vrijmaken, en die gebruikt wordt door opstartprocedure van grub.
Die nieuwe sleutel heeft een random waarde en wordt enkel door het systeem gebruikt. We werken met sudo of als root:

su
fdisk -l
Hieruit leer ik dat /dev/sda3 mijn Linux filesystem is (check zelf).

Check en maak de key file, pas de rechten aan:
ls /.*.key
touch /.root.key
chmod 600 /.root.key
ls -lFA /.*.key
(eigenaar kan bestand lezen en schrijven, anderen hebben geen toegang)

Maak de sleutel en zet hem in het bestand:
dd if=/dev/urandom of=/.root.key bs=1024 count=1

Voeg de sleutel toe als manier om deze partitie te ontsleutelen:
cryptsetup luksAddKey /dev/sda3 /.root.key

cat /etc/crypttab
Vervang in de derde kolom none door /.root.key
bv met
mcedit /etc/crypttab

Voeg een lijn toe aan de configuratie:
echo -e 'install_items+=" /.root.key "' | sudo tee --append /etc/dracut.conf.d/99-root-key.conf > /dev/null

Nota: als 99-root-key.conf niet bestaat mag je hem gewoon maken (touch) en ineens invullen met bv mcedit of zo..

Check:
cat /etc/dracut.conf.d/99-root-key.conf

install_items+=" /.root.key "

Pas aan, bv met mcedit:
mcedit /etc/permissions.local

/boot/ root:root 0700

Check met:
chkstat --system --set
(lege reaktie als alles ok is, anders een foutmelding, meestal over syntax in voorgaande, bv 700 ipv 0700)

en mkinitrd bestaat niet meer, dus dracut:

dracut -f --regenerate-all

wat een lange output als feedback geeft eindigend op:

dracut[I]: *** Creating image file ‘/boot/initrd-6.5.6-1-default’ ***
dracut[I]: *** Creating initramfs image file ‘/boot/initrd-6.5.6-1-default’ done ***

Swap
Soms treedt een vergelijkbaar euvel op bij het gebruiken van een versleutelde swap partitie. Na het opensuse logo krijg je terug een zwart scherm met :

Please enter passphrase for disk SK hynix PC401 HFS25 HFS… (cr_swap)
(press TAB for no echo)

************ zijn zichtbaar en je toetsenbord is al ingesteld (bv op azerty).