рутокен + luks - пара шагов осталось

Здравствуйте, muzi,
вам необходимо отредактировать crypttab в формате:
mapped_device_name source_block_device key_file luks,keyscript=decrypt_opensc

где
- mapped_device_name — это имя, под которым расшифрованное устройство будет доступно в /dev/mapper.
- source_block_device — это UUID шифрованного тома, используемого в качестве источника. Записывать его нужно в формате UUID=. Чтобы узнать UUID шифрованного тома, воспользуйтесь командой sudo cryptsetup luksUUID /dev/sda2 (вместо sda2, укажите ваш диск)
- key_file — это путь к файлу, который содержит ключ, необходимый для расшифровки устройства. В нашей инструкции это -  /boot/rootkey.enc
- luks — предполагает, что шифрование выполнено с использованием LUKS (Linux Unified Key Setup).
- keyscript=decrypt_opensc — это опция, указывающая, что для расшифровки ключа, содержащегося в /boot/rootkey.enc, используется скрипт decrypt_opensc.

Далее, выполните пункт 13 из инструкции на github, без указания decrypt_opensc.patch.

muzi,
проверьте наличие файла ключа и права доступа:
Убедитесь, что файл /boot/rootkey.enc существует и доступен для чтения. Проверьте права доступа и владельца файла: ls -l /boot/rootkey.enc.

Убедитесь, что в ОС включен модуль pcscd:
sudo systemctl enable pcscd
sudo systemctl start pcscd

Проверьте наличие и правильность скрипта decrypt_opensc. Он располагается по пути: /usr/lib/cryptsetup/scripts/decrypt_opensc.

По возможности, попробуйте заменить PARTUUID на UUID в соответствии с идентификатором вашего раздела. Различие между UUID и PARTUUID: UUID относится к файловой системе, в то время как PARTUUID относится к разделу диска.

Так же, можете посмотреть системные логи после запуска ОС через journalctl.
Посмотрите сообщения, связанные с cryptsetup.

Здравствуйте, muzi,

Ваша строка начинается с dm_crypt-0. Убедитесь, что это имя соответствует логическому устройству, которое используется для шифрованного раздела. Обычно используется что-то вроде sda2_crypt.

Убедитесь, что имя устройства dm_crypt-0 соответствует имени, указанному в или в /dev/mapper/
ls  /dev/mapper/

Убедитесь, что вы указали верный UUID тома.
PARTUUID используется только для разделов, а UUID обычно применяется к файловым системам или шифрованным томам.
Проверьте UUID вашего раздела с помощью:
blkid /dev/sdX

Обращаю ваше внимание, что в данной команде необходимо заменить sdX имя того диска, который вы используете для шифрования.
Если /boot/ стал пустым, это может означать, что /boot/ больше не примонтирован, или вы случайно удалили файлы.
Смонтируйте /boot/, чтобы убедиться, что файл /boot/rootkey.enc существует.
mount /boot/
ls /boot/

Если файл отсутствует, повторите процесс его генерации и убедитесь, что файл скопирован правильно. Убедитесь, что файл был зашифрован с использованием открытого ключа, извлеченного из Рутокен.

Если /boot/ был не смонтирован во время выполнения update-initramfs -u, то изменения не были применены.

Если служба pcscd не запущена, то доступ к Рутокен невозможен.
Убедитесь, что служба запущена:
systemctl status pcscd

Если служба не запущена, выполните:
systemctl start pcscd
systemctl enable pcscd

Расскажите, каким именно образом вы шифровали диски через LUKS?
Какие ошибки связанные с cryptsetup появляются в journalctl после неудачной попытки расшифровки с помощью Рутокен?

Наша инструкция проверялась на Ubuntu 22.04.3 LTS.

muzi
Исходя из предоставленных вами данных, я предполагаю, что файл /etc/crypttab должен выглядеть следующим образом:

keystore-rpool UUID=18114400123631025246 /boot/rootkey.enc luks,keyscript=decrypt_opensc

Объяснение параметров:
•    keystore-rpool: это имя, которое будет использоваться для отображения в /dev/mapper/. Его можно изменить.

•    UUID=<UUID>: это UUID зашифрованного раздела /dev/nvme0n1p4.

•    /boot/rootkey.enc: ключ, который будет использоваться для разблокировки.

•    luks: указывает, что используется шифрование LUKS.

•    keyscript=decrypt_opensc: скрипт для разблокировки.

Я предполагаю, что в вашем случае необходимо расшифровывать именно раздел /dev/nvme0n1p4, потому что исходя из команды blkid, этот раздел имеет LABEL: rpool и TYPE="zfs_member".
В стандартной установке Ubuntu с ZFS корневая файловая система (/) монтируется из ZFS пула под именем rpool (root pool), и, как правило, именно этот раздел должен быть доступен после расшифровки.

Не забудьте обновить initramfs:

sudo update-initramfs -u

Также проверьте, включена ли служба pcscd:
sudo systemctl status pcscd

Если служба не запущена, выполните:
sudo systemctl start pcscd
sudo systemctl enable pcscd

После загрузки выполните:
ls /dev/mapper/

Убедитесь, что присутствуют следующие устройства:
keystore-rpool

Если советы выше не помогут, то советую переместить /boot/rootkey.enc в раздел /root/rootkey.enc или даже в initramfs. Возможно, в вашем случае, раздел boot монтируется после разблокировки LUKS, перед загрузкой ОС.  Только не забудьте обновить initramfs после переноса ключа, и прописать актуальный путь к ключу в crypttab.
Главное, чтобы файл rootkey.enc был доступен на незашифрованном разделе для расшифровки LUKS диска. Хранение rootkey.enc на незашифрованном разделе необходимо и безопасно, ведь сам ключ расшифровывается через Рутокен с момент расшифровки LUKS диска.
Для безопасности, рекомендую удалить расшифрованный ключ, а именно rootkey.dec, как указано в нашей статье.

Данная инструкция не проверялась на Ubuntu 24.04.1, но механизмы работы LUKS с версии Ubuntu 22.04.3 LTS, насколько мне известно, не изменились. Предполагаю, что инструкция должна работать исправно и на этой версии ОС.