LUKS mit grafischem Login / Fingerabdruck

[Alexander Goetzenstein]

Hallo,
schon oft habe ich es gemacht, aber die Abstände sind zu groß, als dass
ich mir merken könnte, wie es geht: ich möchte eine frische
Tumbleweed-Installation so auf ein Laptop bringen, dass mich zuerst der
Bootmanager begrüßt und nach Auswahl des Betriebssystems in einem gut
erkennbaren Kästchen die Passphrase für LUKS abfragt. Wenn ich das
geführte Setup wähle, kommt noch vor dem Bootmanager eine unscheinbare
und fast nicht lesbare kleine Aufforderung in der linken oberen Ecke,
ich möge die Passphrase für ein kryptisch benanntes Device eingeben
-unschön.

Zudem soll swap für suspend vergrößert werden, also alles samt
Betriebssystem, Daten, swap wohl am besten in ein LV. Das sollte
eigentlich kein Problem sein, aber nun sitze ich schon wieder ein paar
Stunden vor dem Ding, und irgendwas fehlt immer, und wieder von vorne...

Die große Glaskugel hat mich bislang auch noch nicht weitergebracht,
vermutlich fehlt mir die richtige Suchwort-Kombination.
Hat da jemand eine Anleitung für mich?


Und wenn wir schon dabei sind: ist es möglich, LUKS auch mit dem
Fingerabdruck zu entsperren?

[Marco Moock]

Am 13.11.2023 schrieb Alexander Goetzenstein

ich möchte eine frische Tumbleweed-Installation so auf ein Laptop
bringen, dass mich zuerst der Bootmanager begrüßt und nach Auswahl
des Betriebssystems in einem gut erkennbaren Kästchen die Passphrase
für LUKS abfragt.

Das ist bei Ubuntu Standard, da ist die Bootoption splash mit Plymouth
in Betrieb.

[Alexander Goetzenstein]

Hallo,

Post by Marco Moock
Am 13.11.2023 schrieb Alexander Goetzenstein

ich möchte eine frische Tumbleweed-Installation so auf ein Laptop
bringen, dass mich zuerst der Bootmanager begrüßt und nach Auswahl
des Betriebssystems in einem gut erkennbaren Kästchen die Passphrase
für LUKS abfragt.

Das ist bei Ubuntu Standard, da ist die Bootoption splash mit Plymouth
in Betrieb.

wie hilft mir das bei Tumbleweed weiter?

[Marco Moock]

Am 16.11.2023 schrieb Alexander Goetzenstein

Post by Alexander Goetzenstein
wie hilft mir das bei Tumbleweed weiter?

Weil du da ggf. Plymouth einrichten kannst.

[Alexander Goetzenstein]

Hallo,

Post by Marco Moock
Am 16.11.2023 schrieb Alexander Goetzenstein

Post by Alexander Goetzenstein
wie hilft mir das bei Tumbleweed weiter?

Weil du da ggf. Plymouth einrichten kannst.

vermutlich habe ich es nicht gut genug geschildert:
Die Abfrage kommt noch vor dem Bootmanager, also auch bevor ein
Splashscreen angezeigt werden kann. Ich müsste also wohl den Bootmanager
noch unverschlüsselt installieren, das Linux-System, Daten, swap jedoch
verschlüsselt.

Das könnte eine Frage der Partitionierung sein, aber ich kriege es nicht
wieder so hin wie zuvor. Und weil man Erfolg oder Misserfolg erst sieht,
wenn man zu Ende installiert hat, dauert das jedesmal gefühlte
Ewigkeiten. Da wäre meine Hoffnung, dass jemand die Optionen und/oder
Reihenfolge parat hat und mir so das elend lange Herumprobieren erspart.


Und zu Thema LUKS und Fingerabdruck habe ich bislang nur ergooglet
"sowas will man nicht", weil es nicht wirklich sicher sei; ob und wie es
aber geht, wenn man es doch will, habe ich nicht gefunden. Aber auch
keine Aussage wie "das geht nicht".

Weiß hier jemand mehr?

[Marco Moock]

Am 16.11.2023 schrieb Alexander Goetzenstein

Post by Alexander Goetzenstein
Die Abfrage kommt noch vor dem Bootmanager, also auch bevor ein
Splashscreen angezeigt werden kann.

Die Abfrage kommt also vor GRUB?

Post by Alexander Goetzenstein
Ich müsste also wohl den Bootmanager noch unverschlüsselt
installieren, das Linux-System, Daten, swap jedoch verschlüsselt.

Mir wäre neu, dass man den Bootmanager auch verschlüsseln kann.
Ein UEFI muss ja diesen lesen können.

Man kann /boot mit den Kerneln verschlüsseln.

[Alexander Goetzenstein]

Hallo,

Post by Marco Moock
Am 16.11.2023 schrieb Alexander Goetzenstein

Post by Alexander Goetzenstein
Die Abfrage kommt noch vor dem Bootmanager, also auch bevor ein
Splashscreen angezeigt werden kann.

Die Abfrage kommt also vor GRUB?

so ist es. In der Mitte des Bildschirms thront das Herstellerlogo des
BIOS, links oben in der Ecke, recht klein die textliche
Eingabeaufforderung, etwa "Key for {hd0,abcdef123}:"
Das ist nicht nur unhübsch, sondern auch leicht zu übersehen und
aufgrund der kleinen Schrift auch schwer zu entziffern.
Gibt man die Keyphrase ein, erscheint grub mit den gewohnten
Auswahlmöglichkeiten.

Ansonsten kenne ich es so, dass erst grub erscheint, und nach der Wahl
der Startoption ein gut sichtbares Eingabefeld zentral auf dem
Bildschirm. So habe ich das an dem Rechner, an dem ich gerade schreibe,
und so möchte ich das auch bei dem neuen haben.

Post by Marco Moock

Post by Alexander Goetzenstein
Ich müsste also wohl den Bootmanager noch unverschlüsselt
installieren, das Linux-System, Daten, swap jedoch verschlüsselt.

Mir wäre neu, dass man den Bootmanager auch verschlüsseln kann> Ein UEFI muss ja diesen lesen können.

EFI existiert extra, getrennt von /boot -ist grub nicht in /boot ?

Post by Marco Moock
Man kann /boot mit den Kerneln verschlüsseln.

Das scheint hier so zu sein.

[Marco Moock]

Am 16.11.2023 schrieb Alexander Goetzenstein

Post by Alexander Goetzenstein

Post by Marco Moock
Am 16.11.2023 schrieb Alexander Goetzenstein

Post by Alexander Goetzenstein
Die Abfrage kommt noch vor dem Bootmanager, also auch bevor ein
Splashscreen angezeigt werden kann.

Die Abfrage kommt also vor GRUB?

so ist es. In der Mitte des Bildschirms thront das Herstellerlogo des
BIOS, links oben in der Ecke, recht klein die textliche
Eingabeaufforderung, etwa "Key for {hd0,abcdef123}:"
Das ist nicht nur unhübsch, sondern auch leicht zu übersehen und
aufgrund der kleinen Schrift auch schwer zu entziffern.
Gibt man die Keyphrase ein, erscheint grub mit den gewohnten
Auswahlmöglichkeiten.

Dann wird da kein Plymouth auf normalem Wege funktionieren.
Ist eine "schöne" Oberfläche denn bei anderen Systemen an der Stelle
vorhanden?

Post by Alexander Goetzenstein
Ansonsten kenne ich es so, dass erst grub erscheint, und nach der Wahl
der Startoption ein gut sichtbares Eingabefeld zentral auf dem
Bildschirm. So habe ich das an dem Rechner, an dem ich gerade
schreibe, und so möchte ich das auch bei dem neuen haben.

Dann darf /boot nicht verschlüsselt sein.

Post by Alexander Goetzenstein

Post by Marco Moock

Post by Alexander Goetzenstein
Ich müsste also wohl den Bootmanager noch unverschlüsselt
installieren, das Linux-System, Daten, swap jedoch verschlüsselt.

Mir wäre neu, dass man den Bootmanager auch verschlüsseln kann> Ein
UEFI muss ja diesen lesen können.

EFI existiert extra, getrennt von /boot -ist grub nicht in /boot ?

Nein, GRUB ist bei EFI-Systemen auf /boot/efi (und das ist die
EFI-Partition).

***@localhost:~$ sudo ls -lha /boot/efi/EFI/debian
insgesamt 4,3M
drwx------ 2 root root 512 24. Aug 13:09 .
drwx------ 3 root root 512 24. Aug 13:09 ..
-rwx------ 1 root root 108 6. Okt 12:05 BOOTX64.CSV
-rwx------ 1 root root 86K 6. Okt 12:05 fbx64.efi
-rwx------ 1 root root 112 6. Okt 12:05 grub.cfg
-rwx------ 1 root root 2,5M 6. Okt 12:05 grubx64.efi
-rwx------ 1 root root 830K 6. Okt 12:05 mmx64.efi
-rwx------ 1 root root 927K 6. Okt 12:05 shimx64.efi
***@localhost:~$