フルディスク暗号化をサポートするLinuxブートローダー？

フルディスク暗号化をサポートするLinuxブートローダー（TrueCryptに似ています）はありますか？GRUB2に暗号化サポートを追加する作業があったことは知っていますが、まだ準備が整っていないようです。他のオプションはありますか？

（ここでは、完全なディスク暗号化に言及していることに注意してください-を含む/boot）

回答のほとんどは、/boot暗号化されていないセットアップについて説明していますが、一部の回答では、暗号化されていない/bootことが問題ない理由を説明しようとしています。

実際に/ bootを暗号化する必要がある理由について議論することなく、GRUB2の修正バージョンに基づいて、必要なものを正確に説明する記事を以下に示します。

• http://xercestech.com/full-system-encryption-for-linux.geek

これに伴う問題は、これらの変更が現在のGRUB2コードベースでは明らかにサポートされていないことです（または見落としているかもしれません）。

GRUB2の現在のバージョンは、LUKSパーティションのロードと復号化をサポートしていません（いくつかの暗号が含まれていますが、パスワードサポートのみに使用されていると思います）。実験的な開発ブランチを確認することはできませんが、GRUBページには、あなたがやりたいことを実装するためのいくつかの作業が計画されているというヒントがあります。

更新（2015）：GRUB2の最新バージョン（2.00）には、LUKSおよびGELI暗号化パーティションにアクセスするためのコードが既に含まれています。（OPが提供するxercestch.comリンクには、そのための最初のパッチが記載されていますが、現在は最新リリースに統合されています）。

ただし、セキュリティ上の理由でディスク全体を暗号化しようとする場合、暗号化されていないブートローダー（TrueCrypt、BitLocker、または変更されたGRUBなど）は、暗号化/bootされていないパーティションよりも多くの保護を提供しないことに注意してください（上記のコメントでJV 。コンピュータに物理的にアクセスできる人なら誰でも、簡単にカスタムバージョンに置き換えることができます。リンクしたxercestech.comの記事でも言及されています。

明らかに、これにより、システムがオフライン攻撃に対して脆弱になることはありません。攻撃者がブートローダーを独自のものに置き換えたり、ブートプロセスをリダイレクトして独自のコードをブートした場合でも、システムが侵害される可能性があります。

フルディスク暗号化用のすべてのソフトウェアベースの製品には、暗号化されていないブートローダーまたは暗号化されていないブート/プリブートパーティションを使用しても、この弱点があります。BitLockerなどのTPM（Trusted Platform Module）チップをサポートする製品でも、ハードウェアを変更せずにルート化できます。

より良いアプローチは次のとおりです。

1. BIOSレベル（マザーボードまたはディスクアダプターまたは外部ハードウェア[スマートカード]で、TPMチップの有無にかかわらず）で復号化する、または
2. PBA（プリブート認証）コード（/bootこの場合はパーティション）をリムーバブルデバイス（スマートカードやUSBスティックなど）に入れます。

：それを第二の方法を実行するには、Linuxのフルディスク暗号化（LFDE）プロジェクトで確認することができますhttp://lfde.org/移動するために、インストール後のスクリプトを提供/bootして鍵を暗号化、外付けUSBドライブにパーティションをGPGとUSBにも保存します。そのようにして、ブート経路の弱い部分（暗号化されていない/bootパーティション）は常にあなたと共にいます（解読コードとキーに物理的にアクセスできるのはあなただけです）。（注：このサイトは失われ、作者のブログも消えましたが、古いファイルはhttps://github.com/mv-code/lfdeで見つけることができます。最後の開発は6年前に行われただけです）。より軽い代替として、OSのインストール中にUSBスティックに暗号化されていないブートパーティションをインストールできます。

よろしく、MV

初期RAMdiskを作成し、/ bootフォルダーは暗号化を使用しません。

これにより、ドライバと暗号化された「実際の」ルートファイルシステムに切り替えるサポートを備えた「最小」カーネルが表示されます。

「これはハックだ」と主張する前に-ほとんどの（すべてではないにしても）Linuxディストリビューションはデフォルトでこの方法でブートします。これにより、ファイルシステムからロードする必要のあるモジュールを使用して、システムがルートFSを起動およびロードすることが明示的に許可されます。（鶏と卵の問題のソート）。たとえば、ルートファイルシステムがハードウェアRAIDボリューム上にあり、ルートFSをマウントする前にドライバーをロードする必要がある場合などです。

投稿したリンクを確認しました-ブートパーティションはありませんが、悪意のあるメイド攻撃を使用してアクセスおよび侵害される可能性のある暗号化されていないブートローダーがハードディスクに残っています。ハードディスクに暗号化されていないデータが存在しない同様のセットアップを検討してきましたが、これまでのところ、リムーバブルドライブからブートローダーを実行することしか考えられませんでした。

私は彼らのほとんどが行うと信じています、あなたが必要とするのは、そもそも暗号化されたHDでOSをインストールする方法についての指示です。

Ubuntuには、暗号化されたパーティション、LMVP、フォルダーなどの作成手順が記載された素敵なページがあります。

いいえ、ありません。

/ bootを本当に暗号化する必要がありますか？私はそうは思わない。ファイルシステムの残りの部分は、/ bootのinitramfsに常駐する通常のLinuxソフトウェアによって暗号化でき、それに応じてユーザーにプロンプ​​トが表示されます。

不可能なことを求めているようで、実装を隠しているWindowsソリューションと比較しているようですが、実際にはLinuxが行っているのと同じことをしています。

私が考えることができる最も近い解決策は、セキュリティパスワードと暗号化を実装するハードドライブを使用することです。一部のThinkpadラップトップは、これらのハードウェアソリューションを使用しています。

答えは記事で示唆されています。「これは、サポートするようにパッチが適用された次世代GRUB2ブートローダーの拡張機能で可能になりました」と「新しいluks対応grub2イメージを後でインストールしたい」と「LUKS対応GRUB2ソースをコンパイルします。 」GRUB2、またはフォークされたGRUB2ソースを入手して含める必要があるパッチまたは拡張機能があるようです。

Grub2バージョン2.02〜beta3は、私がテストしたGrub2バージョン2.02〜beta2ができない多くのことを実行できます。

1. Super Grub 2ディスクを使用したブート
2. 「c」キーを入力してコマンドラインに移動します
3. コマンドを入力して、必要な暗号化パーティションをマウントします
   • insmod luks
   • cryptomount（hd0、＃）//ここで＃は暗号化されたパーティションを表します
4. パスフレーズを入力し、いくつかのコマンドをさらに入力します
   • マルチブート（crypto0）/grub/i386-pc/core.img
   • ブート

それは暗号化されたパーティション内にある別のGrub2をロードします、邪悪な狂った攻撃はここでは意味がありません...私はCD（読み取り専用メディア）から起動し、暗号化されたパーティションをマウントします（パスフレーズではなく誰でもできます何でも注入してください！）、暗号化されたパーティション内から起動し、独自のメニューなどでGrub2をロードします。

注：このようなGrub 2.02〜beta3ブート（Super Grub 2 cdを使用）は、USBスティック、USB HDDなどに配置できます。

警告：コマンドcryptomountに関連するいくつかのバグ（Grub2バージョン2.02〜beta3で修正されているようです）があるため、Grub2バージョン2.02〜beta2は同じことができません...

ベータ2のバグは次のとおりです。

1. 暗号化されたパーティションは実際にはマウントされないため、（crypto0）/ *にアクセスできません
2. 暗号化されたパーティションが複数ある場合、使用cryptomount -aするパスフレーズは1つだけです
3. 一度クリプトマウントを実行した後、再度実行されても何もしません

ベータ3で：

1. 暗号化されたパーティションを実際にマウントし、複数のファイルが同時にマウントされている場合は、（crypto0）/ *または（crypto1）/ *などを使用してファイルにアクセスできます。
2. 各パスフレーズを要求します（暗号化されたパーティションごとに1つ）
3. 必要な回数だけ実行することができ、1つ、次に別のものをマウントできます。

サイドノート：再起動するか、別のまたは同じgrub2 /他のブートローダーなどを再起動する以外は、それらをアンマウントする方法を考えませんでした。

これが物事を明確にするのに役立ち、Grub2バージョン2.02〜beta3がLiveCDに統合され、自己でコンパイルすることなくインストールできることを願っています。

PD：Super Grub 2ディスクでは、Grub2バージョン2.02〜beta3をMBR / bootパーティションなどにインストールする方法がわかりません。