Полнодисковое шифрование
Данная инструкция не представляет из себя точный алгоритм действий, но показывает, какие шаги нужно выполнить, чтобы получить полнодисковое шифрование на ALT Mobile. Чётко понимайте, что делаете т.к. многие из требуемых шагов безвозвратно уничтожают информацию на носителях и не пытайтесь вбить команды как есть — ничего хорошего из этого не получится.
Установка с помощью alt-rootfs-installer
Установить систему на зашифрованный раздел можно с помощью интерактивной утилиты alt-rootfs-installer. Для этого у неё есть опции --luks и --luks-opt="OPTSTR" для передачи опций к cryptsetup luksFormat. С помощью опций --root-fstype=TYPE и --root-fs-opt=OPTSTR, можно указать файловую систему корневого раздела и опции этой файловой системы.
Пример команды:
alt-rootfs-installer --luks \
--root-fstype=f2fs \
--rootfs=/path/to/rootfs.tar.xz \
--target=pinephone-pro-rk3399 \
--media=/dev/mmcblk2Ручная установка
Я устанавливал по этой инструкции как на внутреннюю память PPP, так и на SD-карт. Если на устройстве есть зашифрованная внутренняя память и SD-карта, то initrd будет требовать расшифровать два раздела, пока не добьется успеха, иначе никуда не пустит.
Сначала нужно создать разделы под /boot (напр. 512Мб) и шифрованный корень.
fdisk /dev/sdaСоздаем и открываем LUKS-раздел.
cryptsetup luksFormat --type luks2 --label YOURLABEL_LUKSROOT /dev/sda2
cryptsetup open /dev/sda2 luks_rootФорматируем LUKS-раздел и добавляем ярлык файловой системы.
mkfs.f2fs /dev/mapper/luks_root
f2fslabel /dev/mapper/luks_root YOURLABEL_ROOTФорматируем /boot раздел и также добавляем ярлык.
mkfs.ext2 /dev/sda1
e2label /dev/sda1 YOURLABEL_BOOTМонтируем файловую систему с корнем.
mkdir /mnt/luks_root
mount LABEL=YOURLABEL_ROOT /mnt/luks_root/Создаем директорию /boot и монтируем boot внутри корня.
umask 077; mkdir -p /mnt/luks_root/boot/
mount LABEL=YOURLABEL_BOOT /mnt/luks_root/boot/Распаковываем тарболл в смонтированный корень.
tar xf alt-mobile-phosh-pine-latest-aarch64.tar.xz -C /mnt/luks_root/Исправляем extlinux.conf указав правильный LABEL=YOURLABEL_ROOT.
vim /mnt/luks_root/boot/extlinux/extlinux.confИсправляем ярлык корня в /etc/fstab на LABEL=YOURLABEL_ROOT и добавляем правила монтирования для /boot:
"LABEL=YOURLABEL_BOOT /boot ext2 defaults 0 2"
vim /mnt/luks_root/etc/fstabРазмонтируем рекурсивно корень.
umount -R /mnt/luks_rootЗакрываем LUKS-раздел.
cryptsetup close luks_rootПробуем запуститься...
Авторы
Egor Shestakov
x1z53
Oleg Shchavelev