crypttab: расположение файла заголовка luks

Привет, мой crypttab выглядит следующим образом:

crypt_device /dev/sda luks,header=/boot/header.img

update-initramfs -u -k all работает успешно, но по какой-то причине cryptsetup не может найти header.img, который находится на USB-накопителе (который также содержит загрузочный раздел) во время загрузки. Он хранится в /boot/header.img

(используя шифрование luks с отсоединённым заголовком и отдельным загрузочным разделом на USB, ОС: lubuntu 18)

Если вы не предприняли специальных шагов для монтирования файловой системы /boot в initramfs, она ещё не будет смонтирована. В стандартной последовательности загрузки система заботится только о корневой файловой системе (и, возможно, о разделе подкачки) во время выполнения в initramfs.

После проверки (если применимо) и монтирования реальной корневой файловой системы, остальные файловые системы, включая /boot, обычно монтируются. Вам потребуется сделать специальные arrangements, чтобы смонтировать файловую систему /boot в то время, когда вы находитесь в initramfs, чтобы получить доступ к /boot/header.img. Или вы можете просто включить ваш header.img в initramfs.

Поскольку ваш USB-накопитель также является вашим загрузочным диском, система загружает образ initramfs в память, пока корневой раздел не будет расшифрован, и newroot не будет переназначен. Здесь будет необходимо вручную смонтировать USB-накопитель из initramfs или нужно внести изменения в fstab, чтобы смонтировать раздел, содержащий файл ключа. Хотя вы упомянули, что во время загрузки он хранится в /boot/header.img, это связано с тем, что USB больше не смонтирован, когда initramfs загружен в ОЗУ для процесса загрузки. Поэтому, когда crypttab инициируется, cryptsetup не может найти файл /boot/header.img, потому что директория для /boot на USB не была смонтирована в среде initramfs, которая сейчас загружена для расшифровки корневой папки вашего жесткого диска.

Чтобы быть уверенным, как объяснил telcoM, если вы ранее загружались в вашу систему и создали файл ключа, когда ОС была разблокирована и раздел был расшифрован, а затем разместили копию файла keyfile.img в вашей директории /boot в тот момент времени (и снова, и это происходит, когда система незашифрована и вы уже имеете доступ к системе), то это не та же директория /boot, которую вы находите, когда грузите систему, и USB содержит загрузочный диск; это то, что мы оба пытаемся сказать. Это происходит потому, что во время процесса загрузки он открыл и скопировал образ initrd-4.15.33-generic (например) и автоматически не монтирует устройство USB как контейнер для хранения.

Таким образом, чтобы решить проблему, вам нужно, чтобы fstab смонтировала USB в директорию /boot, чтобы crypttab мог находить директорию, когда она запрашивается cryptsetup.

Смотрите страницу руководства по fstab для объяснений, если это необходимо:
например.

# Сначала найдите UUID раздела, на котором расположен ваш USB-накопитель
$ blkid

# Вы также можете использовать grep или что-то, что вам удобнее, в качестве текстового редактора
$ nano /etc/fstab

# затем добавьте строку для вашего USB-устройства 
UUID={UUID раздела устройства} {точка монтирования} {файловая система} {опции монтирования} {порядок дампа}{порядок fsck}
# Пример
UUID=66E53SSD988 /boot ext4  по умолчанию  0 1

Тем не менее, я бы предложил смонтировать диск где-то, кроме директории /boot, если это просто директория на USB, а затем изменить crypttab, чтобы уменьшить путаницу между тем, в какой папке находится файл header.img.

например.
UUID=66E53SSD988 /mnt/usb ext4 по умолчанию 0 1

Затем, в случае изменённой точки монтирования, crypttab также нужно будет изменить следующим образом:

crypt_device /dev/sda luks,header=/mnt/usb/boot/header.img