如何创建使用LUKS加密的Live？

Question

我将创建一个可引导的Ubuntu USB闪存盘，我想知道是否可以用LUKS加密这个usb闪存盘，所以当我引导它运行linux时，在输入我的用户密码之前，它要求密码来解密整个闪存盘。

1. 引导usb
2. 解密密码
3. 用户密码
4. 登入。

请注意，它必须是实时加载到内存，每次我启动操作系统，我不想安装在一个外部usb驱动器。提前感谢！

如果不可能，我可以留下./引导未加密的文件系统并用所有的系统目录加密文件系统

Answer 1

这是不可能的，因为如果对引导卷进行了加密，BIOS / UEFI将无法执行引导扇区/引导应用程序。

不过，您可以使用将Ubuntu安装到另一个Ubuntu作为系统磁盘，并使用LUKS加密。缺点是您失去了hibernate的能力，因为无处不在当前会创建太小的交换分区，并且在每次启动时都会随机化加密密钥，这会抹掉交换分区的状态。

在第二个场景中，您将不加密引导分区，因此它仍然可以被篡改(可以将密钥记录器写入其中)。您可以通过签名引导卷和使用安全启动来绕过这一问题，但随后您必须说服Microsoft对您的启动卷进行签名或给您一个签名密钥。那就祝你好运。

如果您真的担心键盘记录器，那么就携带您自己的PC，不要使用无线键盘/鼠标，启用安全引导，启动不保留任何状态的LiveCD映像，使用VPN通过SSL将VNC/RDP客户端连接到您实际保存状态的机器，使用一个强而难忘的密码，您永远不会在任何地方记录它(请参阅https://xkcd.com/936/了解这意味着什么)。

这将保护你不被物理访问，它将保护你不受远程访问，它将拯救你不受暴力的影响。这将是不方便的，因为您并不总是可以访问网络，您必须随身携带硬件，并且您将无法从您所携带的硬件中获得好的价值，因为您只是将它作为一个瘦客户端使用，而忽略了它的额外内存/处理/存储功能。

即使所有这些都不会保护你不被闭路电视相机锁定在你的键盘上，当你打字时，你也需要注意你周围的环境。

它也可能会给你带来一个重要的移动数据账单。

所以，除非你真的是一个非常肥胖、多汁的目标，而且很可能是那些准备投资资源攻击你的人的目标，否则我认为你最好避免使用公共互联网终端，携带自己的廉价设备，用路克斯保护它，使用虚拟专用网或者至少是TORBrowser来保证你的浏览不会被监视。那么你最大的担忧应该是你是否把你的设备放在某个地方，然后它就被偷了，但是不用担心他们是否可以访问你的数据。