Cryptage disque avec Trixie : uki?

Support Debian
Tags: #<Tag:0x00007f9c87cae290>
#1

Bonjour à vous tous.

Je cherche un bon tuto pour installé un système Trixie crypté. Ce que je trouve n’est pas clair.

En particulier j’ai cru comprendre qu’avec l’uki, on n’a plus besoin que le boot soit extérieur a la partition cryptée?

Merci d’avance

#2

Il y a toujours une partie du boot qui est extérieur à la partition chiffrée.
Sinon il n’y a aucun moyen que le système puisse démarrer.

Une image de noyau unifiée (UKI) est un fichier exécutable unique qui combine plusieurs composants essentiels pour démarrer un système Linux. Il comprend :

  • UEFI Boot Stub : Un petit programme qui initialise le processus de démarrage.
  • Linux Kernel Image : Le noyau du système d’exploitation qui gère les ressources matérielles et système.
  • Initramfs : Un système de fichiers temporaire utilisé pendant le processus de démarrage pour préparer l’environnement au système de fichiers principal.

tout ça se trouve dans /boot/efi.

Il y a un point à vérifier tout de même:

  • La capacité du système à déchiffrer une partitoin chiffrée avec un PBKF=Argon2i.
    Argon2i est le standard de Debian depuis Debian 10 au moins. Malheureusement, jusqu’ici il n’était pas possible avec grub de démarrer à moins de modifier en PBKDF2.
    Ce p^roblème faisait qu’il fallait obligatoirement que /boot et /boot/efi soit extérieur au chiffrement (diminuant massibvement l’utilité du chiffrement).
    Avec /boot/efi uniquement en dehors du chiffrement, il fallait modifier le pbkf.

Je n’ai pas encore testé l’UKI, les document que j’ai trouvé jusqu’ici ne permette qu’un installation à posteriori, et non pendant l’installation su système.

Par ailleurs, il est préférable d’avoir le Secure Boot activé avec l’UKI (je ne sais pas si c’est même obligatoire).

#3

Merci

Moi non plus je n’ai rien trouvé pour le faire à l’installation.

De plus a ce que je lis, le processus demande de signer l’uki.

Il faut alors soit éteindre le secure boot soit changer les clés inscrites dans la machine?

C’est un peu trop compliqué pour moi

je vais en rester à l’ancienne procédure pour l’instant

#4

utilises systemd-boot.

Si ton Secure Boot est actif à l’installation alors ton installation sera en Secure Boot.

Pour ce qui est de signer l’UKI (ce qui est normal après tout, sinon il n’y aurait aucune utilité), ce n’est aps très compliqué, cependant il faut être très méthodique.

enregistre sa propre clef est assez facile.

Il faut obligatoirement avoir systemd-boot d’installé et fonctionnel.
Il ne faut pas oublier que l’utilisation de l’UKI implique que GRUB n’est pas utilisé.

je suis en train de finaliser la mise à jour de mes scripts CIS Workbench pour Debian 13 Trixie.
L’étape suivante c’est de passer à l’installation preseed avec systemd-boot au lieu de grub.

je modifierais ainsi mes truc et Astuces correspondants (Simple-cdd et installation disque chiffré) qui sont toujours pour Debian 12.