# Déchiffrement d'un disque système au démarrage **URL:** \ **Category:** Support Debian\ **Tags:** disques, chiffrement\ **Created:** [Juillet 28, 2026, 9:19 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596 "2026-07-28T09:19:51Z")\ **Posts on this page:** 11\ **Page:** 1
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juillet 28, 2026, 9:19 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/1 "2026-07-28T09:19:51Z")
Bonjour, J’ai une machine dont les disques sont chiffrés. Pour déchiffrer les disques il faut le faire manuellement sur la machine. J’ai implémenté dropbear-initramfs pour le faire via SSH à distance. Ça fonctionne bien. J’ai aussi testé une clef fido2 (yubikey 5) ça marche aussi **mais il faut utiliser dracut car initramfs ne sait pas gérer fido2**. En utilisant dracut on ne peut plus utiliser dropbear à moins de faire des compilations ce qui ne m’intéresse pas. Il y a aussi le fait d’utiliser un fichier de passphrase mise le cas échéant sur une clef usb (si celle-ci n’est pas présent le système passe sur un autre mode d’authentification). Une piste sur laquelle je voudrais aller est la suivante: - Conserver la saisie locale de la clef - Dropbear-initramfs - une authentification via une clef locale qui soit automatique si la clef est présente uniquement (peut être en lien avec TPM). Ce que je ne veux pas c’est que le démarrage déchiffre les disques en automatique simplement en mettant la machine sous tension s’il n’y a pas la clef. ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Juillet 28, 2026, 4:54 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/2 "2026-07-28T16:54:45Z")
Je ne joue plus à ça depuis longtemps, mais je te souhaite bon courage et un peu de lecture : [systemd-cryptenroll - ArchWiki](https://wiki.archlinux.org/title/Systemd-cryptenroll#:~:text=From%20systemd%2Dcryptenroll(1)%3A%20systemd%2Dcryptenroll%20is%20a%20tool%20for,systemd%2Dcryptsetup%40.%20service(8)%2C%20using%20the%20enrolled%20tokens.%20Installation). ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juillet 28, 2026, 5:04 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/3 "2026-07-28T17:04:33Z")
j’ai déjà lu cette partie. je pense qu’il va me falloir un hook pour utiliser une clef usb avec PKCS. ---
**Author:** ![vbreton](https://www.debian-fr.org/user_avatar/www.debian-fr.org/vbreton/32/11400_2.png) [@vbreton](https://www.debian-fr.org/u/vbreton)\ **Post date:** [Juillet 28, 2026, 8:34 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/4 "2026-07-28T20:34:25Z")
> [@Clochette](#): > > Je ne joue plus à ça depuis longtemps, Idem, j’ai eu quelques sueurs froides et si l’on peut se passer de cryptage au niveau stockage mieux vaut le faire si l’on ne veut pas tout perdre à cause d’un dysfonctionnement même temporaire. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juillet 28, 2026, 8:48 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/5 "2026-07-28T20:48:22Z")
Je n’ai jamais eu de problèmes depuis près de 4 ans. Et pourtant j’arrive même à refaire la taille du LUKS. ---
**Author:** ![vbreton](https://www.debian-fr.org/user_avatar/www.debian-fr.org/vbreton/32/11400_2.png) [@vbreton](https://www.debian-fr.org/u/vbreton)\ **Post date:** [Juillet 28, 2026, 9:02 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/6 "2026-07-28T21:02:17Z")
C’est avec TrueCrypt que j’ai essuyé des déboires. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juillet 28, 2026, 9:21 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/7 "2026-07-28T21:21:59Z")
> [@vbreton](#): > > TrueCrypt je comprend mieux, ce n’est pas terrible truecrypt. Effectivement, beaucoup de gens ont eu des soucis avec. je ne l’utilise pas et je ne l’rai jamais utilisé. Je fais du LVM sur LUKS, avec le cas echant du libpam\_mount utilisateur d’une partition chiffrée (une LV chiffrée) avec du LVM par dessus 😃 . Ca marche bien. Mais il faut être très méticuleux 🙂 ---
**Author:** ![yatta](https://www.debian-fr.org/user_avatar/www.debian-fr.org/yatta/32/12132_2.png) [@yatta](https://www.debian-fr.org/u/yatta)\ **Post date:** [Août 10, 2026, 8:08 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/8 "2026-08-10T20:08:14Z")
J’ai une partition chiffré qui nécessite l’utilisation d’un mot de passe. Sur cette partition, j’ai les fichiers de passphrase pour chaque partition. Tu dois toujours saisir ton mot de passe qui te permettra d’ouvrir automatiquement les partitions qui seront configurés pour l’utilisation de fichier de passphrase. Donc ça semble correspondre à tes besoins, ça ne doit rien changer pour dropbear , tu conserves la saisie de clé qui ouvre une première partition qui permet de déchiffrer les autres partitions voulues. Y a rien d’exotiques comme configuration. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Août 14, 2026, 4:50 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/9 "2026-08-14T16:50:07Z")
Je ne veux aucun mot de passe sur un fichier sur les disques. Pour moi,c’est soit TPM mais je ne veux pas que l’ouverture se fasse par défaut, car à quoi bon chiffrer des disques si c’est pour qu’ils se déchiffrent automatiquement. Pour les données utilisateurs c’est simple, soit un répertoire chiffré soit l’utilisation de libpam-mount suffisent. Mais pour les données liées aux applications, et aux logs, il n’y a pas de solution. Dropbear en est une effectivement. Cependant, dropbear ne marche pas avec Dracut. Et Dracut sait faire des choses que Initramfs ne sait pas faire (FIDO2 etc…). ---
**Author:** ![yatta](https://www.debian-fr.org/user_avatar/www.debian-fr.org/yatta/32/12132_2.png) [@yatta](https://www.debian-fr.org/u/yatta)\ **Post date:** [Août 20, 2026, 12:34 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/10 "2026-08-20T12:34:59Z")
au début de la discussion tu indiques : > [@Zargos](#): > > Il y a aussi le fait d’utiliser un fichier de passphrase mise le cas échéant sur une clef usb (si celle-ci n’est pas présent le système passe sur un autre mode d’authentification). ce que j’explique c’est similaire à la différence que c’est une partition chiffrée et pas une clé usb. ensuite, elle permet de déchiffrer le reste. > [@Zargos](#): > > car à quoi bon chiffrer des disques si c’est pour qu’ils se déchiffrent automatiquement. et comment on est censé savoir quand tu veux déchiffrer une partition ? de toute façon, tu vas bien la déchiffrer cette partition donc je vois pas ce que ça change in fine . dans ce cas et pour rester cohérent comment tu définis le moment ou il faut reverrouiller la partition ? ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Août 20, 2026, 12:46 UTC](https://www.debian-fr.org/t/dechiffrement-dun-disque-systeme-au-demarrage/92596/11 "2026-08-20T12:46:32Z")
> [@yatta](#): > > de toute façon, tu vas bien la déchiffrer cette partition donc je vois pas ce que ça change in fine . > dans ce cas et pour rester cohérent comment tu définis le moment ou il faut reverrouiller la partition ? Ce que ca change c’est qu’il suffit de démarrer la machine pour y avoir accès. Alors que c’est justement ce qu’on veut éviter. Sachant que Grub est vulnérable à certaines attaque utilisant ce mode de déchiffrement. > [@yatta](#): > > et comment on est censé savoir quand tu veux déchiffrer une partition ? Au démarrage. On parle du disque. > [@yatta](#): > > ce que j’explique c’est similaire à la différence que c’est une partition chiffrée et pas une clé usb. ensuite, elle permet de déchiffrer le reste. Ce que j’expliquais c’est que je ne voulais pas avoir à saisir la clef de chiffrement justement. Je veux trouver une solution qui permette de fournir la clef de chiffrement sans la saisir. Mais j’ai depuis trouvé des pistes potentielles, bien que difficiles à mettre en place (initramfs vs dracut qui ont chacun leurs défauts malheureusement pas compensables de l’un à l’autre).