Vlákno názorů k článku Debian 12 Bookworm nabízí firmware v instalátoru a loučí se s 32 bity od HuHu - Když je v distribuci nový GRUB2 balíček, umožnuje...

Když je v distribuci nový GRUB2 balíček, umožnuje už (zase) Debian při instalaci mít /boot na šifrovaném oddílu (LUKS2)?
Poslední verze Debianu která toto umožňovala byla verze 9 (ještě za pomocí původního GRUB a myslím že možná i LUKS1). Od verze 10 instalátor řval že nejde mít /boot na šifrovaném oddílu a odmítl v instalaci pokračovat.
Popř. pokud toto chování stále je i v Debianu 12, lze to nějak obejít? Jinak než mít /boot na nešifrovaném oddílu?

Já to tak mám, celý postup jsem popsal v článku Kompletně šifrovaný disk se systémem i daty (Debian).

Proto se ptám jestli to již opět jde.

Nekontroloval jsem to ale myslím že v Debian 9, ze kterého vychází Petře tvůj článek, používal luks1.
Grub2 do verze 2.04 neuměl otevírat luks2 kontejner.
V Debian 10 již postup v článku nebyl replikovatelný a v Debian 11 již instalátor nenechal pokračovat v rozdělení disku pokud byl /boot na šifrované partition.

Tobě to možná stále funguje protože jsi to instaloval na Debian 9 a pak jsi jen dělal upgrady. Ale z čisté instalace to prostě nešlo.

Mohl by jsi to ověřit a popř. aktualizovat článek? Popř. napsat nový?

Ano, podívám se na to. Díky za tip.

Grub od verze 2.06 podporuje LUKS2 ale pouze pbkdf2

poznatky z *buntu 22.04 (obecne, ne z instalatoru):
- cryptsetup ma vychozi pbkdf pro LUKS1=pbkdf2, pro LUKS2=argon2id
(vychozi pbkdf je zalezitost voleb pri kompilaci cryptsetup)
=> Grub z LUKS2 jde, ale musis vytvaret s "--type luks2 --pbkdf pbkdf2"

BTW: sicherboot funguje s /boot v LUKS2+argon2id
(funguje totiz stylem ze je efi binarka s jadro+initrd v EFI oddilu a LUKS se odemyka az/en z initrd, takze podpora je toho co umi jadro)

12. 6. 2023, 22:42 editováno autorem komentáře