Installer will sicheres Passwort

[mirolPirol]

Inzwischen habe ich das Kommando "systemd-analyze" gefunden, das mir das Folgende auswirft:
Startup finished in 14.569s (firmware) + 1min 466ms (loader) + 9.918s (kernel) + 5.050s (userspace) = 1min 30.003s
graphical.target reached after 5.049s in userspace.

Es dauert also alles in allem nicht nur gefühlt sehr lange.

[Daniel]

Moin Daniel - das Design des GRUB ist toll, ich meine nur die LUKS-Passwortabfrage, bevor GRUB erscheint.
Noch was: Wenn ich das korrekte Passwort eingegeben habe, dauert es fast eine Minute, bis GRUB auf dem Bildschirm erscheint - kann ich den Grund dafür irgendwie checken? Mein Archlinux braucht dafür maximal 5 Sekunden!

Ich hab jetzt ein bisschen recherchiert.

kannst du mal eruieren, wie deine verschlüsselte Partition heißt:

Code:

lsblk -f

da muss es irgendwo was geben mit dem Eintrag :  crypto_LUKS oder so.

Dann:

Code:

cryptsetup luksDump /dev/<Bezeichnung> | grep -E "Version|PBKDF|Iterations"

Was wird dir hier ausgegeben? (Iterations: xxxxxxx)

Das gleiche bitte mal in Arch machen.

Soweit ich gelesen (und verstanden) habe ist dieser Wert bei Debian sehr hoch und deshalb kommt es zur Verzögerung. Aber  schauen wir mal, ob du den Wert ausgelesen bekommst.

Zusätzlich: Ist unter Arch /boot verschlüsselt? (Wann kommt bei Arch die Passwortabfrage? Vor Grub oder danach)

[mirolPirol]

sudo cryptsetup luksDump /dev/nvme1n1p6 | grep -E "Version|PBKDF|Iterations" (OMARCHY, Arch mit Hyprland, LUKS2)
Version: 2
PBKDF: argon2id
Iterations: 407688

sudo cryptsetup luksDump /dev/nvme2n1p5 | grep -E "Version|PBKDF|Iterations" (Debian mit Hyprland, LUKS1)
[sudo] password for michael:
Version: 1
Iterations: 5249440
Iterations: 5203850

Über 5 millionen Iterationen, auch noch 2x und kein Wert für PBKDF?

Meine Hardware (inxi):
________________________________________________________________
CPU: 6-core AMD Ryzen 5 PRO 4650G with Radeon Graphics (-MT MCP-)
speed/min/max: 2383/406/4309 MHz Kernel: 7.2.8-9-omarchy x86_64 Up: 26m
Mem: 5.6/31.12 GiB (18.0%) Storage: 5 TiB (33.6% used) Procs: 392 Shell: Bash
inxi: 3.3.41

[Daniel]

Hallo,

Kein Grund zur Sorge wegen der fehlenden PBKDF-Zeile: Das ist bei LUKS1 normal – LUKS1 kennt nur ein Verfahren (pbkdf2), deshalb zeigt cryptsetup es nicht extra an. Bei deinem Arch steht die Zeile nur, weil LUKS2 mehrere Verfahren zur Auswahl hat.

Zu Debian/GRUB:
5,2 Millionen Wiederholungen (Iterations), auf zwei aktiven Schlüsselplätzen. GRUB muss diese Prüfung selbst durchrechnen, aber GRUB hat keine Hardware-Unterstützung fürs Entschlüsseln.

Zu Arch:
argon2id kann GRUB gar nicht lesen. Ich glaube deshalb, dass deine Arch-Boot-Partition gar nicht verschlüsselt ist. Beim Entschlüsseln des Rests hat die Archinstallation vollen Hardwaresupport für das entschlüsseln.

Was du tun könntest (unter Debian):

Code:

sudo cryptsetup luksConvertKey --pbkdf pbkdf2 --pbkdf-force-iterations 1000000 /dev/nvme2n1p5

WICHTIG: Eventuell vorher ein Backup machen.

[mirolPirol]

Code:

sudo cryptsetup luksConvertKey --pbkdf pbkdf2 --pbkdf-force-iterations 1000000 /dev/nvme2n1p5

WICHTIG: Eventuell vorher ein Backup machen.

Das hab ich schon einmal versucht, danach ging nichts mehr und ich musste alles neu (wieder mit Luks1) machen. Ich weiß die genaue Befehlszeile nicht mehr, aber der Versuch luks1 in luks 2 zu konvertieren, hat geklappt, aus einem anderen OS konnte ich die Debian-Partition auch öffnen und dann hat sie mir LUKS2 angezeigt, aber ich konnte sie nicht mehr booten. Hätte ich im GRUB noch etwas anpassen müssen? 
Oder, wie sicher ist dein Kommando zur Konvertierung - soll ich mich darauf verlassen? 
Ein vollständiges Backup habe ich immerhin.

[Daniel]

Hi, nur wenn du ein Backup hast und der Restore dir nix macht. Ansonsten muss ich versuchen das Mal nachzubauen. Auch keine 100% Garantie, dass es dann bei dir klappt.

Hat Omarchy Grub Boot?

[mirolPirol]

Nein, Omarchy nutzt den Limine-Boot-Manager. Über ihn starte ich auch TGG-Debian, Limine ruft dann GRUB auf, der Debian startet.

[Daniel]

ok, danke für die Info. 

Ich denke du hast ja mit deinem damaligen Befehl die Verschlüsselung in eine andere Version konvertiert. Meine Aktion ändert nix daran. Aber Backup ist dennoch sinnvoll.

[mirolPirol]

Nun, ich danke Dir von Herzen für Deine Mühe, aktuell ist TGG-Debian mit Hyprland meine Haupt-Distro. Ich habe das "Look'n feel" für mich angepasst, automatisch wechselnde Wallpaper, und abgesehen vom Boot-Vorgang läuft alles sehr schnell und fluffig.
Vermutlich wird die Konvertierung von LUKS1 zu LUKS2 wird daran vermutlich nichts ändern, aber ich mag die einfache Konfiguration Deiner Distro. Omarchy ist damit verglichen viel unübersichtlicher, wenn auch sehr schön und schnell. Außerdem kenne ich Arch viel besser als Debian, aber das kann man ja ändern?

Wenn Du die Zeit findest, weiter zu machen, dann bitte mit LUKS2 und einer hübschen Eingabemaske für das LUKS-Kennwort? Noch mal danke,
Grüße von Michael aus der Lüneburger Heide

[mirolPirol]

Moin Daniel,
Dein Befehl: sudo cryptsetup luksConvertKey --pbkdf pbkdf2 --pbkdf-force-iterations 1000000 /dev/nvme2n1p5
hat mir leider den "sinnlosen" Fehler geworfen: Device /dev/nvme2n1p5 is not a valid LUKS2 device.
Das ist ja ja klar, sonst müsste ich ja nicht konvertieren? Fehlt da was? Auf jeden Fall ist die Partition korrekt, es ist Dein iso drauf, mit LUKS1.
Hast Du eine Idee?

Das hab ich gefunden:
The command sudo cryptsetup luksConvertKey --pbkdf pbkdf2 --pbkdf-force-iterations 1000000 /dev/nvme2n1p5 is invalid because cryptsetup-luksConvertKey is restricted to LUKS2 devices, whereas the --pbkdf pbkdf2 syntax typically implies a LUKS1 container (LUKS2 defaults to Argon2).

If your device is indeed LUKS1, this command will fail with an error indicating the device is not LUKS2 type. Instead, you should use:

cryptsetup luksAddKey: This creates a new keyslot with PBKDF2 parameters optimized for your current hardware.
cryptsetup luksChangeKey: This replaces an existing key with a new one using modern PBKDF2 costs.