Linux Manjaro Grub

[Hotshady]

Hallo,

ich habe unter Linux Manjaro mein Systemlaufwerk verschlüsselt und werde vor dem booten aufgefordert mein Passwort anzugeben. Sobald ich es falsch eingebe, komme ich in den „grub rescue“ CLI und weiss hier leider nicht wie ich wieder in die Passwortaufforderung zurückkomme. Jemand einen Tipp?

 

[Linuxfreakgraz]

Wenn du mit korrekten Passwort starten kannst, neustarten.

 

[Hotshady]

Wenn ich den Rechner hart neustarte, dann kann ich es wieder eingeben. Aus dem Grub rescue Menü geht es nicht mehr?

 

[Linuxfreakgraz]

Möglicherweise die Frage ist wie Aufwendig das wird. Ich hab selbiges noch nie geschaft.

 

[Hotshady]

Ich nahm an, dass es einen Befehl gibt mit dem man die Entschlüsselung wieder einleiten kann aber ich zu doof war den zu finden. Freut mich zu sehen, dass ich hier anscheinend nicht der einzige bin

 

[netzgestaltung]

Grub hat dafür eine Tastenkombination... Strg+Alt+Entf ;-)
im ernst, hier gibt es eine übersicht zur grub shell, allerdings hab ich heute nicht mehr die kraft alles durchzusehen:
https://wiki.ubuntuusers.de/GRUB_2/Shell/

 

[Linuxfreakgraz]

Danke @netzgestaltung wieder was gelernt.

 

[|Moppel|]

Ich nahm an, dass es einen Befehl gibt mit dem man die Entschlüsselung wieder einleiten kann

Hab ihn gefunden. Archwiki

grub rescue> cryptomount <partition>
# Hier kannst du die Partition vom fehlgeschlagenen decrypt oben drüber abschreiben.

grub rescue> insmod normal
grub rescue> normal

Habs gerade mal getestet und funktioniert.

 

[Wochenende]

ich habe unter Linux Manjaro mein Systemlaufwerk verschlüsselt und werde vor dem booten aufgefordert mein Passwort anzugeben. Sobald ich es falsch eingebe, komme ich in den „grub rescue“ CLI und weiss hier leider nicht wie ich wieder in die Passwortaufforderung zurückkomme. Jemand einen Tipp?

Das wird dir jetzt nicht weiterhelfen, aber wenn ich bei Ubuntu das Passwort falsch eingebe werde ich aufgefordert es noch mal einzugeben. Das Manjaro den Nutzer bei einem falschen Passwort in Grub-rescue wirft, ist IMHO ein grober Fehler. Dafür würde ich mal ein Ticket aufmachen.

Und wieso ist die Eingabe eigentlich im Textmodus? Nvidia-Graka?

 

[|Moppel|]

@Wochenende

Es geht hier um das Passwort für die LUKS Verschlüsselung.
Hat mit Manjaro nichts zu tun.

Das Verhalten ist laut wiki normal.

 

[Wochenende]

Das System wurde von Manjaro installiert. Natürlich ist Manjaro dafür zuständig. Wer denn sonst?

Habe gerade im guten Arch Wiki gelesen, dass dieses Verhalten bei einem verschlüsseltem /boot auftritt. Da der normale Passwort-Dialog (Plymouth) in der initrd im boot-Verzeichniss ist, ist es dann tatsächlich normal.

Das boot-Verzeichniss zu verschlüsseln ist aber schon sehr ungewöhnlich und von zweifelhaftem Nutzen. Ich kannte bis jetzt keine Distro die es standardmäßig (?) macht.

 

[|Moppel|]

Ich hatte noch keine Distri drauf die das nicht macht.

Das boot-Verzeichniss zu verschlüsseln ist aber schon sehr ungewöhnlich und von zweifelhaftem Nutzen.

Wie kommst du darauf?
Laut Archwiki gibt es Angriffsvektoren, die genau darauf abzielen.

Warning: Note that securing the /boot partition and MBR can mitigate numerous attacks that occur during the boot process, but systems configured this way may still be vulnerable to BIOS/UEFI/firmware tampering, hardware keyloggers, cold boot attacks, and many other threats that are beyond the scope of this article.

 

[Wochenende]

Laut Archwiki gibt es Angriffsvektoren, die genau darauf abzielen.

Die /boot-Partition verschlüsseln hilft nicht gegen alle Angriffe. Eine Hintertür ist zu, aber 5 andere sind weiterhin offen. Steht ja auch im Wiki.

Ohne Secure Boot - was Manjaro soweit ich weiss nicht unterstützt - ist das Ganze sinnlos. Statt der initrd wird dann halt Grub manipuliert. Das ist sogar noch einfacher. Selbst wenn du Secure Boot hast: Kontrollierst du vor jedem Booten ob es noch an ist? Das BIOS-Passwort ist bei den meisten Desktops leicht umgehbar.

Mit Secure Boot gehen auch die Nvidia-Treiber nicht mehr oder VirtualBox etc.

Und gegen den einfachsten lokalen Angriff überhaupt, den Hardware-Keylogger, sind Passwörter eh nutzlos.

 

[|Moppel|]

Die /boot-Partition verschlüsseln hilft nicht gegen alle Angriffe. Eine Hintertür ist zu, aber 5 andere sind weiterhin offen. Steht ja auch im Wiki.

Ja.
Genau diese Stelle hab ich ja auch im Volltext zitiert.

Sorry, aber ich verstehe nicht was du mir sagen möchtest.

Alles was du schreibst steht nicht im Konflikt mit dem was ich geschrieben habe.