MisC schrieb:Ist schon paar Monate her und bin damals nur auf einen Bug oder Forenpost bei Arch gestoßen der auch leicht Toxic war. Danach hatte ich Manjaro für mich direkt aufgegeben und nicht weiter darum gekümmert.
Es kommt immer darauf an wie der Installer die Verschlüsselung umsetzt. Manjaro erstellt z.B. zusätzlich zum eingegebenen Passwort noch ein Keyfile, das wird glaub ich unter "/crypto_keyfile.bin" abgelegt. Die Datei selbst ist erst mal nur von "root" lesbar, also kein Problem.
Beim erstellen der initrd durch "mkinitcpio" wird dann aber diese Datei in die "initrd" mit aufgenommen und die ist Standardmäßig eben von jedem Lesbar. Ist sie dann zusätzlich noch auf einem unverschlüsselten Laufwerk, kann man sich die Verschlüsselung auch gleich sparen.
Bei anderen Distributionen hab ich das so noch nicht gesehen, da wird üblicherweise einfach nur das Passwort für die Verschlüsselung verwendet und fertig. Allerdings teste ich auch nicht permanent neue Distris. Um zu schauen wie viele verschiedene Schlüssel es für ein verschlüsseltes Gerät gibt kann man folgendes eingeben:
XYZ logischerweise durch das entsprechende Gerät ersetzen.Bash:sudo cryptsetup luksDump /dev/XYZ
Wenn dort mehr als ein keySlot belegt ist sollte man sich auf jeden Fall mal Gedanken machen und nachforschen.
Das war glaube ich ein Bug in Calamares und betraf damit auch andere Distributionen (wie EndeavourOS). Normalerweise sollte das nur passieren, wenn man /boot verschlüsselt, damit man den Key nicht zweimal eingeben muss. Ist eine typische Empfehlung, die auch in der Arch Wiki zu finden ist (/boot verschlüsseln und darin ein Keyfile für / ablegen, damit man nicht zweimal tippen muss). Aus irgendeinem Grund hatten die Calamares Maintainer übersehen, das auszuschalten, wenn Leute ihr System selbst partitionieren und /boot unverschlüsselt lassen.