======Full Disk Encryption sous Arch Linux (systemd)======

=====Introduction=====

Cette documentation permet d'installer Arch Linux avec du chiffrement intégrale du disque dur en mode EFI.

Une autre méthode est aussi décrite sur le wiki, mais elle est beaucoup moins bien sur bien des points.

^ AVANTAGE                                       ^ INCONVENIENT                                   ^
| Chiffrement quasi intégrale          | initramfs non chiffré!        |
| Utilisation de l'EFI                           | En cas d'erreur a la première saisie, il faudra taper le mot de passe autant de fois qu'il y a de partitions                                              |
| Une seule passphrase à taper au boot           |                                                 |
| Rapide a démarrer           |                                                 |
| possibilité d'utilisé une animation au démarrage (plymouth)           |                       | 
| L'"hibernation" du système est fonctionnelle et chiffrée          |                       | 


Cette solution repose sur le fait que systemd peut garder en cache la passphrase que vous tapez pour l'utiliser sur les partitions suivante.


Voici l'agencement des partitions utilisé dans cette documentation. La seule réel contrainte sont les deux partitions **/boot** et **/boot/efi** :
<code>
+----------------------+-----------------------+-----------------------+-----------------------+
|ESP partition:        |Partition Boot:        |Partition Root:        |Partition SWAP         |
|                      |                       |                       |                       |
|/boot/efi             |/boot                  |/                      |[SWAP]                 |
|                      |                       |                       |                       |
|                      |                       |/dev/mapper/cryptoroot |/dev/store/cryptoswap  |
|                      |                       |UUID=<UUID-VOL-ROOT>   |UUID=<UUID-VOL-SWAP>   |
|                      +                       +-----------------------+-----------------------+
|/dev/sda1             |/dev/sda2              |/dev/sda3              |/dev/sda4              |
|UUID=<UUID-PART-ESP>  |UUID=<UUID-PART-BOOT>  |UUID=<UUID-PART-ROOT>  |UUID=<UUID-PART-SWAP>  |
|non-chiffré           |non-chiffré            |chiffré                |chiffré                |
+----------------------+-----------------------+-----------------------+-----------------------+
</code>


=====Installation=====

===Boot en mode EFI===

Il vous faut boot en mode EFI sur l'ISO de Archlinux, pour vérifier, le dossier **/sys/firmware/efi/efivars/** doit exister

===Changer le Layout du clavier===

Vu qu'en France nous avons un clavier AZERTY, il faut le changer pour se simplifier la vie :

<code bash>
# loadkeys fr
</code>

===Se connecter à Internet===

Là je vous renvoie vers la documentation officiel, ce sujet est bien trop exhaustif

===Partitionnement des disques===

Pour cela, je vous renvoie vers de la documentation de [[https://doc.ubuntu-fr.org/fdisk|fdisk]] 

Il faut ensuite mettre le système de fichier FAT32 sur la partition **/boot/efi**

<code bash>
# mkfs.fat -F32 /dev/sda1
</code>

et le système de fichier ext4 sur la partition **/boot** 

<code bash>
# mkfs.ext4 /dev/sda2
</code>

Ensuite on chiffre nos partitions avec la même passphrase :
<code bash>
# cryptsetup luksFormat /dev/sda3
</code><code bash>
# cryptsetup luksFormat /dev/sda4
</code>

Maintenant on va les déchiffrés :

<code bash>
# cryptsetup open /dev/sda3 cryptroot
</code><code bash>
# cryptsetup open /dev/sda4 cryptswap
</code>

puis de les formater :

<code bash>
# mkfs.ext4 /dev/mapper/cryptroot
</code><code bash>
# mkswap /dev/mapper/cryptswap
</code>

puis on les montes :

<code bash>
# mount /dev/mapper/cryptroot /mnt/
</code><code bash>
# mkdir /mnt/boot
</code><code bash>
# mount /dev/sda2 /mnt/boot/
</code><code bash>
# mkdir /mnt/boot/efi
</code><code bash>
# mount /dev/sda1 /mnt/boot/efi
</code>

===Installation de Arch Linux===

On va commencer par choisir notre miroir pour les dépots Arch en modifiant le fichier **/etc/pacman.d/mirrorlist** en sélectionnant le pays de son choix

On va ensuite mettre a jour les clés des packet

<code bash>
# pacman -Sy archlinux-keyring
</code>

et enfin on installe Arch en lancant :

<code bash>
# pacstrap /mnt base base-devel
</code>


puis on se chroot pour faire la configuration:

<code bash>
# arch-chroot /mnt
</code>

===Configuration de Arch===

On commence par configurer le time zone :

<code bash>
# ln -sf /usr/share/zoneinfo/Europe/Paris /etc/localtime
</code><code bash>
# hwclock --systohc
</code>

Puis on génère le langage français :

<code bash>
# echo "fr_FR.UTF-8 UTF-8" > /etc/locale.gen && locale-gen && echo "LANG=fr_FR.UTF-8" > /etc/locale.conf && echo "KEYMAP=fr" > /etc/vconsole.conf
</code>

Puis on installe les paquets utiles :

<code bash>
# pacman -Syu efibootmgr grub mkinitcpio linux
</code>


Ensuite on configure le nom d'hôte dans le fichier **/etc/hostname** :

<code>
arch-0000
</code>

ainsi que le fichier **/etc/hosts** :

<code>
127.0.0.1	localhost.localdomain	localhost
::1		localhost.localdomain	localhost
127.0.1.1	arch-0000.localdomain	arch-0000
</code>

===Configuration du boot===

On modifie le fichier **/etc/default/grub**, il faut modifié cet ligne comme tel:

<code>
GRUB_CMDLINE_LINUX_DEFAULT="quiet splash luks.name=<UUID-ROOT>=cryptroot luks.name=<UUID-SWAP>=cryptswap luks.option=<UUID-SWAP>=swap root=UUID=<UUID-VOL-CRYPTROOT> resume=UUID=<UUID-VOL-CRYPTSWAP>"
</code>

ainsi que la ligne suivante:

et pour finir décommente la ligne : 

<code>
GRUB_ENABLE_CRYPTODISK=y
</code>

Ensuite on génère la config grub :

<code bash>
# grub-mkconfig -o /boot/grub/grub.cfg
</code><code bash>
# grub-install --target=x86_64-efi --efi-directory=/boot/efi --bootloader-id=LINUX --recheck
</code>

Maintenant on va générer l'image **initramfs** pour le déchiffrement, pour cela il faut aller modifier le fichier **/etc/mkinitcpio.conf** en modifiant le champ **HOOKS** de cet manière : ((Si vous utilisez plymouth, il faut ajouter **sd-plymouth** après **systemd**))

<code>
HOOKS=(base systemd autodetect modconf keyboard sd-vconsole block sd-encrypt filesystems fsck)
</code>

puis on génère l'image :

<code bash>
# mkinitcpio -p linux
</code>

Et pour finir le fichier **/etc/fstab** :

<code>
UUID=<UUID-ESP>         /boot/efi         vfat        defaults         0 1
UUID=<UUID-BOOT>        /boot             ext4        defaults         0 1
UUID=<UUID-VOL-ROOT>         /                 ext4        defaults         0 1
UUID=<UUID-VOL-SWAP>         none              swap        defaults         0 0
</code>