Bootloader nie działa z LUKS

Bootloader niedziałający z LUKS (Linux Unified Key Setup) oznacza problem z odblokowaniem zaszyfrowanej partycji przed przekazaniem sterowania jądru systemu — dotyczy konfiguracji szyfrowanego dysku w Linuksie.

Bootloader nie działa z LUKS to sytuacja, w której komputer nie potrafi prawidłowo rozpocząć uruchamiania Linuksa z dysku zabezpieczonego szyfrowaniem LUKS. Problem pojawia się przed załadowaniem właściwego jądra systemu, ponieważ program startowy musi najpierw odnaleźć odpowiednią partycję, uruchomić obsługę szyfrowania, przyjąć hasło lub klucz, a następnie przekazać sterowanie do dalszego etapu rozruchu. Jeżeli którykolwiek z tych elementów nie pasuje do aktualnej konfiguracji, ekran może zatrzymać się na komunikacie o braku systemu, nieudanym odblokowaniu woluminu albo nieznalezieniu urządzenia głównego.

Czym jest problem z bootloaderem i LUKS

LUKS służy do ochrony danych znajdujących się na partycji lub woluminie poprzez ich szyfrowanie. Samo szyfrowanie nie uruchamia jednak systemu automatycznie. Po włączeniu komputera bootloader, na przykład GRUB, musi zlokalizować pliki potrzebne do startu, odczytać konfigurację, załadować odpowiednie moduły i przygotować dostęp do zaszyfrowanego systemu plików. W zależności od układu dysku może być potrzebne odblokowanie jednego woluminu, kilku warstw szyfrowania albo osobnej partycji zawierającej katalog główny systemu.

Określenie „bootloader nie działa z LUKS” nie wskazuje jednej konkretnej usterki. Może oznaczać błędną konfigurację parametrów rozruchowych, niezgodność identyfikatora UUID, brak modułów obsługujących szyfrowanie, uszkodzony obraz initramfs albo problem z kolejnością urządzeń. Czasem szyfrowany wolumin zostaje odblokowany prawidłowo, lecz jądro otrzymuje niewłaściwą informację o lokalizacji systemu plików. W innym przypadku bootloader uruchamia się poprawnie, ale nie potrafi znaleźć plików znajdujących się na oddzielnej, nieprawidłowo zamontowanej partycji.

Ważne jest rozróżnienie pomiędzy błędem samego bootloadera, błędem wczesnego środowiska startowego oraz problemem z fizycznym nośnikiem. Jeżeli nie pojawia się menu rozruchowe, podejrzenie może dotyczyć instalacji programu startowego lub trybu UEFI i Legacy. Jeżeli pojawia się prośba o hasło LUKS, ale po jego podaniu system nie przechodzi dalej, bardziej prawdopodobna jest niezgodność konfiguracji woluminu, initramfs albo parametrów przekazywanych do jądra. Jeżeli pojawiają się błędy odczytu, należy dodatkowo sprawdzić stan dysku i przewody lub połączenie z płytą główną.

Kontekst techniczny i porównanie sposobów rozruchu - Bootloader nie działa z LUKS

W typowej instalacji Linux uruchamianie może przebiegać przez kilka logicznych etapów. Firmware komputera wybiera urządzenie startowe, bootloader wyświetla dostępne wpisy i ładuje jądro wraz z obrazem initramfs, a następnie system przejmuje obsługę odblokowania szyfrowanego woluminu i montowania głównego systemu plików. LUKS może znajdować się bezpośrednio na partycji, na urządzeniu zarządzanym przez LVM albo w układzie, w którym partycja rozruchowa pozostaje nieszyfrowana, natomiast pozostała część systemu jest chroniona. Każdy z tych wariantów wymaga nieco innego zestawu parametrów.

W trybie UEFI pliki startowe są przechowywane na partycji EFI, która zwykle musi być dostępna bez wcześniejszego odblokowywania głównego woluminu. W starszym trybie BIOS bootloader może korzystać z kodu zapisanego w sektorze rozruchowym oraz z plików umieszczonych w określonym obszarze dysku. Z tego powodu zmiana trybu uruchamiania, przełożenie dysku do innego komputera albo ponowna instalacja systemu może spowodować, że istniejąca konfiguracja przestanie pasować do sposobu, w jaki firmware wyszukuje program startowy.

Istotne znaczenie ma także identyfikacja urządzeń. Nazwa w rodzaju /dev/sda lub /dev/nvme0n1 może zmienić się po podłączeniu kolejnego dysku, dlatego współczesne konfiguracje często wykorzystują UUID albo inne trwałe identyfikatory. Jeśli wpis w konfiguracji wskazuje nieistniejący identyfikator, bootloader może wyświetlić menu, lecz później nie odnaleźć właściwego woluminu. Podobny efekt daje pomyłka między identyfikatorem kontenera LUKS a identyfikatorem systemu plików znajdującego się wewnątrz odblokowanego urządzenia.

Nie należy utożsamiać hasła LUKS z hasłem użytkownika Linux. Hasło szyfrowania służy do uzyskania dostępu do klucza chroniącego dane na nośniku, natomiast hasło konta jest sprawdzane dopiero po uruchomieniu systemu. Prawidłowe przyjęcie hasła LUKS nie gwarantuje więc, że dalszy start zakończy się powodzeniem. Może wystąpić sytuacja, w której wolumin zostanie odblokowany, ale nie zostanie znaleziony katalog główny, zabraknie sterownika albo initramfs będzie zawierał nieaktualne informacje.

Typowe problemy, błędy i objawy - Bootloader nie działa z LUKS

Jednym z częstszych przypadków jest uszkodzenie lub nieaktualność obrazu initramfs. Obraz ten zawiera minimalne środowisko potrzebne do wykonania operacji poprzedzających pełne uruchomienie systemu. Po zmianie jądra, konfiguracji szyfrowania, układu LVM lub sterowników może nie zostać poprawnie odtworzony. Objawem bywa zatrzymanie na komunikacie o oczekiwaniu na urządzenie, wejście do powłoki awaryjnej albo prośba o wskazanie systemu plików, którego nie można odnaleźć.

Inny problem stanowi błędny wpis w pliku konfiguracji bootloadera lub w ustawieniach systemu odpowiedzialnych za montowanie woluminów. Nieprawidłowy UUID, literówka w nazwie urządzenia, brak parametru wskazującego zaszyfrowany wolumin albo użycie starego identyfikatora po odtworzeniu kopii systemu może uniemożliwić start. Zdarza się również, że konfiguracja odnosi się do innego numeru partycji niż ten, który faktycznie znajduje się na dysku.

Problemy mogą pojawić się po aktualizacji systemu, zmianie rozmiaru partycji, klonowaniu dysku, przywróceniu obrazu lub instalacji drugiego systemu. Podczas takich operacji może zostać nadpisany bootloader, zmieniona partycja EFI albo odtworzony tylko fragment struktury potrzebnej do uruchomienia. Jeżeli szyfrowany jest cały nośnik, dodatkowego znaczenia nabiera prawidłowa obsługa nagłówka LUKS. Uszkodzenie nagłówka może uniemożliwić dostęp do danych, dlatego nie powinno się wykonywać przypadkowych poleceń zapisujących zmiany na dysku.

Do typowych komunikatów należą między innymi brak urządzenia głównego, nieudane otwarcie kontenera szyfrowania, przejście do trybu awaryjnego, błąd odczytu pliku konfiguracyjnego oraz powrót do menu bootloadera. Znaczenie komunikatu zależy od momentu, w którym się pojawia. Warto zapisać jego dokładną treść, zrobić zdjęcie ekranu i odnotować, czy problem wystąpił po aktualizacji, zmianie dysku, zaniku zasilania lub modyfikacji ustawień firmware. Taka informacja ułatwia rozdzielenie problemu programowego od awarii nośnika.

Przed naprawą trzeba zachować ostrożność z operacjami inicjalizującymi, formatowaniem i ponowną instalacją systemu. Mogą one usunąć metadane, nadpisać konfigurację lub utrudnić późniejsze odzyskanie dostępu do danych. Bezpieczniejsza diagnostyka zaczyna się od identyfikacji partycji, sprawdzenia widoczności kontenera LUKS, odczytu konfiguracji startowej oraz ustalenia, czy zaszyfrowany wolumin można otworzyć przy użyciu właściwego hasła lub klucza. Dopiero później można rozważyć odbudowę initramfs albo ponowną instalację bootloadera.

Kiedy najlepiej przekazać urządzenie do naprawy - Bootloader nie działa z LUKS

Do serwisu warto zgłosić się wtedy, gdy komputer zatrzymuje się przed ekranem logowania, po wpisaniu prawidłowego hasła LUKS wraca do menu startowego albo uruchamia jedynie powłokę ratunkową. Pomoc jest szczególnie wskazana, gdy na dysku znajdują się ważne dokumenty, nie ma aktualnej kopii zapasowej, nie jest znana dokładna struktura partycji lub problem pojawił się po klonowaniu nośnika. W takich warunkach pochopna reinstalacja może utrudnić dostęp do danych, mimo że pierwotna usterka dotyczyła wyłącznie konfiguracji rozruchowej.

Podczas diagnostyki można sprawdzić tryb UEFI lub BIOS, kolejność startu, obecność partycji EFI, stan nagłówka LUKS, poprawność identyfikatorów, zawartość konfiguracji bootloadera, działanie initramfs oraz zgodność wersji jądra z wpisami startowymi. Należy również ocenić stan nośnika, ponieważ błędy odczytu mogą powodować objawy przypominające niezgodność konfiguracji. Jeżeli dane są istotne, pierwszeństwo powinno mieć zabezpieczenie ich kopii, a dopiero potem naprawa mechanizmu uruchamiania.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić analizę przypadku, w którym szyfrowanie LUKS działało wcześniej, lecz po zmianie konfiguracji lub aktualizacji Linux przestał się uruchamiać. Do zgłoszenia warto dołączyć nazwę dystrybucji, informację o używanym trybie startu, dokładny komunikat z ekranu oraz opis ostatniej wykonanej czynności. Jeżeli hasło LUKS jest znane, można przekazać tę informację podczas przyjmowania sprzętu, bez publikowania jej w wiadomościach lub dokumentach dostępnych dla osób postronnych.

Naprawa może polegać na odtworzeniu wpisów startowych, poprawieniu parametrów wskazujących zaszyfrowany wolumin, wygenerowaniu właściwego initramfs, przywróceniu plików na partycji EFI albo usunięciu konfliktu pomiędzy identyfikatorami urządzeń. Jeżeli przyczyną okaże się uszkodzenie nośnika, zakres prac powinien zostać ustalony z uwzględnieniem ryzyka dalszego odczytu i potrzeby odzyskania danych. Najważniejsze jest ustalenie, czy problem dotyczy samego dostępu do zaszyfrowanych informacji, czy tylko etapu przekazania sterowania do już istniejącego systemu.