Root cifrata con LUKS su Raspberry PI 5

Tue, 20 Jan 2026 00:00:00 +0000

Premessa

Quindi ho cominciato a far girare Home Assistant a casa su un Raspberry PI 5 e ho semplicemente installato HAOS su una SD. Poi ho iniziato a sentirmi sempre più a disagio nel salvare credenziali nel filesystem di HA in chiaro (qualsiasi offuscamento non è sufficiente).

Considerando che configurare una root cifrata con HAOS è semplicemente impossibile senza forkarlo, e considerando anche che dedicare un intero RPI5 a HAOS è uno spreco di risorse, ho deciso di aggiungere un SSD al Pi, avviarlo con Raspbian e poi far girare HAOS dentro una VM.

In questo modo, posso avere una root cifrata sull’host principale, cifrando così l’intera VM HAOS.

Inoltre posso ora fare snapshot dell’intera VM HAOS e ho molta più flessibilità nella gestione. Ultimo ma non meno importante, posso anche usare la CPU e la RAM rimanenti del RPI per qualcos’altro.

Ringraziamenti

Prima di tutto, un grande grazie a questo post che mi ha dato le indicazioni iniziali su come fare il setup. Ma quel post del 2021 è ora leggermente datato, e molti passaggi non sono più necessari.

Secondo, un grande grazie a Eric Fjøsne per aver usato questa guida e averla corretta dato che l’avevo scritta perlopiù a posteriori :-).

Requisiti

Un RPI5 con Debian 13 (trixie) o successivo
Una chiavetta USB decente e affidabile che può essere completamente cancellata
Una tastiera e un monitor collegati direttamente al RPI

Panoramica

L’idea di fondo è:

Prepariamo un initrd che contiene i seguenti strumenti:
- resize2fs per ridurre e ingrandire filesystem ext4
- cryptsetup per gestire la cifratura delle partizioni
Configuriamo il sistema per avviarsi da una root cifrata che non esiste ancora, forzando così il sistema a cadere nell’initrd.
Nell’initrd, riduciamo il filesystem root alla dimensione minima possibile
Copiamo il filesystem root dalla partizione in chiaro sulla chiavetta USB
Creiamo la partizione cifrata usando LUKS
Copiamo il filesystem root dalla chiavetta USB sulla partizione cifrata
Estendiamo il filesystem root alla dimensione massima
Configuriamo SSH nell’initrd così da poterlo sbloccare anche dopo aver piazzato il Raspberry Pi in un posto senza tastiera o schermo.

Pronti? Via!

Raspberrypi on Marcello Barnaba

Root cifrata con LUKS su Raspberry PI 5

Premessa

Ringraziamenti

Requisiti

Panoramica