基于LUKS的Yubikey双因素认证全磁盘加密备用设备配置方法咨询

首先直接回应你的核心疑问：是的，你完全可以通过在另一个LUKS加密槽中添加新Yubikey的认证信息，实现双设备解锁系统的需求，这也是目前最标准、最稳妥的做法。下面我会把具体的操作逻辑和注意事项拆解清楚：

核心原理 #

LUKS本身支持多密钥槽（默认最多8个），每个槽可以对应不同的解锁方式——不管是密码、Yubikey的HMAC/OTP认证，还是其他加密密钥。给备用Yubikey分配独立的密钥槽，就能让两个设备都拥有解锁权限，彼此互不影响，丢了其中一个也不会波及另一个的可用性。

具体操作步骤 #

1. 先确认当前LUKS槽的使用状态
   先运行命令查看你的加密设备（比如/dev/nvme0n1p2，替换成你实际的加密分区）的槽状态：

   cryptsetup luksDump /dev/nvme0n1p2
   

   输出里会显示每个槽的状态（ACTIVE或INACTIVE），选一个未被使用的槽（比如槽1，假设原Yubikey用了槽0）来配置备用设备。

2. 重复原教程的Yubikey配置流程，但指定新的密钥槽
   按照你之前用的Yubikey LUKS双因素认证教程步骤操作，唯一的区别是在执行添加密钥的命令时，加上--key-slot参数指定新的槽号。比如原命令可能是：

   cryptsetup luksAddKey /dev/nvme0n1p2
   

   现在改成：

   cryptsetup luksAddKey --key-slot 1 /dev/nvme0n1p2
   

   接下来按照教程提示完成Yubikey的HMAC/OTP绑定操作，把备用Yubikey的认证信息写入这个新槽。

3. 测试备用设备的解锁功能
   配置完成后，重启系统，拔出主Yubikey，插入备用Yubikey，尝试解锁系统，确认能正常进入。这一步非常重要，一定要验证备用设备的可用性。

关键注意事项 #

• 务必备份LUKS header：在操作前，一定要备份加密设备的LUKS header到安全的离线存储，命令如下：

  cryptsetup luksHeaderBackup /dev/nvme0n1p2 --header-backup-file luks-header-backup.img
  

  如果后续某个密钥槽出问题，这个备份可以帮你恢复加密分区的访问权限。
• 不要混用密钥槽：每个Yubikey对应独立的密钥槽，不要在同一个槽里添加多个设备的信息，否则会导致其中一个设备失效时，整个槽都无法使用。
• 保持配置参数一致：配置备用Yubikey时，尽量和主设备的配置参数（比如HMAC算法、OTP长度等）保持一致，避免出现兼容性问题。

备注：内容来源于stack exchange，提问作者byggy