为何LUKS在Ubuntu启动时仅需一次密码即可解密两个设备？

这个体验背后是cryptsetup的密码缓存机制结合Ubuntu initramfs启动阶段的自动化处理在起作用，具体细节拆解如下：

• 启动初期的密码缓存：当Ubuntu启动进入initramfs（初始内存文件系统）阶段时，系统会先处理/etc/crypttab里配置的加密设备。当你输入cryptswap1的密码后，cryptsetup会将这个密码临时存储在内存的安全区域（不会写入磁盘，重启后自动清除），形成一个密码缓存池。
• 同密码设备的自动复用：当系统接下来尝试解锁hd-crypt时，会先检查这个缓存池里的密码，自动用缓存的密码去尝试解密hd-crypt的LUKS容器。因为两个设备用的是同一个密码，这个尝试会直接成功，所以不需要再弹出密码输入提示。
• LUKS的密钥验证逻辑：每个LUKS加密设备都存储着用用户密码加密过的实际磁盘加密密钥。当系统用缓存的密码去解锁hd-crypt时，会尝试用该密码解密hd-crypt的加密密钥，验证匹配后就会挂载设备，整个过程完全自动化。
• 默认行为的灵活性：这个密码复用是Ubuntu initramfs脚本（比如scripts/local-top/cryptroot）的默认行为，不需要你在/etc/crypttab里额外添加配置。如果需要禁用这个功能（比如想强制每个设备单独输入密码），可以给对应的设备添加no-cache选项。

这种设计确实很人性化——既减少了重复输入的繁琐，又不会牺牲安全性（缓存的密码只存在于内存中，重启后立即销毁），非常适合需要多个同密码加密设备的场景。

内容的提问来源于stack exchange，提问作者Peter Fleix