LUKSは暗号化されたUSBドライブにキーファイルを保存します。

あなたの方法はよさそうだ。しかし、いくつかのコメントは次のとおりです。

• rootfsを暗号化するには、initrdを使用する必要があります（暗号化されたパーティションを処理するための最小限の暗号化されていないシステムを保持します）。

  USBデバイスが取り外し可能な場合は、initrdとカーネルの両方をUSBに保存して、改ざん防止を強化することができます（USBが承認されていない手に入らないことを保証すると仮定して）。これは通常rootfsを暗号化する理由です。カーネルとinitrdの両方がリムーバブルメディアにある場合、メディアを単に削除して、誰も実行中のシステムでカーネル（またはinitrd）を変更できないようにすることができます。

  サーバーの内部にインストールする場合、これは確かにオプションではありませんが、もう一度質問は、ハードドライブの1つに小さなパーティションを使用するのではなく、これらのデバイスを持つことが合理的かどうかです。たとえば、システム上のすべてのドライブがRAIDにある場合は、rootfsをUSBにも挿入できます。しかし、内部的に接続されたUSBフラッシュデバイスの興味深い選択肢は、アダプタを介してATAインターフェイスに接続されたCompactFlashカードです。

  一部のディストリビューションは暗号化されたルートに既製のソリューションを提供し、一部はそうではありません。ただし、ほとんどは「実際の」ルートをマウントする前にinitrdスクリプトに数行のコードを入力する問題です（たとえば、マニュアルページを参照）。pivot_root通常、セクション2（syscall）と8（プロシージャに慣れていない場合はセカンダリ）にあります。

• USBドライブが損傷した場合に備えて、バックアップキーとパスワードを覚えておいてください。 LUKS は、ヘッダーの破損に関してやや一方的なアプローチをとります。ヘッダーの単一セクタ（より正確にはキーウェイ）が死んだ場合、それをマウントできません。これは、デバイス自体で実行されるブロックの再割り当てによってヘッダーの削除が効果的に妨げられないようにするためです（フラッシュベースのデバイスがよく行われる方法）。キーはキースロット全体に分散され、すべてのデータを再構成する必要があります。 - いいえ冗長性。バラよりクレメンス・フルアーズのホームページもっと深い議論をしましょう。

  つまり、おそらくUSBの簡単な暗号化デバイスで十分PLAIN MODEですman cryptsetup。または暗号化されたファイルなどを使用してくださいopenssl enc。暗号化されたパーティション自体の場合でも、前者は実際にオプションです。