Instalar Parabola GNU/Linux-libre

• Conectar cable de red
• Encender
• Presionar o (other boot options)
• Presionar Ctrl+b
• Ingresar dhcp
• Ingresar chain https://boot.netboot.xyz
• Cuando aparezca el menú, ir a Linux Network Installs (64-bit) -> Arch Linux -> la última revisión.

Esperar a que bootee, y opcionalmente ingresar:

ls /usr/share/kbd/keymaps/**/*.map.gz # listado de distribuciones de teclado
loadkeys us-acentos # seleccionar distribución de teclado

ls /usr/share/kbd/consolefonts/ # listado de fuentes
setfont latarcyrheb-sun32 && reset # seleccionar fuente

timedatectl set-ntp true # actualizar hora

Si se desea encriptación del dispositivo de almacenamiento interno, opcionalmente, pero muy recomendado es borrar la información previamente contenida en este llenándola con datos aleatorios. Tomará un tiempo, esperar hasta recibir el error "no space left on device".

cryptsetup open --type plain -d /dev/urandom /dev/sdX to_wipe
dd if=/dev/zero of=/dev/mapper/to_wipe status=progress # opcionalmente bs=1M
cryptsetup close to_wipe # luego de "no space left on device"

Si deseas una encriptación completa del almacenamiento intero, incluyendo /boot, debes saber que Hackware-boot por defecto solo intenta desencriptar la primera partición de cada dispositivo, de modo que la partición de booteo debe ser la primera en la tabla de particiones. Podemos usar una tabla de particiones MBR o GPT, en el caso de GPT querrás crear una partición bios_grub (parted /dev/sdX set Y bios_grub on) de 1M para almacenar datos de arranque de GRUB.

Debido a que GRUB no tiene soporte apropiado para LUKS2, lo mejor es crear una partición /boot separada, y encriptarla con LUKS1 (en caso que se desee).

500MB es un tamaño muy seguro para /boot en caso de la instalación de uno o dos sistemas operativos, pero si se desea bootear más SO se recomienda aumentar ese tamaño.

Si no se encriptará el almacenamiento, y se desea instalar OpenBSD (u otro sistema unix-like que use swap) además de GNU/Linux, se recomienda crear una partición swap separada. En caso de encriptación es mejor que cada cual tenga su swap por seguridad, el uso de un archivo swap es cómodo para esto.

Para particionar el almacenamiento puedes usar fdisk /dev/sdX, donde sdX es el medio de almacenamiento a particionar, podemos reconocerlo ejecutando lsblk.

Basado en https://wiki.parabola.nu/Migration_from_Arch

En /etc/pacman.conf setear RemoteFileSigLevel = Never.

Instalar keyring y mirrorlist de Parabola:

pacman -U https://www.parabola.nu/packages/core/i686/archlinux32-keyring-transition/download
pacman -U https://www.parabola.nu/packages/libre/x86_64/parabola-keyring/download
pacman -U https://www.parabola.nu/packages/libre/x86_64/pacman-mirrorlist/download

En /etc/pacman.conf, devolver RemoteFileSigLevel a su estado original (comentado o seteado RemoteFileSigLevel = Required DatabaseOptional).

Añadir el repo [libre] en /etc/pacman.conf. El orden es importante: [libre] debe estar sobre todos los repos de Arch (core|extra|community).

...
[libre]
Include = /etc/pacman.d/mirrorlist
...
#[testing]
#Include = /etc/pacman.d/mirrorlist
...

Renombrar mirrorlist.pacnew como mirrorlist:

cp -vr /etc/pacman.d/mirrorlist.pacnew /etc/pacman.d/mirrorlist

Actualiza la base de datos:

pacman -Syy

Actualiza el keyring. Paciencia, esto tomará un tiempo (aprox 1:30 hrs, sigue leyendo para ver una alternativa).

pacman-key --refresh-keys

Alternativamente puedes importar las llaves con pacman-key --import directory-with-pubring.gpg. Previamente necesitas haber creado un backup con mkdir backup-dir && pacman-key --export backup-dir/pubring.gpg (o alguien de confianza te lo tiene que haber pasado).

Instala el pacman de Parabola y your-freedom. Acepta todos los reemplazos.

pacman -S pacman your-freedom

Por flexibilidad usaremos un archivo swap en lugar de una partición. Usaremos una Swap de 4GB (1MB*4000), dependiendo de su uso y las características de tu equipo podrías necesitar más o menos.

mkdir -p /mnt/var/safe
dd if=/dev/zero of=/mnt/var/safe/swapfile bs=1MB count=4000 status=progress
chmod 600 /mnt/var/safe/swapfile
mkswap -U clear /mnt/var/safe/swapfile
swapon /mnt/var/safe/swapfile

Si lo deseas puedes olvidar todos los comandos ingresados para la instalación con history -c && rm /root/.bash_history.

Ya puedes reiniciar tu sistema ingresando primero exit y luego reboot.

Tu instalación ya está completamente encriptada. La encriptación del almacenamiento interno de un equipo protege ante ataques fuera de línea, como el acceso a la información por medio de la sutracción de un equipo o sus medios de almacenamiento. Sin embargo existe el riesgo de un tipo de ataque más sofisticado conocido como evil-maid.

Para protegerse ante este tipo de ataques se recomiendan estas medidas:

• Usar una contraseña diferente para /boot y /.
• Proteger el acceso a la configuración de la BIOS y el booteo de medios no apropiadamente identificados con una contraseña.
• Hacer el sistema tamper-evident, por medio de la verificación de los archivos cargados en el inicio temprano del sistema.

Para configurar fácilmente las últimas dos puedes usar la herramienta hwbtool.

• Instala el paquete flashrom.
• Copia el binario compilado de la utilidad de coreboot, cbfstool (desde coreboot/util/cbfstool) a /usr/local/sbin/.
• Copia hwbtool a /usr/local/sbin/.

Reinicia agregando el parámetro del kernel iomem=relaxed a la línea de arranque de GRUB en tu sistema Parabola GNU/Linux-libre:

1. Prende o reinicia tu equipo.
2. Selecciona [u] Unlock encrypted boot o espera 2 segundos luego de que aparece el menú de GRUB.
3. Ingresa tu contraseña de /boot.
4. Espera unos segundos.
5. Verás el menú de booteo de Parabola. Presiona e.
6. En la línea que comienza con linux, dirígete al final de ella e ingresa iomem=relaxed.
7. Presiona <F10> para bootear Parabola.
8. Espera que cargue, luego verás la pantalla de inicio de sesión.
9. Presiona <Ctrl>+<Alt>+<F2> para acceder a una terminal.
10. Inicia sesión con el usuario root.

Ahora podrás ejecutar hwbtool --grub y seguir las instrucciones.

CC0. Este documento es libre de copyright.