Dm-crypt: Unterschied zwischen den Versionen
| Zeile 89: | Zeile 89: | ||
# mount -o bind /proc /mnt/root/proc | # mount -o bind /proc /mnt/root/proc | ||
# mount -o bind /sys /mnt/root/sys | # mount -o bind /sys /mnt/root/sys | ||
und wechseln mit chroot das Root-Verzeichnis. | und wechseln mit chroot das Root-Verzeichnis. | ||
| Zeile 99: | Zeile 98: | ||
# install-grub /dev/hda | # install-grub /dev/hda | ||
Damit dürfte das System im Prinzip schon einsatzbereit sein. Das initrd-image erkennt automatisch die verschlüsselte Partition und fragt nach dem Passwort. Sollte das nicht der Fall sein, muss noch mit [mkinitcpio] ein neues initrd-image erstellt werden, welches den hook für encrypt enthält. | Damit dürfte das System im Prinzip schon einsatzbereit sein. Das initrd-image erkennt automatisch die verschlüsselte Partition und fragt nach dem Passwort. Sollte das nicht der Fall sein, muss noch mit [[mkinitcpio]] ein neues initrd-image erstellt werden, welches den hook für encrypt enthält. | ||
===4. Konfigurations anpassen=== | ===4. Konfigurations anpassen=== | ||
Version vom 23. April 2007, 07:26 Uhr
|
An diesem Artikel arbeitet gerade jemand. Um Bearbeitungskonflikte zu vermeiden, warte bitte mit Änderungen, bis diese Markierung entfernt ist, oder kontaktiere den Bearbeiter ({{{1}}}). |
Festplatte verschlüsseln
Eine komplett verschlüsselte Festplatte kann in vielen Fällen sinnvoll sein. Zum Beispiel kann es sehr schnell passieren, dass der private Laptop mit den privaten Daten irgendwo liegen gelassen oder geklaut wird. In solchen Fällen ist es immer besser, niemand kann auf die Daten zugreifen.
Für alle folgenden Schritt wird keine Haftung übernommen! Es wird empfohlen, vorher ein komplettes Backup aller wichtigen Daten zu erstellen.
1. Partitionslayout festlegen
Die Festplatte sollte für alle folgenden Schritte folgendermaßen partitioniert sein:
/dev/hda1 -> /boot (ca. 100 MB) /dev/hda2 -> swap (je nach Größe des Arbeitsspeichers, bei mir 512 MB) /dev/hda3 -> / /dev/hda4 -> /home
Die Größe der einzelnen Partitionen kann variieren.
2. Crypto-Devices anlegen
Das ver- und entschlüsseln wird über das Kryptographie-Modul des Devicemappers des Kernels abgewickelt. Dieser stellt uns ein virtuelles Device zu Verfügung, über das auf die verschlüsselten Partitionen zugegriffen werden kann. Den Verschlüsselungsalgorithmus, die Größe des Schlüssels und viele weitere Dinge die die Verschlüsselung beeinflussen, können selber festgelegt werden. Nähere Informationen zu den verfügbaren Paramtern gibt es hier auf der Seite von dm-crypt [1] Informationen über die Geschwindigkeit der einzelnen Algorithmen gibt es hier [2] übersichtlich dargestellt. Für die folgenden Verschlüsselung wurde der AES-Algorithmus mit SHA-256 als Hash und mit einer Schlüssellänge von 256 Bit gewählt.
Anlegen des Crypto-Devices:
# cryptsetup luksFormat /dev/hda3 --cipher aes-cbc-essiv:sha256 --verify-passphase --key-size 256 -> Passwort zweimal eingeben. ACHTUNG: Das Passwort sollte ausreichend lang sein, also mindestens 16 stellig.
Öffnen des eben erstellten Crypto-Devices:
# mkdir /mnt/root # cryptsetup luksOpen /dev/hda3 root -> Passwort eingeben
Formatieren und mounten der Partition:
# mke2fs -j /dev/mapper/root (mit ext3) # mount /dev/mapper/root /mnt/root
Für die home-Partition wollen wir kein extra Passwort verwenden, sondern ein Keyfile, damit wir nicht bei jedem Start des Systems zwei Passwörter eingeben müssen. Das Keyfile für die Home-Partition legen wir in /crypto/home.key ab. Das Keyfile erstellen wir uns zufällig, indem wir einen 2048KB großen Block aus /dev/urandom kopieren.
# mkdir /mnt/root/crypto # dd if=/dev/urandom of=/mnt/root/crypto/home.key bs=1k count=2
Anlegen des Crypto-Devices:
# cryptsetup luksFormat /dev/hda4 --cipher aes-cbc-essiv:sha256 --key-size 256 --key-file /mnt/root/crypto/home.key
# cryptsetup luksOpen /dev/hda4 home -> Passwort eingeben
Formatieren und mounten der Partition:
# mke2fs -j /dev/mapper/home (mit ext3) # mount /dev/mapper/home /mnt/root/home
3. ArchLinux installieren
Zuerst müssen wir noch unsere Boot-Partition erstellen und mounten.
# mke2fs /dev/hda1 # mount /dev/hda1 /mnt/root/boot
Jetzt kopieren wir alle wichtigen Dateien für das System in unsere verschlüsselte root-Partition.
# /arch/quickinst ftp /mnt/root ftp://ftp.archlinux.org/current/os/i586
Nun brauchen wir für das neue System auch noch einen Kernel.
# /tmp/usr/bin/pacman.static -r /mnt/root --config /tmp/pacman.conf -S kernel26
Und damit wir das System nachher auch bequem starten können ein Bootloader, in diesem Fall nehmen wir Grub.
Zuerst mounten wir alle wichtigen Systemverzeichnisse,
# mount -o bind /dev /mnt/root/dev # mount -o bind /proc /mnt/root/proc # mount -o bind /sys /mnt/root/sys
und wechseln mit chroot das Root-Verzeichnis.
# chroot /mnt/root /bin/bash
Schnell Grub installieren.
# install-grub /dev/hda
Damit dürfte das System im Prinzip schon einsatzbereit sein. Das initrd-image erkennt automatisch die verschlüsselte Partition und fragt nach dem Passwort. Sollte das nicht der Fall sein, muss noch mit mkinitcpio ein neues initrd-image erstellt werden, welches den hook für encrypt enthält.
4. Konfigurations anpassen
...
5. Aufräumen & Neustarten
# umount /mnt/root/boot /mnt/root/home /mnt/root # cryptsetup luksClose root # cryptsetup luksClose home # rm -r /mnt/root # shutdown -r now