Dm-crypt
|
An diesem Artikel arbeitet gerade jemand. Um Bearbeitungskonflikte zu vermeiden, warte bitte mit Änderungen, bis diese Markierung entfernt ist, oder kontaktiere den Bearbeiter ({{{1}}}). |
Festplatte verschlüsseln
Eine komplett verschlüsselte Festplatte kann in vielen Fällen sinnvoll sein. Zum Beispiel kann es sehr schnell passieren, dass der private Laptop mit den privaten Daten irgendwo liegen gelassen oder geklaut wird. In solchen Fällen ist es immer besser, niemand kann auf die Daten zugreifen.
Für alle folgenden Schritt wird keine Haftung übernommen! Es wird empfohlen, vorher ein komplettes Backup aller wichtigen Daten zu erstellen.
1. Partitionslayout festlegen
Die Festplatte sollte für alle folgenden Schritte folgendermaßen partitioniert sein:
/dev/hda1 -> /boot (ca. 100 MB) /dev/hda2 -> swap (je nach Größe des Arbeitsspeichers, bei mir 512 MB) /dev/hda3 -> / /dev/hda4 -> /home
Die Größe der einzelnen Partitionen kann variieren.
2. Crypto-Devices anlegen
Das ver- und entschlüsseln wird über das Kryptographie-Modul des Devicemappers des Kernels abgewickelt. Dieser stellt uns ein virtuelles Device zu Verfügung, über das auf die verschlüsselten Partitionen zugegriffen werden kann. Den Verschlüsselungsalgorithmus, die Größe des Schlüssels und viele weitere Dinge die die Verschlüsselung beeinflussen, können selber festgelegt werden. Nähere Informationen zu den verfügbaren Paramtern gibt es hier auf der Seite von dm-crypt [1] Informationen über die Geschwindigkeit der einzelnen Algorithmen gibt es hier [2] übersichtlich dargestellt. Für die folgenden Verschlüsselung wurde der AES-Algorithmus mit SHA-256 als Hash und mit einer Schlüssellänge von 256 Bit gewählt.
Anlegen des Crypto-Devices:
# cryptsetup luksFormat /dev/hda3 --cipher aes-cbc-essiv:sha256 --verify-passphase --key-size 256 -> Passwort zweimal eingeben. ACHTUNG: Das Passwort sollte ausreichend lang sein, also mindestens 16 stellig.
Öffnen des eben erstellten Crypto-Devices:
# mkdir /mnt/root # cryptsetup luksOpen /dev/hda3 root -> Passwort eingeben
Formatieren und mounten der Partition:
# mke2fs -j /dev/mapper/root (mit ext3) # mount /dev/mapper/root /mnt/root
Für die home-Partition wollen wir kein extra Passwort verwenden, sondern ein Keyfile, damit wir nicht bei jedem Start des Systems zwei Passwörter eingeben müssen. Das Keyfile für die Home-Partition legen wir in /crypto/home.key ab. Das Keyfile erstellen wir uns zufällig, indem wir einen 2048KB großen Block aus /dev/urandom kopieren.
# mkdir /mnt/root/crypto # dd if=/dev/urandom of=/mnt/root/crypto/home.key bs=1k count=2
Anlegen des Crypto-Devices:
# cryptsetup luksFormat /dev/hda4 --cipher aes-cbc-essiv:sha256 --key-size 256 --key-file /mnt/root/crypto/home.key
# cryptsetup luksOpen /dev/hda4 home -> Passwort eingeben
Formatieren und mounten der Partition:
# mke2fs -j /dev/mapper/home (mit ext3) # mount /dev/mapper/home /mnt/root/home
3. ArchLinux installieren
Zuerst müssen wir noch unsere Boot-Partition erstellen und mounten.
# mke2fs /dev/hda1 # mount /dev/hda1 /mnt/root/boot
Jetzt kopieren wir alle wichtigen Dateien für das System in unsere verschlüsselte root-Partition.
# /arch/quickinst ftp /mnt/root ftp://ftp.archlinux.org/current/os/i586
Nun brauchen wir für das neue System auch noch einen Kernel.
# /tmp/usr/bin/pacman.static -r /mnt/root --config /tmp/pacman.conf -S kernel26
Und damit wir das System nachher auch bequem starten können ein Bootloader, in diesem Fall nehmen wir Grub.
Zuerst mounten wir alle wichtigen Systemverzeichnisse,
# mount -o bind /dev /mnt/root/dev # mount -o bind /proc /mnt/root/proc # mount -o bind /sys /mnt/root/sys
und wechseln mit chroot das Root-Verzeichnis.
# chroot /mnt/root /bin/bash
Schnell Grub installieren.
# install-grub /dev/hda
Damit dürfte das System im Prinzip schon einsatzbereit sein. Das initrd-image erkennt automatisch die verschlüsselte Partition und fragt nach dem Passwort. Sollte das nicht der Fall sein, muss noch mit mkinitcpio ein neues initrd-image erstellt werden, welches den hook für encrypt enthält.
4. Konfiguration anpassen
Damit unser System noch auch noch korrekt die Home-Partition einbindet und die Swap-Partition bei jedem Start mit einem neuen zufälligen Schlüssel verschlüsselt, müssen wir noch einige Konfigurationsdateien anpassen.
Zuerst öffnen wir /etc/crypttab und tragen unsere Home-Partition samt Schlüssel, der ja auf der Root-Partition in /crypto/home.key liegt, ein.
# nano /etc/crypttab
# NAME SOURCE DEVICE PASSWORD OPTIONS home /dev/sda4 /crypto/home.key ....
Damit wird bei jedem Systemstart die Home-Partition automatisch geöffnet. Jetzt können wir /dev/mapper/home ganz normal in unsere fstab-Datei eintragen, damit /home auch korrekt gemountet wird.
# nano /etc/fstab
# <file system> <dir> <type> <options> <dump> <pass> /dev/sda1 /boot ext2 defaults 0 0 /dev/mapper/home /home ext3 defaults 0 0
Hier muss noch darauf geachtet werden, dass die Swap-Partition entweder auskommentiert oder gelöscht wird. Die Verschlüsselung der Swap-Partition erfolgt nun innerhalb des rc.local Startscriptes.
# nano /etc/rc.local
Dort fügen wir folgende Zeilen ein:
cryptsetup -c aes -s 64 -d /dev/urandom create swap0 /dev/sda2 mkswap /dev/mapper/swap0 swapon /dev/mapper/swap0
5. Aufräumen & Neustarten
# umount /mnt/root/boot /mnt/root/home /mnt/root # cryptsetup luksClose root # cryptsetup luksClose home # rm -r /mnt/root # shutdown -r now