Dm-crypt

An diesem Artikel arbeitet gerade jemand. Um Bearbeitungskonflikte zu vermeiden, warte bitte mit Änderungen, bis diese Markierung entfernt ist, oder kontaktiere den Bearbeiter ({{{1}}}).

Festplatte verschlüsseln

Eine komplett verschlüsselte Festplatte kann in vielen Fällen sinnvoll sein. Zum Beispiel kann es sehr schnell passieren, dass der private Laptop mit den privaten Daten irgendwo liegen gelassen oder geklaut wird. In solchen Fällen ist es immer besser, niemand kann auf die Daten zugreifen.

Für alle folgenden Schritt wird keine Haftung übernommen! Es wird empfohlen, vorher ein komplettes Backup aller wichtigen Daten zu erstellen.

1. Partitionslayout festlegen

Die Festplatte sollte für alle folgenden Schritte folgendermaßen partitioniert sein:

  /dev/hda1 -> /boot (ca. 100 MB)
  /dev/hda2 -> swap (je nach Größe des Arbeitsspeichers, bei mir 512 MB)
  /dev/hda3 -> /
  /dev/hda4 -> /home

Die Größe der einzelnen Partitionen kann variieren.

2. Crypto-Devices anlegen

Das ver- und entschlüsseln wird über das Kryptographie-Modul des Devicemappers des Kernels abgewickelt. Dieser stellt uns ein virtuelles Device zu Verfügung, über das auf die verschlüsselten Partitionen zugegriffen werden kann. Den Verschlüsselungsalgorithmus, die Größe des Schlüssels und viele weitere Dinge die die Verschlüsselung beeinflussen, können selber festgelegt werden. Nähere Informationen zu den verfügbaren Paramtern gibt es hier auf der Seite von dm-crypt [1] Informationen über die Geschwindigkeit der einzelnen Algorithmen gibt es hier [2] übersichtlich dargestellt. Für die folgenden Verschlüsselung wurde der AES-Algorithmus mit SHA-256 als Hash und mit einer Schlüssellänge von 256 Bit gewählt.

Anlegen des Crypto-Devices:

  # cryptsetup luksFormat /dev/hda3 --cipher aes-cbc-essiv:sha256 --verify-passphase --key-size 256
  -> Passwort zweimal eingeben. 
  ACHTUNG: Das Passwort sollte ausreichend lang sein, also mindestens 16 stellig. 

Öffnen des eben erstellten Crypto-Devices:

  # mkdir /mnt/root
  # cryptsetup luksOpen /dev/hda3 root
  -> Passwort eingeben

Formatieren und mounten der Partition:

  # mke2fs -j /dev/mapper/root (mit ext3)
  # mount /dev/mapper/root /mnt/root

Für die home-Partition wollen wir kein extra Passwort verwenden, sondern ein Keyfile, damit wir nicht bei jedem Start des Systems zwei Passwörter eingeben müssen. Das Keyfile für die Home-Partition legen wir in /crypto/home.key ab. Das Keyfile erstellen wir uns zufällig, indem wir einen 2048KB großen Block aus /dev/urandom kopieren.

  # mkdir /mnt/root/crypto
  # dd if=/dev/urandom of=/mnt/root/crypto/home.key bs=1k count=2

Anlegen des Crypto-Devices:

  # cryptsetup luksFormat /dev/hda4 --cipher aes-cbc-essiv:sha256 --key-size 256 --key-file /mnt/root/crypto/home.key

  # cryptsetup luksOpen /dev/hda4 home
  -> Passwort eingeben

Formatieren und mounten der Partition:

  # mke2fs -j /dev/mapper/home (mit ext3)
  # mount /dev/mapper/home /mnt/root/home

3. ArchLinux installieren

Zuerst müssen wir noch unsere Boot-Partition erstellen und mounten.

  # mke2fs /dev/hda1
  # mount /dev/hda1 /mnt/root/boot

Nun kopieren wir alle wichtigen Dateien für das System in unsere verschlüsselte root-Partition.

  # /arch/quickinst ftp /mnt/root ftp://ftp.archlinux.org/current/os/i586

Nun brauchen wir für das neue System auch noch einen Kernel.

  # /tmp/usr/bin/pacman.static -r /mnt/root --config /tmp/pacman.conf -S kernel26

Und damit wir das System nachher auch bequem starten können ein Bootloader, in diesem Fall Grub.

Zuerst mounten wir alle wichtigen Systemverzeichnisse,

  # mount -o bind /dev /mnt/root/dev
  # mount -o bind /proc /mnt/root/proc
  # mount -o bind /sys /mnt/root/sys

und wechseln mit chroot das Root-Verzeichnis.

  # chroot /mnt/root /bin/bash

Letztendlich müssen wir nur noch unsere menu.lst so anpassen, dass Arch auch korrekt von unserer Boot-Partition gestartet wird.

  # nano /mnt/boot/grub/menu.lst

   ... editieren der menu.lst ...
  # install-grub /dev/hda

4. Konfigurations anpassen

  ...

5. Aufräumen & Neustarten

  # umount /mnt/root/boot /mnt/root/home /mnt/root
  # cryptsetup luksClose root
  # cryptsetup luksClose home
  # rm -r /mnt/root
  # shutdown -r now