Querdenker, Freiheitsliebende und Idealisten

Transkript

1 Querdenker, Freiheitsliebende und Idealisten Interessen => Anleitungen => Thema gestartet von: adhx am Mai 31, 2007, 22:16:58 Titel: [Anleitung]Festplatten verschluesseln - cryptsetup/dm-crypt Beitrag von: adhx am Mai 31, 2007, 22:16:58 Inhalt 1. Vorwort 2. cryptsetup/dm-crypt 3. Festplatten richtig loeschen 4. Leere Festplatte partitionieren 5. Partition verschluesseln 6. Partitionen entschluesseln 7. Logical Volume Manager (LVM) einrichten 7.1 Ein physisches "Volume" anlegen 7.2 Die "Volume"-Gruppe anlegen 7.3 Logische "Volumes" anlegen 7.4 Weitere Befehle fuer LVM 8. Dateisysteme anlegen (auf logischen "Volumes") 9. Mounten der "Volumes" nach /mnt 10. Bei der debian installation 11. Zusatz 1: Zugriff auf die verschluesselten Partitionen vom Desktop 11. Zusatz 1.1: Shell-Script 11. Zusatz 1.2: Verknuepfung zum Shell-Script 11. Zusatz 1.3: Verknuepfung zu den bereits gemounteten "Volumes" 11. Zusatz 2: Einbinden von logischen "Volumes" in die fstab 11. Zusatz 3: Einbinden von entschluesselten Partitionen in die crypttab 12. Links 13. Schlusswort 14. Lizenz 1. Vorwort Anleitung zum Erstellen von verschluesselten Festplatten, LVM und weiteres. (Diese Anleitung ist auf debian sid debian etch entstanden - sie funktionierte bei mir, dies ist jedoch kein Indikator dafuer das es bei anderen auch funktioniert. Wichtig ist hier Daten sichern!) Meine Vorraussetzungen: 2 Festplatten Ziel: 1. Systempartitionen verschluesseln (1 Container = x Partitionen) - bei der Neuinstallation 2. Spiele + Backup /home (1 Container = 2 Partitionen) - mit Live-CD 3. Daten (1 Container = 3 Partitionen) - mit Live-CD 3. Musik (1 Container = 3 Partitionen) - mit Live-CD Hintergrund: Hier werden zwei Wege beschrieben. Der erste ist ueber eine Live-CD, dieser Weg kann genutzt werden bei einem bestehenden System. Und der zweite Weg geht ueber die Installation von debian etch. 2. cryptsetup/dm-crypt Cryptsetup ist ein Programm zur Verschluesselung von Festplatten/Partitionen. Ebenfalls kann man damit auch einfache Container erstellen. Im Grunde obliegt es jedem selbst, was er damit verschluesseln moechte. Die Einsatzmoeglichkeiten sind jedoch nahezu unbegrenzt. Im Grunde ist Cryptsetup eine Erweiterng von dm-crypt in Verbindung mit LUKS(Linux Unified Key Setup). 3. Festplatten richtig loeschen 1 von :58

2 Sollte man keine leere Festplatte haben muss man hier selbst Hand angelegen und die Daten vollkommen und richtig loeschen. Hierzu gibt es zwei Wege. Hier sollte das Backup gemacht worden sein, wenn nicht ist hier die letzte Chance. 1. zero - Festplatte mit Nullen ueberschreiben (als root ausfuehren) dd if=/dev/zero of=/dev/hdx bs= urandom - Festplatte mit sinnfreien Daten beschreiben (als root ausfuehren) dd if=/dev/urandom of=/dev/hdx bs=10240 Urandom ist von den beiden Moeglichkeiten die bessere, welche jedoch auch mehr Zeit in Anspruch nimmt. 4. Leere Festplatte partitionieren Dieser Weg kann von einem laufenden System vollzogen werden, wenn man eine neue Festplatte eingebaut hat beziehungsweise eine unbeschriebene zur Verfuegung hat. Fuer die Anleitung wurde diese Taetigkeit von einer Live-CD ausgefuehrt. Mit welchen Programm de Partitionen erstellt werden spielt keine Rolle. Sollte jedoch in der Konsole partitioniert werden ist cfdisk ein nuetzliches Programm. 5. Partition verschluesseln Fallbeispiel: Zweite Partition der ersten Festplatte (hda2) cryptsetup -c aes-cbc-essiv:sha256 -y -s 256 luksformat /dev/hda2 -c bestimmt den Algorithmus der folgend benannt wird mit -y wird eine Passwortwiederholung gefordert luksformat ersellt den Schluessel und die Verschluesselung die Partition der Festplatte Die Zahl 256 ist die Verschluesselungsstaerke. Eine hoehere Verschluesselung ist aktuell nicht moeglich. 2 von :58

3 6. Partition entschluesseln Die erstellte Partition muss entschluesselt werden um weiter fortfahren zu koennen. cryptsetup luksopen /dev/hda2 name-des-entschluesselten-laufwerkes1 7. Logical Volume Manager (LVM) einrichten Eine sehr schoene Beschreibung von LVM koennt ihr bei der linuxwiki finden. Ich lasse dieses Thema aus, da es einfach zu komplex ist und es bereits zu gute Anleitungen und Informationen gibt. 7.1 Ein physisches "Volume" anlegen In einem verschluesseltem Container ist es nicht sinnvoll/moeglich mehrere einfache Partionen anzulegen. Um dies realisieren zu koennen ist die Verwendung von LVM und der "Volumes" hilfreich. Als erstes werden physische "Volumes" erstellt. pvcreate /dev/mapper/name-des-entschluesselten-laufwerkes1 Mit diesem Befehl wird die zweite Partition der ersten Festplatte als physisches "Volume" markiert. 3 von :58

4 7.2 Die "Volume"-Gruppe anlegen In dieser Gruppe koennen verschiedene physische "Volumes" zusammengefasst werden. vgcreate vggruppenname /dev/mapper/name-des-entschluesselten-laufwerkes1 /dev/mapper/name-des-entschluesselten-laufwerkes2 Mit der ersten Option des Befehls wird der Gruppenname vergeben. Am Ende gibt man die physischen Volumes an, welche sich in der Gruppe befinden sollen. 4 von :58

5 7.3 Logische "Volumes" anlegen Als logische "Volumes" kann man "virtuelle" Partitionen beschreiben. Richtige Partitionen sind nicht moeglich. Um aber getrennte Bereiche auf einer Festplatte zu haben sind die logischen "Volumes" das Mittel zum Zweck. Ein sehr angenehmer Nebeneffekt ist, das logische "Volumes", die sich in einer Gruppe befinden, beim Speicherplatz variabel sind. lvcreate -n daten1 -L 3G vggruppenname -n ist der Name des logischen "Volumes" -L gibt die Groesse an und in diesem Beispiel sind es drei Gigabyte 5 von :58

6 7.4 Weitere Befehle fuer LVM vgscan sucht nach allen verfuegbaren und somit entschluesselten Gruppen. vgdisplay ist zum Auflisten der Inhalte der Gruppen gedacht. vgchance nutzt man um eine Gruppe zu aktivieren. 8. Dateisysteme anlegen (auf logischen "Volumes") 6 von :58

7 Um die angelehten logischen "Volumes" auch nutzen zu koennen, benoetigen diese auch ein Dateisystem. In diesem Beispiel wird ext3 verwendet. Die Wahl des Dateisystemes ist jedem selbst ueberlassen. mkfs.ext3 /dev/mapper/vggruppenname-daten1 9. Mounten der "Volumes" nach /mnt An diesem Punkt wurden die Festplatten, Partitionen und "Volumes" eingerichtet, ver- und entschluesselt, mit einem Dateisystem versehen und zur Nutzung bereit. Fehlen tut nun nur noch das auf die "Volumes" zugegriffen werden kann. Da mounten standard ist werde ich es nicht ausfuehrlich beschreiben. In /mnt/ muessen die Ordner existent sein in welche die "Volumes" gemountet werden sollen. mount /dev/mapper/vggruppenname-daten1 /mnt/daten1 7 von :58

8 (Auf diesem Bild bin ich bereits in /mnt) 10. Bei der debian installation Durch die Installation wird man gefuehrt. Fehlerquellen sind soweit keine zu finden auch wenn man gefuehrte Einrichtung des LVM und der Partitionen wuenscht. Sollte das Ergebnis nicht zufriedenstellend sein, so kann man noch immer die Einteilungen aendern. So bin auch ich verfahren, weil ich keine Lust hatte auf eine manuelle Einrichtung. 8 von :58

9 11. Zusatz 1: Zugriff auf die verschluesselten Partitionen vom Desktop Sollte der Wunsch im Raum stehen sich die Befehle zu sparen fuer Festplatten die manuell eingebunden werden sollen, gibt es die Moeglichkeit auf Shell-Scripte zurueckzugreifen. 11. Zusatz 1.1: Shell-Script Ein einfaches Script. #!/bin/bash cryptsetup luksopen /dev/hdb2 daten vgscan vgchange -a y mount /dev/mapper/vc2-daten1 /mnt/daten1 mount /dev/mapper/vc2-daten2 /mnt/daten2 mount /dev/mapper/vc2-daten3 /mnt/daten3 11. Zusatz 1.2: Verknuepfung zum Shell-Script Dieses Script liegt unter /usr/local/bin. Wie bekannt sein duerfte, hat dort root nur Zugriff. Der Wunsch ist es jedoch dieses Script vom Desktop aus zu starten. Um eine Verknuepfung zu dem Script zu erstellen kann auf eine KDE-Funktion, welche es auch unter GNOME gab, zurueckgegriffen werden. Mit Rechtsklick: Neu erstellen -> Verknuepfung zu Programm koennen nun die Pfade angeben werden. 9 von :58

10 Wichtig an dieser Stelle ist, das man unbedingt die weiteren Optionen oeffnen sollte. Die markierten Optionen sollten unbedingt genutzt werden. Nach dem Doppelklick wird dem Script gefolgt. 11. Zusatz 1.3: Verknuepfung zu den bereits gemounteten "Volumes" 10 von :58

11 Natuerlich sollen die entschluesselten "Volumes" auch vom Desktop aus ansteuerbar sein Und deswegen kann hier eine KDE Funktion, welche aber von GNOME nicht unbekannt war, genutzt werden. Mit Rechtsklick: Neu erstellen -> Verknuepfung zu Adresse koennen nun die Pfade angeben werden. 11. Zusatz 2: Einbinden von logischen "Volumes" in die fstab Logische "Volumes" die nicht waerend einer Installation erstellt wurden, muessen erst per Hand in die fstab eingetragen werden. Dies ist nicht sonderlich spektakulaer. Einfach die logischen "Volumes" wie in dem Beispiel hinzufuegen. Damit beim naechsten Neustart die "Volumes" eingebunden werden koennen, muss auch die crypttab angepasst werden. 11. Zusatz 3: Einbinden von entschluesselten Partitionen in die crypttab Hier muss der Name der entschluesselten Partition angegeben und an welchem Ort sich diese Partition auf der Festplatte befindet. Die weiteren Daten sind standardmaessig. 11 von :58

12 12. Links dm-crypt - de.wikipedia.org Komplettverschlüsselung unter Linux mit cryptsetup und LUKS - ubuntuusers.de Verschlüsseltes Dateisystem mit dm-crypt - linuxforen.de Logical Volume Manager - linuxwiki.de 13. Schlusswort Verschluesselungen sind ein interessantes Thema. Und wie man hier sehen kann, ist die Einrichtung auch nicht sonderlich schwer. Daher wuenschen wir euch viel Spass mit der Anleitung und hoffen das sie euch gefaellt. 14. Lizenz Dieser Text unterliegt der GNU Free Documentation License (FDL). Freie Verbreitung in modifizierter oder unmodifizierter Form ist erlaubt; Modifikationen muessen unmissverstaendlich gekennzeichnet sein und ebenfalls unter der FDL vertrieben werden. delforcer vz ctypp Erstfassung: 01/06/07 Powered by SMF SMF 2006, Simple Machines LLC 12 von :58