Verschluesselung: dm-crypt/luks unter openSUSE - Versionsgeschichte

Gehrke: aes-cbc durch aes-xts ersetzt (http://www.heise.de/security/artikel/Erfolgreicher-Angriff-auf-Linux-Verschluesselung-2072199.html)

2014-04-11T19:44:05Z

aes-cbc durch aes-xts ersetzt (http://www.heise.de/security/artikel/Erfolgreicher-Angriff-auf-Linux-Verschluesselung-2072199.html)

TomcatMJ: TomcatMJ verschob Seite VerschlÃ¼sselung: dm-crypt/luks unter openSUSE nach Verschluesselung: dm-crypt/luks unter openSUSE: Umlautsalat korrigiert

2013-11-20T20:13:48Z

TomcatMJ verschob Seite VerschlÃ¼sselung: dm-crypt/luks unter openSUSE nach Verschluesselung: dm-crypt/luks unter openSUSE: Umlautsalat korrigiert

Jengelh: /* Verschlüsselte Partitionen beim Systemstart einbinden */

2007-05-07T07:46:52Z

‎Verschlüsselte Partitionen beim Systemstart einbinden

B3ll3roph0n: Einbindung in Bootprozess eingefügt

2007-05-02T12:45:12Z

Einbindung in Bootprozess eingefügt

Jengelh: fix up residues

2007-04-29T15:45:01Z

fix up residues

Jengelh: Big reformat

2007-04-29T15:37:18Z

Big reformat

Änderungen zeigen

Jengelh: R, Gr, various

2007-04-29T15:00:07Z

R, Gr, various

B3ll3roph0n am 29. April 2007 um 13:49 Uhr

2007-04-29T13:49:23Z

B3ll3roph0n: /* Links */

2007-04-29T13:47:57Z

‎Links

B3ll3roph0n: /* Verschlüsselung: dm-crypt/luks unter openSUSE */

2007-04-29T13:15:19Z

‎Verschlüsselung: dm-crypt/luks unter openSUSE

@@ Zeile 193: / Zeile 193: @@
 Zuerst wird die erste Partition auf dem USB-Stick verschlüsselt auf der anschließend der Schlüssel für die <code>/home</code>-Partition gespeichert wird. Die Partition mit AES verschlüsseln:
-  cryptsetup -c aes-cbc-essiv:sha256 -y luksFormat /dev/usbcrypt1
+  cryptsetup -c aes-xts-essiv:sha256 -y luksFormat /dev/usbcrypt1
 *Mit '''YES''' bestätigen
@@ Zeile 274: / Zeile 274: @@
 {{Box Beispiel|Verschlüsselung mit Passwort <u>und</u> Key-File|Die Partition mit AES verschlüsseln:
-  cryptsetup -c aes-cbc-essiv:sha256 -y luksFormat /dev/hda3<
+  cryptsetup -c aes-xts-essiv:sha256 -y luksFormat /dev/hda3<
 *Mit '''YES''' bestätigen
@@ Zeile 389: / Zeile 389: @@
 In der <code>/etc/crypttab</code> die Zeile
-  swap0  /dev/sda2  swap  swap  aes-cbc-essiv:sha256  sha256  /dev/urandom
+  swap0  /dev/sda2  swap  swap  aes-xts-essiv:sha256  sha256  /dev/urandom
 hinzufügen.
@@ Zeile 397: / Zeile 397: @@
 Um die verschlüsselte Partition des USB-Sticks beim Systemstart einzubinden: In der <code>/etc/crypttab</code> die Zeile
-  usbkeys  /dev/usbcrypt1  /media/keys  ext3  aes-cbc-essiv:sha256  none  none
+  usbkeys  /dev/usbcrypt1  /media/keys  ext3  aes-xts-essiv:sha256  none  none
 hinzufügen.
@@ Zeile 405: / Zeile 405: @@
 Um die verschlüsselte '''<code>/home</code>'''-Partition beim Systemstart einzubinden: In der <code>/etc/crypttab</code> <u>'''unterhalb'''</u> des Eintrags für den USB-Stick die Zeile
-  home  /dev/hda3  /home  ext3  aes-cbc-essiv:sha256  none  none
+  home  /dev/hda3  /home  ext3  aes-xts-essiv:sha256  none  none
 hinzufügen.

@@ Zeile 333: / Zeile 333: @@
 === Vorbereitung ===
-Um die angelegten Partitionen beim Systemstart einzubinden wird ein entsprechendes Bootscript benötigt. Folgendes Script kopieren und unter <code>/etc/init.d/boot.cryptdisks</code> speichern.
+Um die angelegten Partitionen beim Systemstart einzubinden, wird ein entsprechendes Bootscript benötigt. Folgendes Script kopieren und unter <code>/etc/init.d/boot.cryptdisks</code> speichern.
 {{OpenSUSE||[[Bootscript zum Einbinden von dm-crypt/LUKS-Partitionen unter openSUSE]]}}
@@ Zeile 340: / Zeile 340: @@
   chown root:root /etc/init.d/boot.cryptdisks
-  chmod 0700 /etc/init.d/boot.cryptdisks
+  chmod a+x /etc/init.d/boot.cryptdisks
 und das Script in den Bootprozess einbinden:
@@ Zeile 352: / Zeile 352: @@
 sollte dann
-  boot.cryptdisks           0:off  1:off  2:off  3:off  4:off  5:off  6:off  B:on
+  boot.cryptdisks  0:off  1:off  2:off  3:off  4:off  5:off  6:off  B:on
 ausgeben.
-Anschließend die Datei
+Anschließend die Datei <code>/etc/crypttab</code> mit folgendem Inhalt anlegen:
   # /etc/crypttab

@@ Zeile 337: / Zeile 337: @@
 {{OpenSUSE||[[Bootscript zum Einbinden von dm-crypt/LUKS-Partitionen unter openSUSE]]}}
-Die Rechte für das Script setzen (ausführbar machen):
+Die Rechte für das Script setzen (ausführbar machen)
   chown root:root /etc/init.d/boot.cryptdisks
   chmod 0700 /etc/init.d/boot.cryptdisks
 Anschließend die Datei

@@ Zeile 4: / Zeile 4: @@
 Dieser Artikel beschreibt das Verschlüsseln einer '''<code>/home</code>'''-Partion mit '''cryptsetup''' (mit LUKS-Erweiterung) mit einem Key-File, das auf einer ebenfalls verschlüsselten Partition auf einem USB-Stick gespeichert ist und während des Bootvorgangs eingebunden wird.<br/>
-Dabei wird für den USB-Stick ein Passwort abgefragt, um eine Partition zu mounten, auf der verschiedene Schlüssel liegen,<br/>mit denen weitere Partitionen automatisch eingebunden werden können.<br/>
+Dabei wird für den USB-Stick ein Passwort abgefragt, um eine Partition zu mounten, auf der verschiedene Schlüssel liegen, mit denen weitere Partitionen automatisch eingebunden werden können.<br/>
 Des Weiteren wird beim Booten eine verschlüsselte '''swap'''-Partitionen angelegt.
-{{Box Hinweis||Dieser Artikel beschreibt die Einrichtung einer verschlüsselten Partition unter openSUSE,<br/>sollte aber mit geringem Aufwand auch auf andere Distribution übertragbar sein.}}
+{{Box Hinweis||Dieser Artikel beschreibt die Einrichtung einer verschlüsselten Partition unter openSUSE, sollte aber mit geringem Aufwand auch auf andere Distribution übertragbar sein.}}
 == Allgemeines ==
@@ Zeile 15: / Zeile 15: @@
 === Installation von cryptsetup (mit LUKS-Erweiterung) ===
-Unter openSUSE 10.2 ist das Programm '''cryptsetup''' im Paket '''<code>util-linux-crypt</code>''' enthalten.
+Unter openSUSE 10.2 ist das Programm '''<code>cryptsetup</code>''' im Paket '''<code>util-linux-crypt</code>''' enthalten.
 Bis einschließlich SuSE Linux 10.1 gibt es das Paket '''<code>cryptsetup-luks</code>'''
@@ Zeile 63: / Zeile 63: @@
 Um den USB-Stick immer über dasselbe Device ansprechen zu können, muss eine entsprechende udev-Regel erstellt, werden, die automatisch einen Symlink auf den Stick (und die jeweiligen Partitionen) anlegt.
-Zuerst ermittelt man die Seriennummer des USB-Sticks (anhand dieser Nummer kann das Device später eindeutig zugeordnet werden):<br/>
+Zuerst ermittelt man die Seriennummer des USB-Sticks (anhand dieser Nummer kann das Device später eindeutig zugeordnet werden):
   udevinfo -a -p `udevinfo -q path -n /dev/<USB-Device>` | grep "ATTRS{serial}"
@@ Zeile 87: / Zeile 87: @@
   ATTRS{serial}=="076A1A939BC2"
 }}
-Anschließend eine UDEV-Regel erstellen. Mit einem beliebigen Editor die Datei <code>/etc/udev/rules.d/01-usb-crypto.rules</code> mit dem Inhalt
+Anschließend eine udev-Regel erstellen. Mit einem beliebigen Editor die Datei <code>/etc/udev/rules.d/01-usb-crypto.rules</code> mit dem Inhalt
   # udev-rule for encrypted usb-pen
@@ Zeile 111: / Zeile 110: @@
 Der komplette Stick kann in diesem Fall mit <code>/dev/usbcrypt</code>, die erste Partition mit <code>/dev/usbcrypt1</code>, die zweite Partition mit <code>/dev/usbcrypt2</code>, usw. angesprochen werden.
 }}
 Anschließend die udev-Regeln mit
@@ Zeile 118: / Zeile 116: @@
 neu laden und den USB-Stick einstecken.
-Unter <code>/dev</code> sollte dann mindestens (je nachdem wieviele Partitionen auf dem Stick existieren), das Device <code>/dev/usbcrypt</code> auftauchen unter dem der Stick dann - unabhängig von dem echten Device, dass z.B. bei '''<code>fdisk -l</code>''' angezeigt wird - angesprochen werden kann.
+Unter <code>/dev</code> sollte dann mindestens (je nachdem wieviele Partitionen auf dem Stick existieren), das Device <code>/dev/usbcrypt</code> auftauchen unter dem der Stick dann - unabhängig von dem echten Device, dass z.B. bei '''<code>fdisk&nbsp;-l</code>''' angezeigt wird - angesprochen werden kann.
 == USB-Stick partitionieren/formatieren ==
-Zum Partitionieren bieten sich diverse Programme an:<br/>
+Zum Partitionieren bieten sich diverse Programme an:
 *Konsole:
+**fdisk
- fdisk
+**cfdisk
- cfdisk
+**sfdisk
- sfdisk
+**parted
 *GUI:
- GParted (empfohlen)
+Es wird mindestens eine Partition benötigt, auf der später die Schlüssel (Keys) gespeichert werden. Im folgenden Beispiel werden auf einem <u>'''leeren'''</u> USB-Stick zwei neue Partitionen angelegt.<br />
 Auf der ersten Partition (50MB) wird später der Schlüssel für die <code>/home</code>-Partition gespeichert - die zweite kann für Daten genutzt werden (unverschlüsselt).
 {{Box Achtung||Mit der folgenden Eingabe werden alle Daten auf dem Stick gelöscht!}}
 {{Box Beispiel|Anlegen von zwei Partitionen auf einem leeren/neuen USB-Stick mit sfdisk|
   sfdisk -uM /dev/usbcrypt <<EOF
@@ Zeile 146: / Zeile 141: @@
   EOF
 }}
 Anschließend wird die <u>zweite</u> Partition (unverschlüsselte Datenpartition) formatiert:
@@ Zeile 157: / Zeile 151: @@
   e2fsck -D /dev/usbcrypt2
-Damit werden ein '''ext3'''-Dateisystem erzeugt, der für root reservierte Platz auf 0%, die mount-Option '''journal_data''' sowie die Dateisystem-Option '''dir_index''' gesetzt und die automatischen Dateisystemchecks deaktiviert. Für Einzelheiten zu den Optionen siehe:<br/>
+Damit werden ein '''ext3'''-Dateisystem erzeugt, der für root reservierte Platz auf 0%, die mount-Option '''journal_data''' sowie die Dateisystem-Option '''dir_index''' gesetzt und die automatischen Dateisystemchecks deaktiviert. Für Einzelheiten zu den Optionen siehe:
   man tune2fs
@@ Zeile 163: / Zeile 157: @@
 Anschließend wird das Dateisystem noch überprüft.
 }}
 Für die formatierte Partition noch einen Eintrag in der '''<code>/etc/fstab</code>''' anlegen. Danach noch den den Mountpoint erstellen und die Partition mounten.
@@ Zeile 194: / Zeile 187: @@
   modprobe aes-x86_64
-(Je nachdem, welches zutrifft.)
+(Je nachdem, welches AES-Modul zutrifft.)
 === USB-Stick ===
@@ Zeile 228: / Zeile 221: @@
 Anschließend wird das Dateisystem noch überprüft.
 }}
 Für die formatierte Partition wird noch Eintrag in der '''<code>/etc/fstab</code>''' angelegt (sicherheitshalber wird die Partition Standardmäßig nur '''read-only''' eingebunden). Danach noch den den Mountpoint erstellen und die Partition mounten (dabei wird die Partition ausnahmsweise auch schreibbar eingebunden, um anschließend den Schlüssel speichern zu können).
@@ Zeile 385: / Zeile 377: @@
 ändern
 }}
 In der <code>/etc/crypttab</code> die Zeile
@@ Zeile 410: / Zeile 401: @@
 == Links ==
-http://www.saout.de/misc/dm-crypt<br/>
+http://www.saout.de/misc/dm-crypt
-http://luks.endorphin.org/dm-crypt<br/>
+http://luks.endorphin.org/dm-crypt
-[[Security | Zurück zu Security]]<br />
+[[Security | Zurück zu Security]]
 [[Category:Security]]
 [[Category:Konsole]]

@@ Zeile 2: / Zeile 2: @@
 = Verschlüsselung: dm-crypt/luks unter openSUSE =
-Dieser Artikel beschreibt das Verschlüsseln einer '''/home'''-Partion mit '''cryptsetup''' (mit LUKS-Erweiterung) mit einem Key-File,<br/>dass auf einer ebenfalls verschlüsselten Partition auf einem USB-Stick gespeichert ist und während des Bootvorgangs eingebunden wird.<br/>
+Dieser Artikel beschreibt das Verschlüsseln einer '''/home'''-Partion mit '''cryptsetup''' (mit LUKS-Erweiterung) mit einem Key-File,<br/>das auf einer ebenfalls verschlüsselten Partition auf einem USB-Stick gespeichert ist und während des Bootvorgangs eingebunden wird.<br/>
-Dabei wird für den USB-Stick ein Passwort abgefragt um eine Partition zu mounten auf der verschiedene Schlüssel liegen,<br/>mit denen weitere Partitionen automatisch eingebunden werden können.<br/>
+Dabei wird für den USB-Stick ein Passwort abgefragt, um eine Partition zu mounten, auf der verschiedene Schlüssel liegen,<br/>mit denen weitere Partitionen automatisch eingebunden werden können.<br/>
-Desweiteren wird beim Booten eine verschlüsselte '''swap'''-Partitionen angelegt.<br/>
+Des Weiteren wird beim Booten eine verschlüsselte '''swap'''-Partitionen angelegt.<br/>
 <br/>
 {{Box Hinweis||Dieser Artikel beschreibt die Einrichtung einer verschlüsselten Partition unter openSUSE,<br/>sollte aber mit geringem Aufwand auch auf andere Distribution übertragbar sein.}}
@@ Zeile 26: / Zeile 26: @@
 === Unterstützung von dm-crypt und AES im Kernel ===
 <br/>
-Um den Device-Mapper '''dm-crypt''' und AES-Verschlüsselung zu nutzen müssen folgende Optionen im Kernel aktiviert sein:
+Um den Device-Mapper '''dm-crypt''' und AES-Verschlüsselung zu nutzen, müssen folgende Optionen im Kernel aktiviert sein:
 <pre>
 Code maturity level options --->
@@ Zeile 34: / Zeile 34: @@
    Device Drivers --> RAID and LVM Support -->
    [*] Multiple devices driver support (RAID and LVM)
-     <*> Device mapper support
+     <M> Device mapper support
-     <*> Crypt target support
+     <M> Crypt target support
    Cryptographic Options -->
-     <*> AES cipher algorithims (i586)
+     <M> AES cipher algorithims (i586)
-     <*> SHA256 digest algorithm
+     <M> SHA256 digest algorithm
 </pre>Diese Optionen sind im SUSE-Standardkernel bereits aktiviert.<br/>
-Nur wer einen eigenen Kernel verwendet muss diese Optionen berücksichtigen.<br/>
+Nur wer einen eigenen Kernel verwendet, muss diese Optionen berücksichtigen.<br/>
 <br/>
 Kontrollieren lassen sich diese Einstellungen mit:
@@ Zeile 61: / Zeile 61: @@
 <br/>
 Zuerst ermittelt man die Seriennummer des USB-Sticks<br/>(anhand dieser Nummer kann das Device später eindeutig zugeordnet werden):<br/>
-  udevinfo -a -p `udevinfo -q path -n /dev/<USB-Device>` | grep ATTRS{serial}
+  udevinfo -a -p `udevinfo -q path -n /dev/<USB-Device>` | grep "ATTRS{serial}"
-{{Box Beispiel|USB-Device: /dev/sdc|<pre># udevinfo -a -p `udevinfo -q path -n /dev/sdc` | grep ATTRS{serial}
+{{Box Beispiel|USB-Device: /dev/sdc|<pre># udevinfo -a -p `udevinfo -q path -n /dev/sdc` | grep "ATTRS{serial}"
 ATTRS{serial}=="076A1A939BC2"
 ATTRS{serial}=="0000:00:02.1"</pre>
 }}
-Welche Seriennummer nun zum USB-Stick gehört ermittelt man mit:<br/>
+Welche Herstellerbezeichnung nun zum USB-Stick gehört ermittelt man mit:<br/>
-  udevinfo -a -p `udevinfo -q path -n /dev/<USB-Device>` | grep ATTRS{product}
+  udevinfo -a -p `udevinfo -q path -n /dev/<USB-Device>` | grep "ATTRS{product}"
-{{Box Beispiel|USB-Device: /dev/sdc|<pre>#  udevinfo -a -p `udevinfo -q path -n /dev/sdc` | grep ATTRS{product}
+{{Box Beispiel|USB-Device: /dev/sdc|<pre>#  udevinfo -a -p `udevinfo -q path -n /dev/sdc` | grep "ATTRS{product}"
 ATTRS{product}=="USB DISK 28X"
@@ Zeile 91: / Zeile 91: @@
 und mit
   SYMLINK+="<Device-Name>%n"
-festgelegt wird unter welchem Devicenamen der Stick später verwendet wird.<br/><br/>
+festgelegt wird, unter welchem Devicenamen der Stick später verwendet wird.<br/><br/>
 {{Box Beispiel|Seriennummer: 076A1A939BC2, USB-Device: /dev/usbcrypt|<pre># udev-rule for encrypted usb-pen
@@ Zeile 227: / Zeile 227: @@
 {{Box Beispiel|Schlüssel für die /home-Partition erstellen|In der <pre>dd if=/dev/urandom of=/media/keys/home.key bs=1k count=2</pre>
 Schlüssel nur für '''root''' lesbar machen:
-<pre>chown 0:0 /media/keys/home.key
+<pre>chown root:root /media/keys/home.key
 chmod 0400 /media/keys/home.key</pre>}}
 Da beim Verschlüsseln einer Partition die vorhandenen Daten gelöscht werden, muss das vorhandene Homeverzeichnis zuvor gesichert werden:<br/>
@@ Zeile 302: / Zeile 302: @@
 <br/>
 Die Rechte für das Script setzen (ausführbar machen):<br/>
-<pre>chown 0:0 /etc/init.d/boot.cryptdisks
+<pre>chown root:root /etc/init.d/boot.cryptdisks
 chmod 0700 /etc/init.d/boot.cryptdisks</pre>
 <br/>

← Nächstältere Version	Version vom 20. November 2013, 20:13 Uhr
(kein Unterschied)

← Nächstältere Version		Version vom 29. April 2007, 13:49 Uhr
Zeile 1:		Zeile 1:
−	'''[[~~Konsole~~]]'''	+	'''[[Security]]'''

	= Verschlüsselung: dm-crypt/luks unter openSUSE =		= Verschlüsselung: dm-crypt/luks unter openSUSE =