Verschlüsselte Partitionen unter Linux mit Loop-AES und GPG
Yeah, gestern endlich mal wieder eine richtige Linux-Hacking Session gehabt. Diesesmal wollte ich auf einer externen Festplatte Daten verschlüsselt ablegen. Ziel war es möglichst komfortabel die Festplatte betreiben zu können und sich dabei nicht noch ein extra langes Passwort sich merken zu müssen, wenn man wie ich schon ein GPG-Schlüsselpaar und damit eine Passphrase hat.
Die Kurzanleitung dazu gibt es hier, Links zu ausführlicheren Anleitungen stehen am Ende des Posts.
Voraussetzungen
Gebraucht wird eine Festplatte auf der momentan keine Daten sind. Diese sollte bereits partitioniert sein. Falls das noch nicht der Fall ist, einfach flux mit einem beliebigen Partitionsprogramm nachholen. Sollte es gewünscht sein, eine vorhandene Datenpartition im Nachhinein zu verschlüssen, geht dies auch, wird aber von mir hier nicht beschrieben (es wird aber in den Links erklärt, die am Ende des Artikels aufgeführt sind).
Das Paket util-linux muss ebenfalls installiert und passend kompiliert sein. Bei allen Binärdistributionen, sollte util-linux bereits mit den Crypto-Funktion kompiliert worden sein, so dass eine einfache Instalation ausreicht. Unter Gentoo bitte darauf achten, dass das USE-Flag “crypt” gesetzt ist.
Außerdem muss GPG installiert und ein Schlüsselpaar generiert sein.
Los geht es
Zuerst sollte überprüft werden, ob der Kernel den Crypto-Algorithmus AES256 kennt. Das macht du am besten indem du
make menuconfigim Verzeichnis der Kernel-Sourcen ausführst (meist /usr/src/linux) und dort unter Cryptographic options nachsiehst, ob der Punkt AES cipher algorithms aktiviert ist. Weitere Anforderungen sind im Gentoo Wiki aufgelistet.Zusätzlich muss das Paket Loop-AES installiert sein. Am besten installiert man es über die distributionseigenen Kanäle. Unter Gentoo reicht ein
emerge loop-aes.-
Anschließend muss man das Passwort generieren, mit dem die Festplatte geschützt wird. Dieses Passwort musst du dir nicht merken können, da wir es in einer Datei ablegen, die wir später mit GPG verschlüsseln. Also generiert man sich ein möglichst langes Zufallspasswort. Ich habe dazu apg verwendet (
apg -a 1 -n 1 -m 23 -x 65 | gpg --symmetric -a > key.asc). Aber man kann auch direkt die random Devices verwenden, wie es in dieser Anleitung empfohlen wird.Die generierte Datei legt man je nach Anwendungsfall ab, aber am besten immer physikalisch getrennt vom zu verschlüsselnden Medium. Möchte man also eine Partition der intern verbauten Festplatte verschlüsseln, bietet es sich an, die Datei auf einem USB Stick oder einer Smartcard abzulegen. Ist das verschlüsselte Ziel eine externe Platte, kann man die Datei auf der internen Festplatte ablegen. Oder auf einer CD-ROM. Oder auf einer DVD. Irgendwo. Hauptsache weg vom Zieldevice.
Anschließend die Schlüsseldatei unbedingt noch mitchmod 400 key.ascschützen. Nun verbindet man das physikalische Device mit dem Loop Device, das die Verschlüsselung vornimmt. Das geht mit dem Befehl losetup:
losetup -e AES256 -K /path/to/your/key.asc /dev/loop0 /dev/sda1. Anschließend wird man nach seiner GPG Passphrase gefragt.Beim ersten mal formatieren wir nun die nun verfügbare Partition:
mkfs.ext3 /dev/loop0Nun ist die Partition mit einem normalem mount nutzbar:
mount /dev/sda1 /mnt/crypto-
Um das Ganze möglichst komfortabel zu machen, empfiehlt es sich den entsprechenden Eintrag in der fstab zu machen:
/dev/sda1 /mnt/crypto ext3 user,noauto,loop=/dev/loop0,encryption=AES256,gpgkey=/path/to/your/key.asc 0 0 Anschließend kann die Partition wie jede andere benutzt werden: mounten, nutzen, unmounten. Lediglich die Eingabe der Passphrase kommt hinzu. Richtig komfortabel wird es in Verbindung mit eindeutigen udev Regeln und einem Automounter.
Weiterführende Links
- http://de.gentoo-wiki.com/LoopAES
- http://www.andreasgrau.de/index.php?lang:german;loc:crypto;subloc:
- http://wiki.debianforum.de/CryptoFsMitUsbStick
- http://linuxundco.blueyacy.de/15.0.html
Botschaften
-
Und soviiiel Aufwand für ein bisschen Bit-geschupse
sorry, ich bin grad irgendwie net ganz ausgeglichen.
BTW:
Ein Smitley-wähler wär cool.Den vermiss bei Wordpress auch ein bischen.
BTWBTW:
Für den creativen Leser wäre es bestimmt noch toll, sowas wie Anagramme von "Milch" oder ähnliches als Spamschutzantwort durchgehen zu lassen.
BTWBTWBTW:
am besten diesen Kommentar einfach ignorieren B-) -
Das mit der Aufwand sagt gerade derjenige, der Kryptograph werden will.
@BTW1: Das steht schon seit ewigen Zeiten auf der 2do Liste.
Aber du sagst, das gibt es nicht für WP? Kann ich mir nicht vorstellen, das es da gar kein Plugin für gibt. Ich glaube du bringst mich da auf ne Idee...
@BTW2: Du meinst hauptsache der String ist 5 Zeichen lang und es kommen die Buchstaben m, i, l, c und h genau einmal vor?
@BTW3: Nö. -
nur so einer darf sowas auch sagen
@{@BTW1}: zumindest nicht bei Wordpress.com wo man keine eigenen Plugins reinsetzen kann.
@{@BTW2}: na klar das beschäftigt, würde ich sagen^^
@{@BTW3}: verdammt. -
hey das fänd ich auch cool, ich komm mir langsam blöd vor da immer milch reinzuschreiben,
hab schon "immernoch milch" oder "kuhfladen" probiert, geht aber alles nicht
scheinbar nur milch .. :|
für mehr kreativität in sicherheits captchas die eigentlich keine captchas sind!! -
finde das auch so... kategorisch. Man gibt Milch ein, meint aber Kuhmilch. Und selbst KuhMilch ist doch nicht gleich KuhMilch. wo kommen wir denn da hin.
Haha 2 gegen 1, ich liebe die Blogosphäre - jetzt hast du keine Wahl mehr
*Milch* -
Ach Leute, ihr erwartet nicht wirklch, dass ich jetzt die Whitelist erweitere, weil die momentan erlaubten Begriffe zu langweilig sind?
Irgendwie wiederspräche das ja auch dem Whitelisting-Gedanken. Kann ich ja gleich * erlauben.
N8
Phil -
ja scheint so als hätte wir keine Wahl
PS:
finde ja das "erlaubte Begriff_e_" schon etwas übertrieben ist -
Es sind genau zwei Begriffe, von daher darf man vom Plural sprechen. Zurück
-
pfff...
Zwei Sprachen. Ein Begriff. Doppel -
Sehe ich nicht so, da diese Whitelist sprachunabhängig ist und damit sind es zwei Begriffe.
-
Ui ist des lustig, kaum hast du nen Kommentarfeed diskutieren wir sogar über deinen Blog über so Sinnfreie sachen
*Milk* -
Sinnfrei schreibt man klein!
Naja, irgendwie bist du nie im IM online wenn ich es bin. Wahrscheinlich ist es umgekehrt genauso. Deshalb verschieben wir unseren Drang nach hochwertigen Diskussionen wohl unterbewusst in das Blog hier.
Aber so langsam sollten wir uns nen anderen Ort suchen, wird arg Offtopic hier.
Ciao
Phil
Eintrag kommentieren
Trackback(s)
Ein Trackback ist eine Art Quellenangabe. Wenn ich also in einem anderen Blog einen interessanten Eintrag sehe und ihn in meinem Weblog mit einem Eintrag kommentiere, gebe ich mit dem Trackback einen Verweis auf die Originalmeldung an. Hat jemand in seinem/ihren Weblog einen meiner Einträge kommentiert, findet man dies auch hier unter Trackbacks. Nähere Informationen zum Thema Trackback gibt es z.B. bei der Wikipedia.
Trackback URL: http://geeks-have-feelings-too.net/trackback/verschluesselte-partitionen-unter-linux-mit-loop-aes-und-gpg/
