Arbeitsweise allgemein¶

Mit der Verschlüsselung vom Homeverzeichnis mittels ecryptfs wird die Partition, die für eine SWAP eingerichtet wurde, auch verschlüsselt. Das lief bisher ohne Probleme.

Mit der Abfrage im Terminal

swapon -s 

und einer beispielhaften Ausgabe von

Filename			Type		Size	Used	Priority
/dev/mapper/cryptswap1          partition	8519672	0	-1

kann man das überschlägig abschätzen - es sind je nach System auch andere, vergleichbare Ausgaben möglich. Dann ist eine Überarbeitung nicht unbedingt erforderlich. Fehlt jedoch eine solche Ausgabe, dann muss man von einer fehlerhaften Aufbereitung der SWAP ausgehen.

System einrichten¶

Mit der Umstellung auf upstart bzw. mit der Einführung von systemd wird das Erstellen der verschlüsselten SWAP, in der Regel

• /dev/mapper/cryptswap1

nicht mehr richtig bzw. falsch ausgeführt. Diese Beschreibung zeigt Wege auf, wie das bis zu einer offiziellen Umstellung des Paketes ecryptfs-utils repariert werden kann.

Ab Ubuntu 14.04 wurden die Basispakete - hier speziell das Paket ecryptfs-setup-swap in einer überarbeiteten Form eingeführt. Das erlaubte jetzt zwar, dass die verschlüsselte SWAP für den Bereitschafts- und Schlafmodus benutzt werden kann, führte aber zu anderen Problemen - bis hin zur Unbrauchbarkeit - die SWAP konnte und wurde nicht mehr benutzt.

Dazu gibt es mehrere workarounds, jedoch waren die alle irgendwie nicht querschnittlich benutzbar.

Die folgende Beschreibung und die Skripte sollen alle diese Probleme beheben und sind auch gegen mögliche Updates sicher.

Man sollte beide Start-Modi für

• upstart

• systemd

neu gestalten/aufbereiten, da diese sich nicht gegenseitig beeinflussen/stören.

1
2
3
4
5
6

start on started mountall
script
    /sbin/cryptdisks_start cryptswap1
    /bin/sleep 1
    /sbin/swapon /dev/mapper/cryptswap1 
end script

sudo cp -f ~/cryptswap.conf /etc/init/ 

1
2
3

/sbin/cryptdisks_start cryptswap1
/bin/sleep 1
/sbin/swapon /dev/mapper/cryptswap1

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

[Unit]
Description=Cryptswap Service
Requires=cryptsetup.target
After=network.target

[Service]
SysVStartPriority=99
Type=forking
ExecStartPre=/sbin/cryptdisks_start cryptswap1 
ExecStart=/bin/sleep 1
ExecStartPost=-/sbin/swapon /dev/mapper/cryptswap1 start

[Install]
WantedBy=multi-user.target

sudo cp -f ~/cryptswap.service /lib/systemd/system/ 

sudo systemctl disable cryptswap.service
sudo systemctl enable cryptswap.service 

Weitere Anpassungen¶

Mit einem Editor ^[3] seiner Wahl entfernt man mit Rootrechten in der /etc/fstab alle Einträge für eine Swap-Partition, entweder durch auskommentieren oder löschen!

sudo mkswap /dev/sdXY # XY an das eigene System anpassen 

sudo export SWAP_UUID=<ermittelte UUID>
sudo echo "RESUME=UUID=$SWAP_UUID" > /etc/initramfs-tools/conf.d/resume
sudo update-initramfs -u 
sudo sed -i s/'cryptswap'/'# cryptswap'/g /etc/crypttab
sudo echo "cryptswap1 UUID=$SWAP_UUID /dev/urandom swap,cipher=aes-xts-plain64,offset=8,noauto" >> /etc/crypttab 

Probleme mit systemd¶

Kommt es trotz aller Sorgfalt zu Problemen beim Einsatz der Unit >cryptswap.service so sollte man zu erst eine Überprüfung im Terminal [1} ausführen

sudo blkid | grep swap
sudo systemctl --all | grep cryptswap.service 

wobei man mit dem ersten Befehl eine Überprüfung vom Zustand der SWAP-Partition abfragt, der zweite Befehl sollte im Normalfall diese Ausgabe ergeben:

cryptswap.service      loaded inactive dead      Cryptswap Service

Weicht der markierte Bereich ab, so sollte man eine Reinstalltion der betreffenden Pakete

• systemd-sysv

• systemd

ausführen. Dazu offnet man ein Terminal ^[1] und gibt dort ein:

sudo systemctl disable cryptswap.service
sudo apt-get update
sudo apt-get install --reinstall systemd
sudo apt-get install --reinstall systemd-sysv
sudo update-grub
sudo systemctl enable  cryptswap.service 

Nach einem Reboot kann man dann den Erfolg dieser Arbeiten überprüfen.

Links¶

• ecryptfs Das Homeverzeichnis bzw. ein Verzeichnis darin verschlüsseln

  • Einrichten - wie man eine Verschlüsselung installiert / entfernt

  • Nutzung - wie man seine Daten bearbeiten und nutzen kann

  • Datenrettung - Struktur der Schlüsseldaten und Datenrettung

• eCryptfs-Projektseite

• eCryptfs Security Audit (Januar 2014)