Vorbereitungen¶

Wenn sich auf dem Computer schon ein Betriebssystem (wie beispielsweise Windows, Mac OS oder ein anderes Linux-System) oder wichtige Daten befinden, sollte von den wichtigen Daten unbedingt eine Sicherung erstellt werden. Wie bei jeder Veränderung am Computer kann immer auch etwas schiefgehen.

Zur Installation wird die normale Desktop-CD benötigt. Diese einfach booten ^[1]. Nachdem das Live-System geladen wurde, jedoch nicht das Installationsprogramm ausführen. Es wird zwingend eine funktionierende Internetverbindung ^[2] benötigt, da Programme nachinstalliert werden müssen.

sudo apt-get install lvm2 

sudo aptitude install lvm2 

cryptsetup luksFormat -c aes-xts-plain64 -s 512 -h sha512 /dev/sdX2
cryptsetup luksOpen /dev/sdX2 lukslvm 

pvcreate /dev/mapper/lukslvm
vgcreate vgubuntu /dev/mapper/lukslvm 

lvcreate -L 1300M -n swap vgubuntu
lvcreate -l 100%FREE -n root vgubuntu 

mkswap /dev/mapper/vgubuntu-swap -L swap
mkfs.ext4 /dev/mapper/vgubuntu-root -L root 

Installation¶

Danach wird das Installationsprogramm gestartet ^[1] und mit diesem bis Auswahl der Partitionierung fortgefahren, bei dem die "manuelle Partitionierung" ausgewählt wird.

Im nächsten Installationspunkt werden die folgenden Partitionen jeweils mit einem Doppelklick auf die entsprechenden Einträge konfiguriert. Die Swap-Partition braucht nicht ausgewählt zu werden, da sie automatisch erkannt wird.

Für die Einhängepunkte /, /tmp, /var und /usr sollte man das Häkchen zum Formatieren der Partition setzen, da sonst die Installation bei der Statusmeldung "Installierte Pakete werden gesichert." nicht mehr weiterläuft und hängen bleibt. Dieses Problem wurde in Kubuntu 14.04 festgestellt.

• /dev/sdX1

  • Boot-Partition

  • Dateisystem: ext4

  • Formatieren: ja

  • Einhängepunkt: /boot

• /dev/mapper/vgubuntu-root

  • Root-Partition

  • Dateisystem: ext4 oder gewünschtes Linux-Dateisystem

  • Formatieren: ja

  • Einhängepunkt: /

Es ist darauf zu achten, dass der Bootloader auf einem sinnvollen Gerät außerhalb des verschlüsselten Containers installiert wird, z.B. dem Master Boot Record der Festplatte („Device for Bootloader installation:“ /dev/sdX). Danach wird gemäß Anleitung ^[1] mit der Installation fortgefahren, jedoch nach dem Abschluss der Installation nicht neugestartet.

# root Filesystem
mount /dev/mapper/vgubuntu-root /mnt
# boot Filesystem
mount /dev/sdX1 /mnt/boot
# Notwendige system-interne Filesysteme
mount -o rbind /dev /mnt/dev
mount -t proc proc /mnt/proc
mount -t sysfs sys /mnt/sys
# Zusätzliche LVM Verzeichnisse (notwendig bei 15.10, evtl. auch hilfreich bei früheren Releases)
mount -o rbind /run/lvm      /mnt/run/lvm
mount -o rbind /run/lock/lvm /mnt/run/lock/lvm
# DNS-Auflösung im verschlüsseltem System ermöglichen
cp /etc/resolv.conf /mnt/etc/resolv.conf
# In das verschlüsselte System wechseln
chroot /mnt /bin/bash 

mount /dev/sdX2 /mnt/boot
mount /dev/sdX1 /mnt/boot/efi  

apt-get install cryptsetup lvm2 

1

<target name>	<source device>		<key file>	<options>

blkid /dev/sdX2 

echo "lukslvm UUID=<VOLUME_ID> none luks" >> /etc/crypttab 

cryptsetup luksUUID /dev/sdX2 

printf "lukslvm\tUUID=%s\tnone\tluks\n" "$(cryptsetup luksUUID /dev/sdX2)" | tee -a /etc/crypttab 

echo "dm-crypt" >> /etc/modules 

update-initramfs -u -k all 

1

GRUB_CMDLINE_LINUX_DEFAULT="kopt=root=/dev/mapper/vgubuntu-root"

 update-grub 

# Das verschlüsselte System verlassen
exit
# Puffer für Datenträger schreiben
sync
# "Gemountete" Filesystem wieder entfernen
umount /mnt/run/lvm
umount /mnt/run/lock/lvm
umount /mnt/sys
umount /mnt/proc
umount /mnt/boot/efi   # nur bei EFI-Systemen nötig
umount /mnt/boot
#
swapoff -a
#
reboot 

Passwort ändern¶

Durch das vom Benutzer eingegebene Passwort wird lediglich ein Master-Schlüssel entschlüsselt, welche letztendlich für die Sicherheit des Dateisystems verwendet wird. Das hier verwendete LUKS ermöglicht es somit, dass das Passwort leicht geändert werden kann, ohne dass das ganze Dateisystem neu verschlüsselt werden muss. Der Generalschlüssel bleibt letztendlich der gleiche. Es können sogar mehrere Schlüssel (bis zu 8 Stück) gleichzeitig verwendet werden, der Generalschlüssel liegt dann einfach mehrfach mit den jeweils verwendeten Passwort vor, bei der Passwortabfrage muss dann nur der jeweilige Slot entsperrt werden können.

 cryptsetup luksAddKey /dev/sdX2 

cryptsetup luksRemoveKey /dev/sdX2 

Informationen anzeigen¶

 cryptsetup luksDump /dev/sdX2 

 cryptsetup status  /dev/mapper/lukslvm  

Probleme beim Start¶

Sind nur einzelne Partitonen verschlüsselt, die beim Start eingehängt werden sollen, kommt es dazu, dass dem Benutzer angeboten wird, das Einhängen abzubrechen, bevor der Schlüssel eingegeben werden kann. Um dies zu verhindern, fügt man in die /etc/init/mountall.conf hinter

1
2
3

# temporary, until we have progress indication
# and output capture (next week :p)
console output

den folgenden Codeblock ein:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

pre-start script
    . /lib/cryptsetup/cryptdisks.functions

    case "$CRYPTDISKS_ENABLE" in
    [Nn]*)
        exit 1
        ;;
    esac

    INITSTATE="init"
    do_start
end script

Dadurch wartet das System, bis die Codeingabe abgeschlossen ist.

Probleme unter Ubuntu 12.04 LTS¶

• Unter Ubuntu 12.04 LTS funktioniert diese Anleitung unter Umständen nicht, was im Forum unter system-verschluesseln-geht-mit-11-10-nicht-mehr (detaillierte Fehlermeldung) und cryptsetup-findet-luks-device-nicht dargestellt ist. Abhilfe schafft die Installation von der Alternate-CD.

• Wenn man beim Booten keinen Zugriff auf die entsprechende verschlüsselte LVM-Partition bekommt, fehlt vielleicht der Ordner /run/lock/, worauf der bestehende Symlink /var/lock zeigt. Im obigen Abschnitt chroot greift "update-initramfs -u -k all" auf das LVM zu, um die /etc/crypttab auszulesen, um wiederum die nötigen Infos in die Ramdisk initrd.img-KERNELVERSION-generic zu schreiben. Das Auslesen der /etc/crypttab schlägt jedoch fehl, wenn das LVM-System nicht einen Ordner lvm unterhalb von /var/lock/ anlegen kann, was nicht funktioniert, wenn /run/lock/ nicht existiert. Auch ein schlichter Aufruf von pvs bzw. lvs schlägt dann schon fehl. Somit fehlt in der Ramdisk die Datei conf/conf.d/cryptroot, in welcher der Hinweis auf die verschlüsselte Boot-Partition zu finden ist. Wird der fehlende Ordner von Hand angelegt, funktioniert update-initramfs und somit auch das Booten von der verschlüsselten LVM-Partition.

• Ein weiteres Problem wird im Bug 816267 geschildert: Nach dem Laden von GRUB verhindert Plymouth die Passwortabfrage. Verschiedene Lösungsmöglichkeiten finden sich in den entsprechenden Unterabschnitten des Plymouth-Artikels. Die einfachste bzw. schnellste Möglichkeit ist der Eintrag folgender Zeile in /etc/default/grub:

  1	GRUB_CMDLINE_LINUX_DEFAULT="noplymouth"

  Anschließend noch ein

   update-grub 

  ausführen.

Alternative - Installation mit Hilfe eines Skripts¶

full-disk-encryption-lvm-luks.sh ist ein OpenSource-Shell-Skript, welches ebenfalls ein via LUKS/LVM vollverschlüsseltes Ubuntu-System installieren kann. Das halbautomatische Skript erleichtert einem die Arbeit, da keine komplizierten Befehlsfolgen eingegeben werden müssen. Außerdem braucht man so im Vergleich zu einer Standardinstallation nur wenige Minuten länger, um ein vollverschlüsseltes System zu installieren.

Sollte man sich für diese Methode entscheiden:

1. Von CD booten, um eine Live-Session zu starten.

2. Skript herunterladen und ausführen. Dazu einfach ein Terminal öffnen und folgende Befehle ausführen (Kopieren und Einfügen empfohlen):

wget "http://blog.andreas-haerter.com/_export/code/2011/06/18/ubuntu-full-disk-encryption-lvm-luks.sh?codeblock=1" -O "/tmp/ubuntu-full-disk-encryption-lvm-luks.sh"
chmod a+rx /tmp/full-disk-encryption-lvm-luks.sh
 /tmp/full-disk-encryption-lvm-luks.sh 

1. Den Anweisungen des Skripts folgen.

Sofern man sich für die Hintergründe interessiert, findet sich im Artikel "Vollverschlüsseltes System mit Ubuntu (ab 9.04 Jaunty), LVM und LUKS" eine detaillierte Beschreibung.

Alternatives Entschlüsseln der Systempartition mit einem USB-Schlüssel¶

Möchte man das System mit Hilfe eines USB-Sticks entschlüsseln (ohne eine offensichtliche Schlüsseldatei auf besagtem Stick zu haben, der Stick kann demnach auch beliebig formatiert werden), hilft der Artikel Entschlüsseln mit einem USB-Schlüssel weiter.

Links¶

• Sicherheit Übersichtsseite