Kommentare zu: Verschlüsseltes $HOME! Und was ist mit SWAP?

Von: Sascha

Sascha — Wed, 07 Oct 2009 07:11:27 +0000

Hi,

angeblich verschlüsselt Karmic bei der Option „Home verschlüsseln“ auch den Swap mit … habe das ganze auf meinem Netbook (Asus 1000H) so eingerichtet und die Performance ist noch ganz in Ordnung

Von: Gerald

Gerald — Sun, 20 Sep 2009 18:16:59 +0000

Sorry, Kleiner- und Größerzeichen sind abhanden gekommen. Die erste Zeile nochmal:

tr -dc ‚0-9a-zA-Z‘ /tmp/.xxx

Von: Gerald

Gerald — Sun, 20 Sep 2009 18:12:35 +0000

Ich bin inzwischen beim verschlüsselten Swap-Bereich gelandet…

Aus der /etc/initramfs-tools/conf.d/resume und der /etc/fstab habe ich ihn rausgeschmissen (der Ruhezustand funktioniert mit meinen Grafiktreibern derzeit eh nicht und ist bei 4 GB sowieso saulangsam), dafür lege ich ihn bei jedem Start mit einem Zufallsschlüssel und -passwort in der rc.local neu an.

Hier die Befehle:

tr -dc ‚0-9a-zA-Z‘ /tmp/.xxx
yes `cat /tmp/.xxx` | cryptsetup -q -c aes-xts-plain -s 512 luksFormat /dev/sda3 –key-file /tmp/.xxx
yes `cat /tmp/.xxx` | cryptsetup luksAddKey /dev/sda3 /tmp/.xxx
yes `cat /tmp/.xxx` | cryptsetup luksOpen /dev/sda3 swap –key-file /tmp/.xxx
mkswap /dev/mapper/swap
swapon /dev/mapper/swap
rm /tmp/.xxx

Viel Spaß!

Von: daniel

daniel — Sun, 20 Sep 2009 16:59:40 +0000

Schönes aktuelles Beispiel für die Unzuverlässigkeit Hardware-basierter Verschlüsselung: http://www.baseline-security.de/downloads/BSC-Qnap_Crypto_Backdoor-CVE-2009-3200.txt

In diesem Fall wird als Untersatz LUKS benutzt, die ganze Sache ist aber übelst dilettantisch implentiert.

Von: Christoph

Christoph — Sat, 19 Sep 2009 14:09:33 +0000

Hallo peterp, bei kommerziellen Produkten ist immer Vorsicht angesagt. Apple hat sich beispielsweise schonmal kräftig blamiert und bei anderen Produkten gibts auch immer mal wieder solche Berichte wie Crypto backdoor in Qnap storage devices. Hallo Gerald, Verschlüsselung ist immer nur ein "Offline"-Schutz der Daten. Hier gehts nicht um das Erlangen oder den Missbrauch von Root-Rechten. Auch wenn du "Verdacht" erregst, in Deutschland darfst du zum Glück noch die Aussage verweigern und die Herausgabe von Zugangsdaten verneinen. Anders sieht es in GB aus, wo du dank dem RIP Act für diese Weigerung bis zu zwei Jahre ins Gefängnis gehen kannst. Ein Anderes Thema ist auch wieder eine Reise in die USA. Solltest du aufgefordert werden Zugangsdaten preiszugeben, so stehst du vor den Optionen Abschiebung oder Einreise. Ich persönlich würde nur mit einem blanken Rechner in die USA reisen, erst recht während einer Dienstreise. Europäische Unternehmen machen das oft so, vertrauliche Daten werden per VPN nach Einreise aus dem Intranet geholt.

Von: Gerald

Gerald — Sat, 19 Sep 2009 07:35:07 +0000

Christoph,

Root-Rechte? Stell dir vor, du kommst zum US-Zoll. Die nehmen dir dein Notebook weg, bauen die Festplatte aus, machen eine 1:1-Kopie, bauen sie wieder ein und geben dir das Notebook zurück. Danach haben sie beliebig viel Zeit, deine Platte zu analysieren. Dazu brauchen sie weder dein Root-, noch dein Bios-Passwort, nur einen Schraubenzieher. Ich würd’s jedenfalls so machen…

Aber trotzdem: Wozu root verschlüssen? Unter Linux gibt’s ja keine illegale Software. In den Logs habe ich noch nie sensible Daten gefunden, und /tmp kann man ins RAM legen, wenn man genug davon hat, was ggf. ebenfalls zum Swappen führt, das heißt, auf swap ist der Inhalt dann gespeichert.

Bleibt das home-Verzeichnis. Ich bin der Meinung, dass ich auch hier nicht alles verschlüsseln muss, sondern nur wirlich sensible Daten, diese ggf. sogar in einen hidden Truecrypt-Container oder -Partition. Das ist noch sicherer.

Nicht vergessen: Ein komplett verschlüsseltes System erweckt auf jeden Fall Verdacht! Habe ich jedoch auf den ersten und zweiten Blick ein „sauberes“ System, wird nicht weiter gesucht.

In meinem Swap habe ich ebenfalls nicht wirklich was gefunden. Das liegt einerseits sicher an 4 GB RAM, andererseits daran, dass ich die Partionen erst vor ein paar Wochen verschoben habe. Was ich fand, war von vorher, als es noch Teil einer ext4-Partition war! Trotzdem denke ich jetzt über Swap-Verschlüsselung nach. Alternative: gelegentlich Ausnullen und neu anlegen…

Am besten wäre aber, wenn die Anwendungen so geschrieben wären, dass sie Passwörter und andere sensible Daten bereits im RAM mit einem Zufallsschlüssel verschlüsselt ablegen würden (dessen Speicheradresse wiederum zufällig gewählt wird).

Von: JeG

JeG — Fri, 18 Sep 2009 07:08:53 +0000

Ein kleines Kommentar zum verschlüsselten Home: Die Verschlüsselung geschieht ja „transparent“ für das Unterverzeichnis des Users. Loggt er sich aus, wird es wieder verschlüsselt.
Das zählt aber natürlich nicht als „echte“ Partition oder Mountpoint. Das war dann auch das Problem als wir auf meinem Arbeitsrechner mal einen Mittag gesucht haben, warum das Backup mit Bacula mein Homedir partout nicht sichern will – es hat einfach keines gefunden. 😉 Ist bei einem Backup also nicht zu verachten, dass ggf. nicht /home als Backupziel, sondern die Userdirs selbst angegeben werden müssen 🙂

Von: Christoph

Christoph — Thu, 17 Sep 2009 13:38:50 +0000

Hallo Detru, Computer werden nicht nur von klein Kevin benutzt, der mit seinem Rechner Aufsätze schreibt, sondern von Unternehmen, Rechtsanwälten, Ärzten, Pfarrern, Psychiatern oder oder oder… oder von Christoph Daum, der nicht will dass sein Testament oder Details zu seinen Verträgen an die Öffentlichkeit kommen.

In vielen Fällen ist es SEHR wichtig dass Daten von Dritten nicht eingesehen werden können. In solchen Fällen ist es essentiell, dass eine Verschlüsselung wasserdicht durchgeführt wird. Das Verschlüsseln einzelner Dateien oder Ordner erfüllt den Zweck definitiv nicht.

Hallo winky, sowohl zum Auslesen von SWAP, also auch zum Auflisten der Partitionen braucht es auf einem unmodofizierten Ubuntu-System Root-Rechte. Daher: Essential use of sudo…

Von: Christian

Christian — Thu, 17 Sep 2009 12:52:54 +0000

Einfach SWAP deaktivieren und ordentlich viel RAM in die Kiste. Dann ist das System eh schneller und man hat das Problem nicht mehr. Zumal eine das System ausbremsende SWAP Partition es nochmal extra ausbremst wenn es dazu noch verschlüsseln muss.

Von: detru

detru — Thu, 17 Sep 2009 11:38:33 +0000

oha und wieder ein post zum Thema: „ich muss verschlüsseln sonst klaut mir irgendwie meine relativ uninteressanten und genau genommen vollkommen irrelevanten Daten“.

Wenn ihr so ach geheime Daten habt, dann verschlüsselt die einzelne Datei. Fertig, damit hat sichs.

Wenn jmd. die Daten kopiert hat (egal ob verschlüsselt oder nicht) wird er sowieso früher oder später an den Verschlüsselungscode kommen (entweder durch bruteforce/rainbow tables usw. oder (wenns der Staat ist) durch Beugehaft und andere entsprechende Maßnahmen.