{"id":136,"date":"2023-08-26T21:20:50","date_gmt":"2023-08-26T19:20:50","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=136"},"modified":"2023-08-27T02:47:35","modified_gmt":"2023-08-27T00:47:35","slug":"linux-verschluesselung-beim-start-automatisch-entsperren","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/08\/26\/linux-verschluesselung-beim-start-automatisch-entsperren\/","title":{"rendered":"Linux-Verschl\u00fcsselung beim Start automatisch entsperren"},"content":{"rendered":"\n

Will man seine Daten<\/a> auf einem Linux<\/a>-Laptop sicher vor allen Blicken haben, auch wenn dieser gestohlen wird – dann verschlüsselt man seine Daten<\/a>. Am besten wird natürlich das komplette System verschlüsselt.<\/p>\n\n\n\n

Die Verschlüsselung<\/a> bietet folgenden Schutz<\/strong> – wenn der Rechner mit einem Live-System gestartet wird, bekommt man über dieses keinen Zugriff, wenn man das Luks<\/a>-Passwort nicht kennt. Wird die Festplatte ausgebaut und an einen anderen Rechner angeschlossen, bekommt man keinen Zugriff auf die Daten<\/a>, wenn man das Luks<\/a>-Passwort nicht kennt.<\/p>\n\n\n\n

So gesehen absolut perfekt – nervig ist jedoch die Eingabe des Passwortes zur Entschlüsselung des Systems beim System-Start. Diese Eingabe ist auch nicht wirklich sicherer – wenn man nicht gerade ein anderes Passwort benutzt, als das Passwort für den eigentlichen Login<\/a>. Wirklich sinnvoll ist die Eingabe des Passwortes ja auch nur dann – wenn das Betriebssystem<\/a> nicht startet, also wenn die Festplatte ausgebaut wird und beim Zugriff mit einem Live-System.<\/p>\n\n\n\n

In diesem Beitrag lesen Sie, wie Sie das System unter Debian<\/a>, sowie unter Ubuntu und darauf basierenden Linux<\/a>-Distribution<\/a>en das System automatisch entschlüsseln.<\/p>\n\n\n\n

Mit Clevis Linux automatisch entschlüsseln<\/h3>\n\n\n\n

Zu Beginn – automatisch entschlüsselt soll die Wurzel-Partition<\/a> werden, der Rest (\/home<\/a>)wird ja mit dem Passwort beim Login<\/a> entschlüsselt. Sie müssen diese Partition<\/a> kennen – dies zeigt etwa ein Blick in die fstab<\/strong>:<\/p>\n\n\n\n

cat \/etc\/fstab<\/code><\/pre>\n\n\n\n
Oder als root<\/a> mit dem Befehl<\/a>:<\/p>\n\n\n\n
fdisk -l<\/code><\/pre>\n\n\n\n
Zur Erleichterung starten wir zu Beginn folgenden Befehl<\/a>:<\/p>\n\n\n\n
export PATH=\/sbin:$PATH<\/code><\/pre>\n\n\n\n
Schnell gesagt, die Partition<\/a> „\/<\/strong>“ muss entschlüsselt werden – in meinem Beispiel also „\/dev\/nvme0n1p3<\/strong>„. Natürlich muss der Computer einen TPM-Chip eingebaut haben – erhalten Sie auf folgenden Befehl<\/a> eine Ausgabe, ist dies der Fall:<\/p>\n\n\n\n
dmesg | grep -i tpm<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Des weiteren werden alle folgenden Befehl<\/a>e als root<\/a> ausgeführt und Sie müssen das Passwort zur Entschlüsselung kennen. Als Erstes werden die nötigen Paket<\/a>e installiert:<\/p>\n\n\n\n
apt install clevis clevis-tpm2 clevis-luks clevis-udisks2 clevis-systemd clevis-initramfs<\/code><\/pre>\n\n\n\n
Jetzt müssen wir herausfinden welchen Hash der TPM-Chip unterstützt – dies zeigt folgender Befehl<\/a>:<\/p>\n\n\n\n
tpm2_pcrread<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Der Hash, hinter dem Zahlenfolgen zu finden sind, wird unterstützt – in diesem Fall „sha256<\/strong>“ – diesen nutzen wir anschließend.<\/p>\n\n\n\n
Jetzt speichern<\/a> wir den Hash des Passwortes zur Entschlüsselung auf dem TPM-Chip, hier wird die root<\/a>-Partition<\/a> und der Hash angegeben – in meinem Beispiel also:<\/p>\n\n\n\n
clevis luks bind -d \/dev\/nvme0n1p3 tpm2 '{\"pcr_bank\":\"sha256\",\"pcr_ids\":\"0,1,7\"}'<\/code><\/pre>\n\n\n\n
Nach der Bestätigung mit Eingabe<\/kbd>, müssen Sie das Luks<\/a>-Passwort zur Entschlüsselung des Systems eingeben. Zuletzt wird die neue Einstellung in das Initram<\/a>fs gespeichert:<\/p>\n\n\n\n
update-initramfs -u -k 'all'<\/code><\/pre>\n\n\n\n
Jetzt können Sie das System neu starten – haben Sie die root<\/a>-Partition<\/a> richtig angegeben, wird die Eingabe des Passwortes zwar ein bis zwei Sekunden aufleuchten (TPM-Chips sind nicht die schnellsten<\/em>), aber automatisch eingegeben und das System gestartet.<\/p>\n
\r\n    
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    1    <\/span>\r\n<\/div>
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    1<\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
Will man seine Daten auf einem Linux-Laptop sicher vor allen Blicken haben, auch wenn dieser gestohlen wird – dann verschl\u00fcsselt man seine Daten. Am besten wird nat\u00fcrlich das komplette System verschl\u00fcsselt. Die Verschl\u00fcsselung bietet folgenden Schutz – wenn der Rechner mit einem Live-System gestartet wird, bekommt man \u00fcber dieses keinen Zugriff, wenn man das Luks-Passwort […]<\/p>\n","protected":false},"author":1,"featured_media":137,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[5,15],"class_list":["post-136","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-system","tag-linux","tag-system"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/136","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=136"}],"version-history":[{"count":2,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/136\/revisions"}],"predecessor-version":[{"id":141,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/136\/revisions\/141"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/137"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=136"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=136"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=136"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}