{"id":136,"date":"2023-08-26T21:20:50","date_gmt":"2023-08-26T19:20:50","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=136"},"modified":"2023-08-27T02:47:35","modified_gmt":"2023-08-27T00:47:35","slug":"linux-verschluesselung-beim-start-automatisch-entsperren","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/08\/26\/linux-verschluesselung-beim-start-automatisch-entsperren\/","title":{"rendered":"Linux-Verschl\u00fcsselung beim Start automatisch entsperren"},"content":{"rendered":"\n

Will man seine Daten auf einem Linux-Laptop sicher vor allen Blicken haben, auch wenn dieser gestohlen wird – dann verschl\u00fcsselt man seine Daten. Am besten wird nat\u00fcrlich das komplette System verschl\u00fcsselt.<\/p>\n\n\n\n

Die Verschl\u00fcsselung bietet folgenden Schutz<\/strong> – wenn der Rechner mit einem Live-System gestartet wird, bekommt man \u00fcber dieses keinen Zugriff, wenn man das Luks-Passwort nicht kennt. Wird die Festplatte ausgebaut und an einen anderen Rechner angeschlossen, bekommt man keinen Zugriff auf die Daten, wenn man das Luks-Passwort nicht kennt.<\/p>\n\n\n\n

So gesehen absolut perfekt – nervig ist jedoch die Eingabe des Passwortes zur Entschl\u00fcsselung des Systems beim System-Start. Diese Eingabe ist auch nicht wirklich sicherer – wenn man nicht gerade ein anderes Passwort benutzt, als das Passwort f\u00fcr den eigentlichen Login. Wirklich sinnvoll ist die Eingabe des Passwortes ja auch nur dann – wenn das Betriebssystem nicht startet, also wenn die Festplatte ausgebaut wird und beim Zugriff mit einem Live-System.<\/p>\n\n\n\n

In diesem Beitrag lesen Sie, wie Sie das System unter Debian, sowie unter Ubuntu und darauf basierenden Linux-Distributionen das System automatisch entschl\u00fcsseln.<\/p>\n\n\n\n

Mit Clevis Linux automatisch entschl\u00fcsseln<\/h3>\n\n\n\n

Zu Beginn – automatisch entschl\u00fcsselt soll die Wurzel-Partition werden, der Rest (\/home)wird ja mit dem Passwort beim Login entschl\u00fcsselt. Sie m\u00fcssen diese Partition kennen – dies zeigt etwa ein Blick in die fstab<\/strong>:<\/p>\n\n\n\n

cat \/etc\/fstab<\/code><\/pre>\n\n\n\n
Oder als root mit dem Befehl:<\/p>\n\n\n\n
fdisk -l<\/code><\/pre>\n\n\n\n
Zur Erleichterung starten wir zu Beginn folgenden Befehl:<\/p>\n\n\n\n
export PATH=\/sbin:$PATH<\/code><\/pre>\n\n\n\n
Schnell gesagt, die Partition „\/<\/strong>“ muss entschl\u00fcsselt werden – in meinem Beispiel also „\/dev\/nvme0n1p3<\/strong>„. Nat\u00fcrlich muss der Computer einen TPM-Chip eingebaut haben – erhalten Sie auf folgenden Befehl eine Ausgabe, ist dies der Fall:<\/p>\n\n\n\n
dmesg | grep -i tpm<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Des weiteren werden alle folgenden Befehle als root ausgef\u00fchrt und Sie m\u00fcssen das Passwort zur Entschl\u00fcsselung kennen. Als Erstes werden die n\u00f6tigen Pakete installiert:<\/p>\n\n\n\n
apt install clevis clevis-tpm2 clevis-luks clevis-udisks2 clevis-systemd clevis-initramfs<\/code><\/pre>\n\n\n\n
Jetzt m\u00fcssen wir herausfinden welchen Hash der TPM-Chip unterst\u00fctzt – dies zeigt folgender Befehl:<\/p>\n\n\n\n
tpm2_pcrread<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Der Hash, hinter dem Zahlenfolgen zu finden sind, wird unterst\u00fctzt – in diesem Fall „sha256<\/strong>“ – diesen nutzen wir anschlie\u00dfend.<\/p>\n\n\n\n
Jetzt speichern wir den Hash des Passwortes zur Entschl\u00fcsselung auf dem TPM-Chip, hier wird die root-Partition und der Hash angegeben – in meinem Beispiel also:<\/p>\n\n\n\n
clevis luks bind -d \/dev\/nvme0n1p3 tpm2 '{\"pcr_bank\":\"sha256\",\"pcr_ids\":\"0,1,7\"}'<\/code><\/pre>\n\n\n\n
Nach der Best\u00e4tigung mit Eingabe<\/kbd>, m\u00fcssen Sie das Luks-Passwort zur Entschl\u00fcsselung des Systems eingeben. Zuletzt wird die neue Einstellung in das Initramfs gespeichert:<\/p>\n\n\n\n
update-initramfs -u -k 'all'<\/code><\/pre>\n\n\n\n
Jetzt k\u00f6nnen Sie das System neu starten – haben Sie die root-Partition richtig angegeben, wird die Eingabe des Passwortes zwar ein bis zwei Sekunden aufleuchten (TPM-Chips sind nicht die schnellsten<\/em>), aber automatisch eingegeben und das System gestartet.<\/p>\n
\r\n    
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    1    <\/span>\r\n<\/div>
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    1<\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
Will man seine Daten auf einem Linux-Laptop sicher vor allen Blicken haben, auch wenn dieser gestohlen wird – dann verschl\u00fcsselt man seine Daten. Am besten wird nat\u00fcrlich das komplette System verschl\u00fcsselt. Die Verschl\u00fcsselung bietet folgenden Schutz – wenn der Rechner mit einem Live-System gestartet wird, bekommt man \u00fcber dieses keinen Zugriff, wenn man das Luks-Passwort […]<\/p>\n","protected":false},"author":1,"featured_media":137,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[17],"tags":[5,15],"class_list":["post-136","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-system","tag-linux","tag-system"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/136","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=136"}],"version-history":[{"count":2,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/136\/revisions"}],"predecessor-version":[{"id":141,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/136\/revisions\/141"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/137"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=136"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=136"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=136"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}