{"id":3957,"date":"2023-09-13T18:37:55","date_gmt":"2023-09-13T16:37:55","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=3957"},"modified":"2023-09-13T18:37:58","modified_gmt":"2023-09-13T16:37:58","slug":"usb-sticks-und-externe-festplatten-unter-linux-mit-luks-verschluesseln","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/09\/13\/usb-sticks-und-externe-festplatten-unter-linux-mit-luks-verschluesseln\/","title":{"rendered":"USB-Sticks und externe Festplatten unter Linux mit LUKS verschl\u00fcsseln"},"content":{"rendered":"\n

USB<\/a>-Sticks werden gerne mit durch die Gegend getragen, sie sind klein und gehen gerne verloren. Problematisch wird es, wenn auf solchen Daten<\/a>trägern sensible Daten<\/a> liegen und sie verloren gehen. Solche Daten<\/a>träger zu verschlüsseln, ist eine sehr sichere Option. Sind sie mit einem sicheren Passwort versehen, gibt es derzeit keine Methode, in absehbarer Zeit an die Daten<\/a> darauf zu kommen, wenn man das Passwort nicht kennt. Mit LUKS<\/a> gelingt dies unter Linux<\/a> ganz einfach.<\/p>\n\n\n\n

USB-Sticks und externe Festplatten verschlüsseln<\/h2>\n\n\n\n

Zu Beginn sollten Sie den zu verschlüsselnden Daten<\/a>träger neu formatieren, etwa mit „ext4<\/a><\/strong>„, zum Formatieren nutzen Sie etwa die Software Gparted.

Anschließend müssen wir wissen, wie sich der Daten<\/a>träger nennt. Dazu führen Sie, wenn Sie sich nicht sicher sind, auf dem Terminal<\/a> als Administrator<\/a> folgenden Befehl<\/a> einmal bei nicht angeschlossenem und einmal bei angeschlossenem Zustand aus:<\/p>\n\n\n\n

fdisk -l<\/code><\/pre>\n\n\n\n
Der Unterschied ist dann unser zu verschlüsselnder Daten<\/a>träger. Im folgenden Beispiel wird sich die darauf liegende Partition<\/a> „\/dev\/sdb1<\/strong>“ nennen.

Diese Partition<\/a> überschreiben wir zu Beginn mit Zufallsdaten<\/a>. Dies sorgt dafür, dass der mögliche Finder des Daten<\/a>trägers wenige bis keine Informationen über verschlüsselten Daten<\/a> bekommt – etwa die Größe der Daten<\/a>. (Alle folgenden Befehl<\/a>e als Administrator<\/a> am Terminal<\/a><\/em>):<\/p>\n\n\n\n
dd bs=4K if=\/dev\/urandom of=\/dev\/sdb1<\/code><\/pre>\n\n\n\n
Nun laden wir das Modul zur Verschlüsselung<\/a> in den Kernel:<\/p>\n\n\n\n
modprobe dm_crypt<\/code><\/pre>\n\n\n\n
Damit wir das Modul später beim Entschlüsseln eines Daten<\/a>trägers nicht mehr laden müssen, schreiben wir es in die Systemd<\/a>atei „\/etc\/modules<\/strong>„, somit startet es automatisch mit dem System:<\/p>\n\n\n\n
echo dm_crypt >> \/etc\/modules<\/code><\/pre>\n\n\n\n
Jetzt können wir den Daten<\/a>träger verschlüsseln:<\/p>\n\n\n\n
cryptsetup -yvh sha256 -c aes-xts-plain -s 256 luksFormat \/dev\/sdb1<\/code><\/pre>\n\n\n\n
Mit „-yvh sha256<\/strong>“ wird das Passwort zur Sicherheit zweimal abgefragt, und das Passwort wird mit einem 256 Bit lan<\/a>gen Hash-Wert gespeichert. Mit „-c<\/strong>“ geben Sie die Verschlüsselung<\/a> selbst an – hier „aes-xts-plain -s 256<\/strong>“ – ein 256 Bit lan<\/a>ger Schlüssel. „luks<\/a>Format \/dev\/sdb1<\/strong>“ erstellt wiederum die Partition<\/a>. Sie können natürlich andere Algorithmen und andere Stärken zur Verschlüsselung<\/a> nutzen – mehr dazu über die Manpage:<\/p>\n\n\n\n
man cryptsetup<\/code><\/pre>\n\n\n\n
Nachdem Sie den Befehl<\/a> zum Verschlüsseln gestartet haben, werden Sie nach dem Passwort gefragt, das zum Entschlüsseln genutzt werden soll.

Hat Cryptsetup seine Aufgabe abgeschlossen, öffnen Sie den verschlüsselten Stick auf dem Terminal<\/a> mit:<\/p>\n\n\n\n
cryptsetup luksOpen \/dev\/sdb1 name<\/code><\/pre>\n\n\n\n
„name<\/strong>“ ersetzen Sie dabei durch eine beliebige Bezeichnung, etwa den Namen des Sticks, hier werde ich einfach mit „name<\/strong>“ weitermachen. Nun erstellen wir darauf ein Dateisystem<\/a> – etwa „ext4<\/a><\/strong>„:<\/p>\n\n\n\n
mkfs.ext4 \/dev\/mapper\/name<\/code><\/pre>\n\n\n\n
Jetzt hängen wir die verschlüsselte Partition<\/a> ein:<\/p>\n\n\n\n
mount \/dev\/mapper\/name \/mnt\/<\/code><\/pre>\n\n\n\n
Nun übergeben wir die Partition<\/a> an den gewünschten Benutzer, in meinem Beispiel einfach „robert<\/strong>„:<\/p>\n\n\n\n
chown -R robert:robert \/mnt\/<\/code><\/pre>\n\n\n\n
Zuletzt schließen wir die verschlüsselte Partition<\/a>:<\/p>\n\n\n\n
cryptsetup luksClose \/dev\/mapper\/name<\/code><\/pre>\n\n\n\n
Ziehen Sie den Stick ab und schließen ihn wieder an – je nach Desktop<\/a>-Umgebung werden Sie schon nach dem Anschließen automatisch nach dem Passwort gefragt, oder erst dann, wenn Sie im Dateimanager<\/a> auf den Daten<\/a>träger klicken, um diesen zu öffnen.<\/p>\n\n\n\n
Erstveröffentlichung: So 8. Aug 2021, 14:48<\/strong><\/p>\n
\r\n    
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    2    <\/span>\r\n<\/div>
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    <\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
USB-Sticks werden gerne mit durch die Gegend getragen, sie sind klein und gehen gerne verloren. Problematisch wird es, wenn auf solchen Datentr\u00e4gern sensible Daten liegen und sie verloren gehen. Solche Datentr\u00e4ger zu verschl\u00fcsseln, ist eine sehr sichere Option. Sind sie mit einem sicheren Passwort versehen, gibt es derzeit keine Methode, in absehbarer Zeit an die […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[72,421],"tags":[],"class_list":["post-3957","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-verschluesselung"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3957","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=3957"}],"version-history":[{"count":2,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3957\/revisions"}],"predecessor-version":[{"id":3959,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3957\/revisions\/3959"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=3957"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=3957"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=3957"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}