Notebook: Linux verschlüsseln (Fedora + KDE)

[Mickey Cohen]

Hallo,

Edit:

ich habe nun fedora+kde installiert, die SSD ist folgendermaßen formattiert:

• EFI-Partition (unverschlüsselt, FAT32), Mountpoint: /boot/efi
• Boot-Partition (unverschlüsselt, EXT4), Mountpoint: /boot
• Fedora-Root-Partition, LUKS2-verschlüsselt*, EXT4, Mountpoint: /
• Daten-Partition, LUKS2-verschlüsselt*, EXT4, Mountpoint: /DATA
• (200 GB unformattiert)

Die beiden verschlüsselten LUKS2-Partitionen sind mit dem selben Passwort verschlüsselt.

Preisfrage:

Wie bekomme ich es hin, dass ich beim booten das Passwort nur einemal eingeben muss und beide Partitionen dann automatisch entschlüsselt und gemountet werden?
Ich möchte kein Keyfile verwenden, sondern ein Passwort!

Danke!

/Edit.




ich möchte ein Notebook verschlüsseln, damit ein Dieb im Falle eines Diebstahls nicht an meine Daten rankommt.

das Notebook hat eine 1 TB nvme SSD.

es soll Fedora mit kde installiert werden. Windows wird nicht parallel installiert.

das gerät hat keinen Fingerabdruck-Scanner.

ich bin auf der Suche nach einem Kompromiss aus Sicherheit und Komfort.

bei Linux und verschlüsselung denkt man natürlich zuerst an LUKS. dazu habe ich einige Fragen:

wenn ich die root-Partition (und natürlich die Home partition) mit luks verschlüssle, dann wird der Key beim Booten eingegeben.

bleibt der Key dann im RAM, solange das gerät läuft?
wenn ja: stellt das ein Problem dar, wenn das gerät gesperrt (i.s.v. Lockscreen wird angezeigt) ist? dh. kann der Dieb den Key auslesen, wenn er den lock-screen (d.h. das user-pw != luks-key) umgeht?

Das selbe problem stellt sich dann natürlich bei suspend-to-ram.

oder muss ich gar, um den LUKS-schutz beim lockscreen oder suspend-to-ram zu erhalten, das user-pw gleich dem luks-key wählen und es per PAM übergeben?

außerdem: ist suspend-to-disk so möglich, dass zwar die "hibernate"-datei (ka. wie die in Linux heißt) verschlüsselt auf der ssd gespeichert wird, ich das gerät aber mit dem user-pw (!= luks-key) entsperren kann?


mein Problem ist halt folgendes: ein user-pw, das ich verwende, wenn ich das Notebook öffne/aufwecke/per Lockscreen entsperre soll nicht unendlich lang sein. ich will auch nicht jedesmal das notebook neu booten, wenn ich es nur kurz aus den augen lasse/in die tasche stecke etc.

das Luks Passwort darf andererseits nicht zu kurz sein.

danke!

 

[Tenferenzu]

wenn ja: stellt das ein Problem dar, wenn das gerät gesperrt (i.s.v. Lockscreen wird angezeigt) ist? dh. kann der Dieb den Key auslesen, wenn er den lock-screen umgeht?

Also das müsste schon ein Dieb sein der es explizit auf dich abgesehen hat, damit das auch nur irgendwie relevant wäre.

Vermutlich kann das schon irgendwie gemacht werden aber das ist dann kein 0815 Dieb sondern einer der für einen Geheimdienst arbeitet und die haben meist andere Methoden. Daher würde ich mal vermuten, dass ein BIOS Passwort + Verschlüsselung genug sind für 99,9% aller Fälle.

 

[Mickey Cohen]

sry für die blöde nachfrage, aber für was brauche ich bei meinem "anwendungszweck" ein BIOS (also UEFI)-PW?

 

[Tenferenzu]

Das ist für den 0815 Dieb.

 

[0x8100]

bleibt der Key dann im RAM, solange das gerät läuft?

der user-key nicht, der master-key zwangsweise ja.

wenn ja: stellt das ein Problem dar, wenn das gerät gesperrt (i.s.v. Lockscreen wird angezeigt) ist? dh. kann der Dieb den Key auslesen, wenn er den lock-screen umgeht?

wenn der angreifer den lockscreen umgehen kann, hat er sowieso zugriff auf die daten. um den key auslesen zu können bräuchte er aber root-rechte.

außerdem: ist suspend-to-disk so möglich, dass zwar die "hibernate"-datei (ka. wie die in Linux heißt) verschlüsselt auf der ssd gespeichert wird, ich das gerät aber mit dem user-pw (!= luks-key) entsperren kann?

nein, bei suspend-to-disk ist der ram stromlos, es wird also beim resume zwangsweise der luks-key gebraucht.

mein Problem ist halt folgendes: ein user-pw, das ich verwende, wenn ich das Notebook öffne/aufwecke/per Lockscreen entsperre soll nicht unendlich lang sein. ich will auch nicht jedesmal das notebook neu booten, wenn ich es nur kurz aus den augen lasse/in die tasche stecke etc.

so habe ich das auf dem laptop+desktop auch: entsprechend langer luks-key, hinreichend langes user-passwort. suspend-to-disk nutze ich nicht, nur to-ram.

 

[Mickey Cohen]

ich habe nun fedora+kde installiert, die SSD ist folgendermaßen formattiert:

• nvme0n1p1: EFI-Partition (unverschlüsselt, FAT32), Mountpoint: /boot/efi
• nvme0n1p2: Boot-Partition (unverschlüsselt, EXT4), Mountpoint: /boot
• nvme0n1p3: Fedora-Root-Partition, LUKS2-verschlüsselt*, EXT4, Mountpoint: /
• nvme0n1p4: Daten-Partition, LUKS2-verschlüsselt*, EXT4, Mountpoint: /DATA
• (200 GB unformattiert)

Die beiden verschlüsselten LUKS2-Partitionen sind mit dem selben Passwort verschlüsselt.

Preisfrage:

Wie bekomme ich es hin, dass ich beim booten das Passwort nur einmal eingeben muss und beide Partitionen dann automatisch entschlüsselt und gemountet werden?
Ich möchte kein Keyfile verwenden, sondern ein Passwort!

Danke!

 

[agon]

Wie bekomme ich es hin, dass ich beim booten das Passwort nur einmal eingeben muss und beide Partitionen dann automatisch entschlüsselt und gemountet werden?

https://wiki.archlinux.org/title/Dm-crypt/System_configuration#Using_systemd-cryptsetup-generator
"Passwords entered during boot are cached in the kernel keyring by systemd-cryptsetup(8), so if multiple devices can be unlocked with the same password (this includes devices in crypttab that are unlocked after boot), then you will only need to input each password once."

 

[Mickey Cohen]

ha, cool, dachte nicht, dass das mehr oder weniger automatisch geht, super, danke!