Frage bezüglich Linux und Verschlüsselung

[bronko_84]

hallo, ich wollte mal austesten, was Linux so an Bordmitteln für Verschlüsselung von sich aus mitbringt. Sicherlich könnte ich auch Truecrypt laden, aber darum gehts mir im Moment nicht.

Ich hab in der aktuellen Ubuntu-64Bit Version eine Partition mit der Laufwerksverwaltung (also das grafische Tooldingens da) erstellt + verschlüsselt.
Als ich die Partition ausgehängt habe, und neu eingehängt, musste ich das Passwort eingeben. Soweit so gut.

Da ich aber noch ziemlicher Anfänger bin, bleiben für mich ein paar Fragen, die mir hier hoffentlich einer beantworten kann:

1: Nach was muss ich googeln/bzw. kann mir einer den technischen Hintergrund erklären, wie das genau funktioniert?(in Kombination mit Frage 3: wie genau weiß Linux, dass die Daten verschlüsselt abgelegt werden müssen, bzw. wer überwacht das?)

2: Welcher Algorithmus wird verwendet, wo kann ich das nachsehen, und wie sicher ist er?

3: Werden wirklich alle Daten verschlüsselt abgelegt, wenn ich die Partition einhänge und dann wieder aushänge?

4: Sollte ich nicht doch lieber TrueCrypt verwenden?

5: ist die Verschlüsselung von Linux als sicher anzusehen?

Sorry, wenn ich so blöde Frage, aber ich bin erst seit kurzem von Windows weg, und bin von Linux eigentlich begeistert. Nur ich tu mich halt als Anfänger etwas schwer..

[DrGreenthumb]

siehe LUKS, dm-crypt, cryptsetup

und wenn man nicht nur eine Partition hat, auch LVM

der ubuntu-installer kann das auch automatisch einrichten (nach meiner erfahrung aber keine vorhandenen setups übernehmen! :()

[SeppJ]

bronko_84 schrieb:

1: Nach was muss ich googeln/bzw. kann mir einer den technischen Hintergrund erklären, wie das genau funktioniert?(in Kombination mit Frage 3: wie genau weiß Linux, dass die Daten verschlüsselt abgelegt werden müssen, bzw. wer überwacht das?)

Wie schon gesagt wurde, macht das dm-crypt. Man sagt quasi beim mounten, dass es sich um eine verschlüsselte Partition handelt. Dann fragt dich dm-crypt nach dem Passwort. Mit dem Passwort werden zwei andere, längere Passwörter entschlüsselt, eines für Dateinamen, eines für Dateiinhalte. Die Daten selbst sind relativ normale Dateien in einem normalen Dateisystem, dass man wenn man will auch ganz normal mounten kann. Aber erst beim mounten mit dm-crypt werden mittels des Schlüssels aus den verschlüsselten Dateinamen und Dateiinhalten wieder die richtigen Daten.

2: Welcher Algorithmus wird verwendet, wo kann ich das nachsehen, und wie sicher ist er?

Standardmäßig müsste bei einer aktuellen Version AES eingestellt sein, kann man natürlich auch ändern. In irgendeiner Configdatei von dm-crypt. Die Sicherheit kannst du ergoogeln.

3: Werden wirklich alle Daten verschlüsselt abgelegt, wenn ich die Partition einhänge und dann wieder aushänge?

Ich bin mir nicht sicher was du meinst. Die Daten werden immer direkt beim Zugriff ver-/entschlüsselt. Falls du dir Sorgen machst, was passiert, wenn du die Partition nicht richtig aushängst: Es bleibt alles verschlüsselt.

4: Sollte ich nicht doch lieber TrueCrypt verwenden?

dm-crypt ist an sich schonmal sicher um die Daten zu verschlüsseln. True-crypt bietet den zusätzlichen Vorteil, dass man in den verschlüsselten Daten nochmal Partitionen verstecken kann. Falls du gezwungen wirst das Passwort zu den normalen Daten zu verraten, sieht der Angreifer erstmal nicht, dass da noch etwas fehlt. Aber es dürfte sich mitlerweile rumgesprochen haben, dass Truecrypt das kann und daher wirst du dann wohl weitergefoltert werden, bis du auch verrätst, wie man an die versteckten Daten kommt.

5: ist die Verschlüsselung von Linux als sicher anzusehen?

Ja.

Allgemein: Ich halte Verschlüsselung nur auf mobilen Systemen, die gestohlen werden können, für sinnvoll. Ein Angreifer der an einen Festrechner drankommt, kann dir auch das Passwort zu den Daten abnehmen. Das gilt auch für die Polizei, die darf dich beispielsweise in Beugehaft nehmen und der Bundestrojaner kann auch die Form einer Tastaturwanze annehmen die dir unbemerkt eingebaut wird.

[DrGreenthumb]

SeppJ schrieb:

Allgemein: Ich halte Verschlüsselung nur auf mobilen Systemen, die gestohlen werden können, für sinnvoll. Ein Angreifer der an einen Festrechner drankommt, kann dir auch das Passwort zu den Daten abnehmen.

wenns jemand wirklich auf die Daten abgesehen hat wirds natürlich schwer. Da reicht ja schon der falsche Klick auf einen Link hier im Forum.

Aber auch nicht-mobile Systeme können einfach so gestohlen werden. Und Festplatten gehen auch gerne mal nach 1-2 Wochen kaputt - da möchte ich auch nicht dass der Samsung-Mitarbeiter meine Mails liest.

[Athar]

DrGreenthumb schrieb:

Da reicht ja schon der falsche Klick auf einen Link hier im Forum.

Wie das?

[DrGreenthumb]

durch fehlern in software. Kennst du nicht die Lehrfilme wie Hackers und Password Swordfish?

[Athar]

Nö, kenn ich nicht.
Aber dazu muss man erst einmal eine noch nicht entdeckte Sicherheitslücke finden.

Aber gut, wenn es sich um Daten handelt, die so wichtig sind, dass es sich für einen Angreifer lohnt, sie notfalls per vorgehaltener Pistole zu erpressen, dann hilft es nur, selbst nicht an die Daten zu können oder sich im Hochsicherheitsbunker einzuschließen.
Ich denke nicht, dass das hier der Fall ist.

[rüdiger]

DrGreenthumb schrieb:

der ubuntu-installer kann das auch automatisch einrichten

Aber nur der alternative (Text-) Installer. Bei Fedora kann das auch der normale Installer einrichten.

[Athar]

rüdiger schrieb:

Aber nur der alternative (Text-) Installer. Bei Fedora kann das auch der normale Installer einrichten.

Ich meine mich zu erinnern, dass seit Ubuntu 9.10 auch beim graphischen Installer angeboten wird, die home-Partition zu verschlüsseln.

[rüdiger]

Athar schrieb:

rüdiger schrieb:

Aber nur der alternative (Text-) Installer. Bei Fedora kann das auch der normale Installer einrichten.

Ich meine mich zu erinnern, dass seit Ubuntu 9.10 auch beim graphischen Installer angeboten wird, die home-Partition zu verschlüsseln.

Ja, aber die nehmen nicht LUKS/dm_crypt, sondern iirc irgend ein Userspace-System (also so ähnlich wie TrueCrypt).

[nman]

Ja, die verwenden eCryptfs. Wobei das Setup ziemlich nett gemacht ist, beim User anlegen gibts zum Thema Passwort drei Optionen:

Beim Anmelden kein Passwort abfragen.

Passwort zum Anmelden abfragen.

Passwort zum Anmelden und Entschlüsseln der Home-Partition abfragen.

Sehr hübsch und einfach gemacht.

[nman]

Athar schrieb:

Aber dazu muss man erst einmal eine noch nicht entdeckte Sicherheitslücke finden.

Nein, nur eine auf Deinem Zielsystem ungepatchte.

Aber gut, wenn es sich um Daten handelt, die so wichtig sind, dass es sich für einen Angreifer lohnt, sie notfalls per vorgehaltener Pistole zu erpressen, dann hilft es nur, selbst nicht an die Daten zu können oder sich im Hochsicherheitsbunker einzuschließen.
Ich denke nicht, dass das hier der Fall ist.

Obligatorisch: http://xkcd.com/538/

[knivil]

4: Sollte ich nicht doch lieber TrueCrypt verwenden?

Ich habe truecrypt verwendet, dann kann ich den Container auch unter Windows nutzen. Keine Ahnung, ob es die Boardmittel von Linux auch fuer Windows gibt.

[Mr.Fister]

[quote="SeppJ"]

bronko_84 schrieb:

Allgemein: Ich halte Verschlüsselung nur auf mobilen Systemen, die gestohlen werden können, für sinnvoll. Ein Angreifer der an einen Festrechner drankommt, kann dir auch das Passwort zu den Daten abnehmen. Das gilt auch für die Polizei, die darf dich beispielsweise in Beugehaft nehmen und der Bundestrojaner kann auch die Form einer Tastaturwanze annehmen die dir unbemerkt eingebaut wird.

Das glaube ich nicht. In Deutschland muss niemand Aussagen machen, mit denen man sich selbst belasten wuerde. Grundsaetzlich darf die Aussage als Angeklagter voellig verweigert werden, und der Polizei muss man schonmal ueberhaupt nichts erzaehlen. Das gilt dann natuerlich auch fuer Passwoerter.
Anders sieht es aus fuer einen Zeugen, der nicht mit dem Angeklagten verwandt ist. Der hat auszusagen und darf dafuer in Beugehaft genommen werden.