Christian's Blog

Heute gibts hier mal einen Teil von einer Hausarbeit aus dem Bereich Systemsicherheit =) Es geht dabei um die Verschlüsselung des Systems bei Linux (Ubuntu LTS 10.04)

Wir behandeln hier nur wie man ein System, während einer Neuinstallation Verschlüsseln kann. Es gibt auch verschiedene Möglichkeiten ein bereits installiertes System zu verschlüsseln. Allerdings ist diese um einiges schwieriger. Um euer System während der Neuinstallation zu verschlüsseln braucht ihr eine Live-CD des zu installierenden Linux sowie einen funktionierenden Internetzugang. Als Erstes startet ihr das System von der Live CD und bringt das Internet zum Laufen. Nun müsst ihr zwei Pakete nachinstallieren. Dabei handelt es sich um das Paket lvm2 und das Paket cryptsetup. Dies macht ihr mit folgenden Befehlen auf der Konsole:

sudo apt-get install lvm2 cryptsetup

Nun müssen wir erstmal die Partiotionen anlegen. Wir benötigen 2 davon. Die 1. Partition soll den Mount Point /boot haben (ext3) und die zweite bleibt unformatiert, da hier das Verschlüsselte LVM Volumen erzeugt werden soll. Die Partitionierung kann man entweder über die Konsole machen, oder über GParted.

Verschlüsseln der Partitionen

Nun wollen wir die LVM Partition verschlüsseln. Dafür benötigen wir die folgenden beiden Befehle:

cryptsetup -c aes-xts-plain -s 512 luksFormat /dev/sdXY
cryptsetup luksOpen /dev/sdXY lukslvm

X und Y müssen natürlich durch die richtigen Festplatten und Partiotionszahlen ersetzt werden. Bei der Standart Installation von Ubuntu werden für gewöhnlich 2 Partitionen angelegt. Eine SWAP Partition mit der Größe des RAMs multipliziert mit dem Faktor 1,3. Der Rest der Festplatt wird für das / Verzeichniss verwendet. Genau diese beiden Partitionen richten wir nun in unserem LVM Volumen ein. Dafür verwenden wir folgende Befehlen:

lvcreate -L 1300M -n swap vgubuntu
lvcreate -l 100%FREE -n root vgubuntu

Da es mit dem Installer von der Live CD Probleme gibt, müssen wir die Partitionen per Konsole vorher Formatieren:

mkswap /dev/mapper/vgubuntu-swap
mkfs.ext3 /dev/mapper/vgubuntu-root

Nun starten wir den Installer für das Betriebssystem. Bei Schritt 4 muss man hier jetzt die manuelle Partitionierung auswählen. Dort finden wir die bereits Vorkonfigurierten Partitionen. Hier müssen wir nun noch die Mount Points festlegen. Für die unverschlüsselte Partition ist das /boot und im LVM Volumen ist es der Mount Point /. Die Swap Partition wird automatisch erkannt. Nun wird die Installation bis zum Ende durchgeführt. Allerdings nicht neu gestartet.

Ins verschlüsselte System wechseln

Um die noch nötigen Änderungen vorzunehmen müssen wir mittels chroot in das verschlüsselte System wechselt. Dies machen wir mit den folgenden Befehlen:

mount /dev/mapper/vgubuntu-root /mnt
mount /dev/sdX1 /mnt/boot
mount -o rbind /dev /mnt/dev
mount -t proc proc /mnt/proc
mount -t sysfs sys /mnt/sys
cp /etc/resolv.conf /mnt/etc/resolv.conf
chroot /mnt /bin/bash

Paketinstallation im Verschlüsselten System

Auch hier müssen wir jetzt nochmal die Pakete für lvm2 und cryptsetup installieren.

sudo apt-get install lvm2 cryptsetup

Als nächstest brauchen wir die UUID der verschlüsselten Festplatte. Diese könnt ihr euch mit diesem Befehl anzeigen lassen:

blkid /dev/sdX2

/etc/crypttab

Diese UUID müssen wir nun in /etc/crypttab eingetragen werden. Dies kann entweder mit eine Konsoleneditor erledigt werden oder mit dem folgenden Befehl (<XXXX> muss durch die UUID ersetz werden):

echo "lukslvm UUID=<XXXX> none luks" >> /etc/crypttab

/etc/modules

Hier muss nun das dm-crypt Modul hinzugefügt werden. Dies geschieht mit folgendem Befehl:

echo "dm-crypt" >> /etc/modules

/etc/initramfs-tools/modules

Bei älteren Versionen ist es noch nötig verschiedene Module dem Startprozess zuzuordnen. Dafür sind folgende Befehle nötig:

echo "aes" >> /etc/initramfs-tools/modules
echo "aes_i586" >> /etc/initramfs-tools/modules
echo "aes_x86_64" >> /etc/initramfs-tools/modules
echo "aes_generic" >> /etc/initramfs-tools/modules
echo "dm-crypt" >> /etc/initramfs-tools/modules
echo "dm-mod" >> /etc/initramfs-tools/modules
echo "sha256" >> /etc/initramfs-tools/modules
echo "sha256_generic" >> /etc/initramfs-tools/modules
echo "lrw" >> /etc/initramfs-tools/modules
echo "xts" >> /etc/initramfs-tools/modules
echo "crypto_blkcipher" >> /etc/initramfs-tools/modules
echo "gf128mul" >> /etc/initramfs-tools/modules

Kernel-Initramfs aktualisieren

Wir müssen nun noch die Änderungen an der crypttab übernehmen. Dafür verwenden wir folgenden Befehl:

update-initramfs -u -k all

GRUB-Konfiguration

Wollt ihr die Root-Partition mit aktiviertem “data-journaling”mounten, dann müssen beim Kernel start die entsprechenden Parameter für die Fuktion übergeben werden. Dafür reicht der Eintrage in /etc/fstab nicht aus. Deshalb muss man noch die /etc/default/grub editieren.

GRUB_CMDLINE_LINUX_DEFAULT="kopt=root=/dev/mapper/vgubuntu-root"

Beenden/Neustart

Mit den folgenden Beehlen könnt ihr die chroot Umgebung schließen und den Rechner neu starten.

exit
sync
umount /mnt/boot
umount /mnt
cryptsetup luksClose vgubuntu-root
reboot

Nun habt ihr ein komplett verschlüsseltes System. Ich hoffe diese kleine Tutorial hilft dem ein oder andern. Bei Fragen/Anregungen/Fehlern: Einfach ein Kommentar hinterlassen =)