&d-i; erlaubt es, verschlüsselte Dateisysteme einzurichten. Jede Datei, die auf eine solche Partition geschrieben wird, wird direkt in verschlüsselter Form auf dem Gerät gespeichert. Zugriff auf die verschlüsselten Daten wird nur nach Eingabe der korrekten Passphrase gewährt, die bei der Erstellung der verschlüsselten Partition benutzt wurde. Diese Funktion ist z.B. sinnvoll, um sensible Daten zu schützen, wenn Ihr Laptop oder Ihre Festplatte gestohlen wird. Der Dieb kann zwar physikalischen Zugriff auf die Platte haben, aber ohne Kenntnis der richtigen Passphrase werden die Daten wie zufällig erzeugte Zeichen erscheinen. Die beiden wichtigsten Partitionen, die Sie verschlüsseln sollten, sind: Ihre Home-Partition, auf der Ihre privaten Daten liegen und die Swap-Partition, auf der möglicherweise sensible Daten vorübergehend während des Betriebes gespeichert werden könnten. Natürlich kann Sie nichts davon abhalten, auch irgendeine andere Partition zu verschlüsseln, die vielleicht von Interesse ist. Zum Beispiel /var, wo Datenbankserver, Mailserver oder Printserver ihre Daten ablegen, oder /tmp, das von verschiedensten Programmen genutzt, um potentiell interessante temporäre Dateien zu speichern. Einige Leute möchten vielleicht sogar ihr ganzes System verschlüsseln. Die einzige Ausnahme ist die /boot-Partition, die unverschlüsselt bleiben muss, da es derzeit keinen Weg gibt, einen Kernel von einer verschlüsselten Partition zu laden. Bedenken Sie bitte, dass die Performance von verschlüsselten Partitionen geringer ist als die von unverschlüsselten, da die Daten für jeden Lese- und Schreibvorgang ent- oder verschlüsselt werden müssen. Der Performance-Unterschied ist abhängig von der Geschwindigkeit Ihrer CPU, der gewählten Verschlüsselung und der Schlüssellänge. Um Verschlüsselung zu benutzen, müssen Sie eventuell eine neue Partition erstellen, indem Sie im Haupt-Partitionierungsmenu freien Speicher auswählen. Eine andere Möglichkeit ist, eine vorhandene Partition (wie z.B. eine reguläre Partition, ein logisches LVM-Volume oder ein RAID-Volume) zu verwenden. Im Menü Partitionseinstellungen müssen Sie unter Benutzen als: den Punkt Physikalisches Volume für Verschlüsselung wählen. Es wird dann in ein anderes Menü gewechselt, das verschiedene Verschlüsselungsoptionen für die Partition enthält. &d-i; unterstützt mehrere Verschlüsselungsmethoden. Die Standard-Methode ist dm-crypt (in neueren Linux-Kernels enthalten; hat die Fähigkeit, physikalische Volumes für LVM beherbergen zu können). Die ältere Methode ist loop-AES (älter; wird separat vom Linux-Kernel-Baum betreut/entwickelt). Wenn Sie keine zwingenden Gründe dagegen haben, wird empfohlen, den Standard zu verwenden. Als erstes wollen wir die Optionen betrachten, die verfügbar sind, wenn Sie als Verschlüsselungsmethode Device-mapper (dm-crypt) wählen. Generell gilt: wenn Sie nicht sicher sind, verwenden Sie die Standardwerte, da sie unter Berücksichtigung von Sicherheitsaspekten sorgfältig ausgewählt wurden. Verschlüsselung: aes Mit dieser Option können Sie den Verschlüsselungsalgorithmus (cipher) wählen, der genutzt wird, um die Daten auf der Partition zu verschlüsseln. &d-i; unterstützt derzeit die folgenden Blockverschlüsselungen: aes, blowfish, serpent und twofish. Es ist nicht Ziel dieses Dokuments, die Qualitäten dieser verschiedenen Algorithmen zu diskutieren, aber vielleicht hilft es Ihnen bei der Entscheidung, wenn Sie wissen, dass AES im Jahre 2000 vom American National Institute of Standards and Technology zum Standard-Verschlüsselungsalgorithmus für den Schutz sensibler Informationen im 21. Jahrhundert gewählt wurde. Schlüssellänge: 256 Hier können Sie die Länge des Schlüssels festlegen. Mit einem größeren Schlüssel wird generell die Stärke der Verschlüsselung erhöht. Auf der anderen Seite hat es für gewöhnlich einen negativen Einfluss auf die Performance, wenn die Länge des Schlüssels vergrößert wird. Die möglichen Schlüssellängen variieren abhängig vom gewählten Algorithmus. IV-Algorithmus: cbc-essiv:sha256 Der Initialisierungsvektor oder auch IV-Algorithmus wird in der Kryptographie verwendet, um sicherzustellen, dass die mehrfache Anwendung einer Verschlüsselung auf den gleichen Klartext immer unterschiedliche, einzigartige Geheimtexte ergibt. Dem liegt der Gedanke zugrunde, zu vermeiden, dass der Angreifer aufgrund von sich wiederholenden Mustern in den verschlüsselten Daten auf die zu schützenden Informationen schließen kann. Der Standardwert cbc-essiv:sha256 ist unter den auszuwählenden Möglichkeiten derzeit der gegen bekannte Angriffe am wenigsten verwundbare. Sie sollten die anderen Alternativen nur verwenden, wenn Sie Kompatibilität zu früher installierten Systemen gewährleisten müssen, die die neueren Algorithmen nicht nutzen können. Schlüssel: Passphrase Hier können Sie den Typ des Schlüssels für diese Partition wählen. Passphrase Der Schlüssel wird errechnet Das Verwenden einer Passphrase als Schlüssel bedeutet derzeit, dass die Partition unter Benutzung von LUKS eingerichtet wird. auf Basis einer Passphrase, die Sie später im Prozess eingeben müssen. Zufälliger Schlüssel Jedes Mal, wenn Sie versuchen, die verschlüsselte Partition zu aktivieren, wird ein neuer Schlüssel aus zufälligen Daten erzeugt. Mit anderen Worten: nach jedem Herunterfahren des Systems ist der Inhalt der Partition verloren, da der Schlüssel aus dem Speicher gelöscht wird. (Sie könnten natürlich versuchen, mittels einer Brute-Force-Attacke den Schlüssel zu erraten, aber dies wird innerhalb eines Menschenlebens wohl nicht machbar sein, es sei denn, es gibt eine unbekannte Schwäche im Verschlüsselungsalgorithmus.) Zufällige Schlüssel sind nützlich für Swap-Partitionen, da man sich nicht damit beschäftigen muss, sich an die Passphrase zu erinnern oder sensible Informationen vor dem Herunterfahren des Systems von der Swap-Partition zu löschen. Allerdings bedeutet dies, dass Sie nicht die Suspend-to-Disk-Funktion nutzen können, die von neueren Linux-Kernels angeboten wird, da es unmöglich sein wird, die Daten, die auf die Swap-Partition geschrieben wurden, nach dem nächsten Start wiederherzustellen. Daten löschen: ja Legt fest, ob der Inhalt dieser Partition mit Zufallsdaten überschrieben werden soll, bevor die Verschlüsselung eingerichtet wird. Dies wird empfohlen, da es andernfalls für einen Angreifer möglich wäre, zu erkennen, welche Teile der Partition genutzt sind und welche nicht. Und zusätzlich wird hierdurch erschwert, übrig gebliebene Daten von früheren Installationen wiederherzustellen Man glaubt allerdings, dass die Jungs vom Geheimdienst Daten sogar noch nach mehrfachem Überschreiben des magneto-optischen Mediums wiederherstellen können. . Wenn Sie Verschlüsselungsmethode: Loopback (loop-AES) wählen, werden im Menü andere Optionen angeboten, und zwar: Verschlüsselung: AES256 Bei loop-AES werden, anders als bei dm-crypt, die Optionen für den Algorithmus (cipher) und die Schlüssellänge kombiniert, das heißt, Sie können beide Optionen gleichzeitig angeben. Lesen Sie die vorherigen Abschnitte über Verschlüsselungsalgorithmen und Schlüssellängen für weitere Infos. Schlüssel: Schlüsseldatei (GnuPG) Hier können Sie den Typ des Schlüssels für diese Partition auswählen. Schlüsseldatei (GnuPG) Der Schlüssel wird während der Installation aus Zufallsdaten erzeugt. Ferner wird dieser Schlüssel mit GnuPG verschlüsselt, Sie müssen also die korrekte Passphrase eingeben, um ihn nutzen zu können (Sie werden später aufgefordert, eine Passphrase einzugeben). Zufälliger Schlüssel Lesen Sie bitte den Abschnitt weiter oben über zufällige Schlüssel. Daten löschen: ja Lesen Sie bitte den Abschnitt weiter oben über das Löschen der Daten. Nachdem Sie die gewünschten Parameter für Ihre verschlüsselten Partitionen festgelegt haben, kehren Sie in das Haupt-Partitionierungsmenü zurück. Dort sollte es nun einen neuen Eintrag geben namens Verschlüsselte Datenträger konfigurieren. Wenn Sie ihn ausgewählt haben, werden Sie aufgefordert, das Löschen von zum Entfernen markierten Partitionen zu bestätigen sowie eventuell weiterer Aktionen wie dem Schreiben einer neuen Partitionstabelle. Bei großen Partitionen kann dies eine Weile dauern. Als nächstes müssen Sie für Partitionen, die konfiguriert sind, eine Passphrase zu verwenden, eine eben solche eingeben. Gute Passphrasen sollten länger als 8 Zeichen sein, aus einer Mischung von Buchstaben, Zahlen und anderen Zeichen bestehen und keine Wörter aus allgemeinen Wörterbüchern enthalten oder Informationen, die leicht mit Ihnen in Verbindung gebracht werden könnten (wie Geburtsdaten, Hobbies, Namen oder Kosenamen von Haustieren, Familienmitgliedern oder Angehörigen etc.) Bevor Sie irgendeine Passphrase eingeben, sollten Sie sicherstellen, dass Ihre Tastatur korrekt konfiguriert ist und die erwarteten Zeichen erzeugt. Wenn Sie nicht sicher sind, können Sie auf die zweite virtuelle Konsole wechseln und dort an der Eingabeaufforderung einen Text eingeben. Dies stellt sicher, dass Sie später keine Überraschung erleben, wenn Sie z.B. versuchen, eine Passphrase auf einer qwerty-Tastatur einzugeben, während Sie bei der Installation ein azerty-Layout verwendet haben. Diese Situation kann durch mehrere Gründe hervorgerufen werden: vielleicht haben Sie während der Installation auf ein anderes Tastaturlayout gewechselt oder das gewählte Layout ist eventuell noch nicht eingerichtet gewesen, als Sie die Passphrase für das Root-Dateisystem eingegeben haben. Wenn Sie andere Verschlüsselungsmethoden statt Passphrase gewählt haben, um die Schlüssel zu erzeugen, werden sie jetzt erzeugt. Da der Kernel in diesem frühen Stadium der Installation eventuell noch nicht genügend Zufallsinformationen gesammelt hat, kann dieser Prozess recht lange dauern. Sie können die Erzeugung von Zufallsdaten beschleunigen: z.B. indem Sie zufällig irgendwelche Tasten drücken oder indem Sie auf die Shell der zweiten virtuellen Konsole wechseln und ein bisschen Netzwerk- und Festplattenverkehr erzeugen (z.B. durch das Herunterladen von Dateien, indem Sie einige große Dateien nach /dev/null schicken etc.) Dies wird für jede zu verschlüsselnde Partition wiederholt. Nachdem Sie zum Partitionierungsmenü zurückgekehrt sind, werden Ihnen alle verschlüsselten Dateisysteme als zusätzliche Partitionen angezeigt, die auf die gleiche Art konfiguriert werden können wie gewöhnliche Partitionen. Im folgenden Beispiel sehen Sie zwei verschlüsselte Dateisysteme. Das erste ist mit dm-crypt verschlüsselt, das zweite mit loop-AES. Verschlüsseltes Volume (sda2_crypt) - 115.1 GB Linux device-mapper #1 115.1 GB F ext3 Loopback (loop0) - 515.2 MB AES256 keyfile #1 515.2 MB F ext3 Jetzt ist es Zeit, den Dateisystemen Einhängepunkte zuzuweisen und zusätzlich vielleicht die Dateisystemtypen zu ändern, falls die Standardwerte Ihnen nicht zusagen. Achten Sie auf die Identifikationskennungen, die in Klammern stehen (in diesem Fall sda2_crypt und loop0) sowie auf die Einhängepunkte, die Sie ihnen zugeordnet haben. Sie benötigen diese Informationen später, wenn Sie das neue System starten. Die Unterschiede zwischen einem normalen Boot-Prozess und einem Boot-Prozess mit beteiligten verschlüsselten Dateisystemen wird später im behandelt. Wenn Sie mit dem Partitionierungsschema zufrieden sind, können Sie mit der Installation fortfahren.