1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
|
<!-- retain these comments for translator revision tracking -->
<!-- original version: 43576 -->
<sect3 id="partman-crypto">
<title>Verschlüsselte Dateisysteme konfigurieren (partman-crypto)</title>
<para>
&d-i; erlaubt es, verschlüsselte Dateisysteme einzurichten. Jede
Datei, die auf eine solche Partition geschrieben wird, wird direkt
in verschlüsselter Form auf dem Gerät gespeichert. Zugriff auf die
verschlüsselten Daten wird nur nach Eingabe der korrekten
<firstterm>Passphrase</firstterm> gewährt, die bei der Erstellung der
verschlüsselten Partition benutzt wurde. Diese Funktion ist z.B. sinnvoll,
um sensible Daten zu schützen, wenn Ihr Laptop oder Ihre Festplatte
gestohlen wird. Der Dieb kann zwar physikalischen Zugriff auf die Platte
haben, aber ohne Kenntnis der richtigen Passphrase werden die Daten
wie zufällig erzeugte Zeichen erscheinen.
</para><para>
Die beiden wichtigsten Partitionen, die Sie verschlüsseln sollten, sind:
Ihre Home-Partition, auf der Ihre privaten Daten liegen und die Swap-Partition,
auf der möglicherweise sensible Daten vorübergehend während des Betriebes
gespeichert werden könnten. Natürlich kann Sie nichts davon abhalten,
auch irgendeine andere Partition zu verschlüsseln, die vielleicht von
Interesse ist. Zum Beispiel <filename>/var</filename>, wo Datenbankserver,
Mailserver oder Printserver ihre Daten ablegen, oder <filename>/tmp</filename>,
das von verschiedensten Programmen genutzt, um potentiell interessante
temporäre Dateien zu speichern. Einige Leute möchten vielleicht sogar ihr
ganzes System verschlüsseln. Die einzige Ausnahme ist die
<filename>/boot</filename>-Partition, die unverschlüsselt bleiben muss,
da es derzeit keinen Weg gibt, einen Kernel von einer verschlüsselten
Partition zu laden.
</para><note><para>
Bedenken Sie bitte, dass die Performance von verschlüsselten Partitionen
geringer ist als die von unverschlüsselten, da die Daten für jeden
Lese- und Schreibvorgang ent- oder verschlüsselt werden müssen. Der
Performance-Unterschied ist abhängig von der Geschwindigkeit Ihrer CPU,
der gewählten Verschlüsselung und der Schlüssellänge.
</para></note><para>
Um Verschlüsselung zu benutzen, müssen Sie evtl. eine neue Partition
erstellen, indem Sie im Haupt-Partitionierungsmenu freien Speicher auswählen.
Eine andere Möglichkeit ist, eine vorhandene Partition (wie z.B. eine
reguläre Partition, ein logisches LVM-Volume oder ein RAID-Volume)
zu verwenden. Im Menü <guimenu>Partitionseinstellungen</guimenu>
müssen Sie unter <menuchoice> <guimenu>Benutzen
als:</guimenu> </menuchoice> den Punkt <guimenuitem>Physikalisches
Volume für Verschlüsselung</guimenuitem> wählen. Es wird dann in
ein anderes Menü gewechselt, das verschiedene Verschlüsselungsoptionen
für die Partition enthält.
</para><para>
&d-i; unterstützt mehrere Verschlüsselungsmethoden. Die Standard-Methode
ist <firstterm>dm-crypt</firstterm> (in neueren Linux-Kernels enthalten;
hat die Fähigkeit, physikalische Volumes für LVM beherbergen zu können).
Die ältere Methode ist <firstterm>loop-AES</firstterm> (älter; wird separat
vom Linux-Kernel-Baum betreut/entwickelt). Wenn Sie keine zwingenden
Gründe dagegen haben, wird empfohlen, den Standard zu verwenden.
<!-- TODO: link to the "Debian block device encryption guide"
once Max writes it :-) -->
</para><para>
Als erstes wollen wir die Optionen betrachten, die verfügbar sind,
wenn Sie als Verschlüsselungsmethode <userinput>Device-mapper
(dm-crypt)</userinput> wählen. Generell gilt: wenn Sie nicht sicher
sind, verwenden Sie die Standardwerte, da sie unter
Berücksichtigung von Sicherheitsaspekten sorgfältig ausgewählt wurden.
<variablelist>
<varlistentry>
<term>Verschlüsselung: <userinput>aes</userinput></term>
<listitem><para>
Mit dieser Option können Sie den Verschlüsselungsalgorithmus
(<firstterm>cipher</firstterm>) wählen, der genutzt wird, um die Daten
auf der Partition zu verschlüsseln. &d-i; unterstützt derzeit die
folgenden Blockverschlüsselungen: <firstterm>aes</firstterm>,
<firstterm>blowfish</firstterm>, <firstterm>serpent</firstterm> und
<firstterm>twofish</firstterm>. Es ist nicht Ziel dieses Dokuments,
die Qualitäten dieser verschiedenen Algorithmen zu diskutieren, aber
vielleicht hilft es Ihnen bei der Entscheidung, wenn Sie wissen, dass
<emphasis>AES</emphasis> im Jahre 2000 vom American National Institute
of Standards and Technology zum Standard-Verschlüsselungsalgorithmus
für den Schutz sensibler Informationen im 21. Jahrhundert gewählt wurde.
</para></listitem>
</varlistentry>
<varlistentry>
<term>Schlüssellänge: <userinput>256</userinput></term>
<listitem><para>
Hier können Sie die Länge des Schlüssels festlegen. Mit einem größeren
Schlüssel wird generell die Stärke der Verschlüsselung erhöht. Auf der
anderen Seite hat es für gewöhnlich einen negativen Einfluss auf die
Performance, wenn die Länge des Schlüssels vergrößert wird. Die
möglichen Schlüssellängen variieren abhängig vom gewählten Algorithmus.
</para></listitem>
</varlistentry>
<varlistentry>
<term>IV-Algorithmus: <userinput>cbc-essiv:sha256</userinput></term>
<listitem><para>
Der Initialisierungsvektor oder auch <firstterm>IV</firstterm>-Algorithmus
wird in der Kryptographie verwendet, um sicherzustellen, dass die mehrfache
Anwendung einer Verschlüsselung auf den gleichen <firstterm>Klartext</firstterm>
immer unterschiedliche, einzigartige <firstterm>Geheimtexte</firstterm> ergibt.
Dem liegt der Gedanke zugrunde, zu vermeiden, dass der Angreifer aufgrund
von sich wiederholenden Mustern in den verschlüsselten Daten auf die
zu schützenden Informationen schließen kann.
</para><para>
Der Standardwert <userinput>cbc-essiv:sha256</userinput> ist unter den
auszuwählenden Möglichkeiten derzeit der gegen bekannte Angriffe am
wenigsten verwundbare. Sie sollten die anderen Alternativen nur verwenden,
wenn Sie Kompatibilität zu früher installierten Systemen gewährleisten
müssen, die die neueren Algorithmen nicht nutzen können.
</para></listitem>
</varlistentry>
<varlistentry>
<term>Schlüssel: <userinput>Passphrase</userinput></term>
<listitem><para>
Hier können Sie den Typ des Schlüssels für diese Partition wählen.
<variablelist>
<varlistentry>
<term>Passphrase</term>
<listitem><para>
Der Schlüssel wird errechnet<footnote>
<para>
Das Verwenden einer Passphrase als Schlüssel bedeutet derzeit, dass
die Partition unter Benutzung von <ulink url="&url-luks;">LUKS</ulink>
eingerichtet wird.
</para></footnote> auf Basis einer Passphrase, die Sie später im Prozess
eingeben müssen.
</para></listitem>
</varlistentry>
<varlistentry>
<term>Zufälliger Schlüssel</term>
<listitem><para>
Jedes Mal, wenn Sie versuchen, die verschlüsselte Partition zu aktivieren,
wird ein neuer Schlüssel aus zufälligen Daten erzeugt. Mit anderen Worten:
nach jedem Herunterfahren des Systems ist der Inhalt der Partition
verloren, da der Schlüssel aus dem Speicher gelöscht wird. (Sie könnten
natürlich versuchen, mittels einer Brute-Force-Attacke den Schlüssel zu
erraten, aber dies wird innerhalb eines Menschenlebens wohl nicht machbar
sein, es sei denn, es gibt eine unbekannte Schwäche im
Verschlüsselungsalgorithmus.)
</para><para>
Zufällige Schlüssel sind nützlich für Swap-Partitionen, da man sich nicht
damit beschäftigen muss, sich an die Passphrase zu erinnern oder sensible
Informationen vor dem Herunterfahren des Systems von der Swap-Partition
zu löschen. Allerdings bedeutet dies, dass Sie <emphasis>nicht</emphasis>
die <quote>Suspend-to-Disk</quote>-Funktion nutzen können, die von
neueren Linux-Kernels angeboten wird, da es unmöglich sein wird, die Daten,
die auf die Swap-Partition geschrieben wurden, nach dem nächsten Start
wiederherzustellen.
</para></listitem>
</varlistentry>
</variablelist>
</para></listitem>
</varlistentry>
<varlistentry>
<term>Daten löschen: <userinput>ja</userinput></term>
<listitem><para>
Legt fest, ob der Inhalt dieser Partition mit Zufallsdaten überschrieben
werden soll, bevor die Verschlüsselung eingerichtet wird. Dies wird
empfohlen, da es andernfalls für einen Angreifer möglich wäre, zu erkennen,
welche Teile der Partition genutzt sind und welche nicht. Und zusätzlich
wird hierdurch erschwert, übrig gebliebene Daten von früheren
Installationen wiederherzustellen<footnote><para>
Man glaubt allerdings, dass die Jungs vom Geheimdienst Daten sogar noch nach
mehrfachem Überschreiben des magneto-optischen Mediums wiederherstellen
können.
</para></footnote>.
</para></listitem>
</varlistentry>
</variablelist>
</para><para>
Wenn Sie <menuchoice> <guimenu>Verschlüsselungsmethode:</guimenu>
<guimenuitem>Loopback (loop-AES)</guimenuitem> </menuchoice> wählen,
werden im Menü andere Optionen angeboten, und zwar:
<variablelist>
<varlistentry>
<term>Verschlüsselung: <userinput>AES256</userinput></term>
<listitem><para>
Bei loop-AES werden, anders als bei dm-crypt, die Optionen für den
Algorithmus (<firstterm>cipher</firstterm>) und die Schlüssellänge
kombiniert, das heißt, Sie können beide Optionen gleichzeitig angeben.
Lesen Sie die vorherigen Abschnitte über Verschlüsselungsalgorithmen
und Schlüssellängen für weitere Infos.
</para></listitem>
</varlistentry>
<varlistentry>
<term>Schlüssel: <userinput>Schlüsseldatei (GnuPG)</userinput></term>
<listitem><para>
Hier können Sie den Typ des Schlüssels für diese Partition auswählen.
<variablelist>
<varlistentry>
<term>Schlüsseldatei (GnuPG)</term>
<listitem><para>
Der Schlüssel wird während der Installation aus Zufallsdaten erzeugt.
Ferner wird dieser Schlüssel mit <application>GnuPG</application>
verschlüsselt, Sie müssen also die korrekte Passphrase eingeben, um
ihn nutzen zu können (Sie werden später aufgefordert, eine Passphrase
einzugeben).
</para></listitem>
</varlistentry>
<varlistentry>
<term>Zufälliger Schlüssel</term>
<listitem><para>
Lesen Sie bitte den Abschnitt weiter oben über zufällige Schlüssel.
</para></listitem>
</varlistentry>
</variablelist>
</para></listitem>
</varlistentry>
<varlistentry>
<term>Daten löschen: <userinput>ja</userinput></term>
<listitem><para>
Lesen Sie bitte den Abschnitt weiter oben über das Löschen der Daten.
</para></listitem>
</varlistentry>
</variablelist>
</para><note><para>
Beachten Sie bitte, dass die <emphasis>grafische</emphasis> Version
des Installers noch einige Einschränkungen hat im Vergleich zur
Textversion. Im Bereich Verschlüsselung bedeutet das, dass Sie nur
Dateisysteme einrichten können, die <emphasis>Passphrase</emphasis> als
Schlüsseltyp verwenden.
</para></note><para>
Nachdem Sie die gewünschten Parameter für Ihre verschlüsselten
Partitionen festgelegt haben, kehren Sie in das Haupt-Partitionierungsmenü
zurück. Dort sollte es nun einen neuen Eintrag geben namens
<guimenu>Verschlüsselte Datenträger konfigurieren</guimenu>. Wenn Sie
ihn ausgewählt haben, werden Sie aufgefordert, das Löschen von zum
Entfernen markierten Partitionen zu bestätigen sowie evtl. weiterer
Aktionen wie dem Schreiben einer neuen Partitionstabelle. Bei großen
Partitionen kann dies eine Weile dauern.
</para><para>
Als nächstes müssen Sie für Partitionen, die konfiguriert sind, eine
Passphrase zu verwenden, eine eben solche eingeben. Gute Passphrasen
sollten länger als 8 Zeichen sein, aus einer Mischung von Buchstaben,
Zahlen und anderen Zeichen bestehen und keine Wörter aus allgemeinen
Wörterbüchern enthalten oder Informationen, die leicht mit Ihnen in
Verbindung gebracht werden könnten (wie Geburtsdaten, Hobbies, Namen
oder Kosenamen von Haustieren, Familienmitgliedern oder Angehörigen etc.)
</para><warning><para>
Bevor Sie irgendeine Passphrase eingeben, sollten Sie sicherstellen,
dass Ihre Tastatur korrekt konfiguriert ist und die erwarteten Zeichen
erzeugt. Wenn Sie nicht sicher sind, können Sie auf die zweite virtuelle
Konsole wechseln und dort an der Eingabeaufforderung einen Text eingeben.
Dies stellt sicher, dass Sie später keine Überraschung erleben, wenn Sie
z.B. versuchen, eine Passphrase auf einer qwerty-Tastatur einzugeben,
während Sie bei der Installation ein azerty-Layout verwendet haben.
Diese Situation kann durch mehrere Gründe hervorgerufen werden: vielleicht
haben Sie während der Installation auf ein anderes Tastaturlayout gewechselt
oder das gewählte Layout ist evtl. noch nicht eingerichtet gewesen, als
Sie die Passphrase für das root-Dateisystem eingegeben haben.
</para></warning><para>
Wenn Sie andere Verschlüsselungsmethoden statt Passphrase gewählt
haben, um die Schlüssel zu erzeugen, werden sie jetzt erzeugt. Da der
Kernel in diesem frühen Stadium der Installation evtl. noch nicht
genügend Zufallsinformationen gesammelt hat, kann dieser Prozess recht
lange dauern. Sie können die Erzeugung von Zufallsdaten beschleunigen:
z.B. indem Sie zufällig irgendwelche Tasten drücken oder indem Sie
auf die Shell der zweiten virtuellen Konsole wechseln und ein bisschen
Netzwerk- und Festplattenverkehr erzeugen (z.B. durch das Herunterladen von
Dateien, indem Sie einige große Dateien nach <filename>/dev/null</filename>
schicken etc.)
<!-- TODO: Mention hardware random generators when we will support
them -->
Dies wird für jede zu verschlüsselnde Partition wiederholt.
</para><para>
Nachdem Sie zum Partitionierungsmenü zurückgekehrt sind, werden Ihnen
alle verschlüsselten Dateisysteme als zusätzliche Partitionen angezeigt,
die auf die gleiche Art konfiguriert werden können wie gewöhnliche Partitionen.
Im folgenden Beispiel sehen Sie zwei verschlüsselte Dateisysteme. Das
erste ist mit dm-crypt verschlüsselt, das zweite mit loop-AES.
<informalexample><screen>
Verschlüsseltes Volume (<replaceable>sda2_crypt</replaceable>) - 115.1 GB Linux device-mapper
#1 115.1 GB F ext3
Loopback (<replaceable>loop0</replaceable>) - 515.2 MB AES256 keyfile
#1 515.2 MB F ext3
</screen></informalexample>
Jetzt ist es Zeit, den Dateisystemen Einhängepunkte zuzuweisen und
zusätzlich vielleicht die Dateisystemtypen zu ändern, falls die
Standardwerte Ihnen nicht zusagen.
</para><para>
Sie sollten sich auch noch die Identifikationskennungen, die in Klammern
stehen, notieren (in diesem Fall <replaceable>sda2_crypt</replaceable>
und <replaceable>loop0</replaceable>) sowie die Einhängepunkte, die Sie
ihnen zugeordnet haben. Sie benötigen diese Informationen später, wenn Sie
das neue System starten. Die Unterschiede zwischen einem normalen Boot-Prozess
und einem Boot-Prozess mit beteiligten verschlüsselten Dateisystemen wird
weiter unten im <xref linkend="mount-encrypted-volumes"/> behandelt.
</para><para>
Wenn Sie mit dem Partitionierungsschema zufrieden sind, können Sie mit der
Installation fortfahren.
</para>
</sect3>
|