path: root/de/using-d-i/modules/partman-crypto.xml

<!-- retain these comments for translator revision tracking -->
<!-- original version: 44026 -->

   <sect3 id="partman-crypto">
   <title>Verschlüsselte Dateisysteme konfigurieren (partman-crypto)</title>
<para>

&d-i; erlaubt es, verschlüsselte Dateisysteme einzurichten. Jede
Datei, die auf eine solche Partition geschrieben wird, wird direkt
in verschlüsselter Form auf dem Gerät gespeichert. Zugriff auf die
verschlüsselten Daten wird nur nach Eingabe der korrekten
<firstterm>Passphrase</firstterm> gewährt, die bei der Erstellung der
verschlüsselten Partition benutzt wurde. Diese Funktion ist z.B. sinnvoll,
um sensible Daten zu schützen, wenn Ihr Laptop oder Ihre Festplatte
gestohlen wird. Der Dieb kann zwar physikalischen Zugriff auf die Platte
haben, aber ohne Kenntnis der richtigen Passphrase werden die Daten
wie zufällig erzeugte Zeichen erscheinen.

</para><para>

Die beiden wichtigsten Partitionen, die Sie verschlüsseln sollten, sind:
Ihre Home-Partition, auf der Ihre privaten Daten liegen und die Swap-Partition,
auf der möglicherweise sensible Daten vorübergehend während des Betriebes
gespeichert werden könnten. Natürlich kann Sie nichts davon abhalten,
auch irgendeine andere Partition zu verschlüsseln, die vielleicht von
Interesse ist. Zum Beispiel <filename>/var</filename>, wo Datenbankserver,
Mailserver oder Printserver ihre Daten ablegen, oder <filename>/tmp</filename>,
das von verschiedensten Programmen genutzt, um potentiell interessante
temporäre Dateien zu speichern. Einige Leute möchten vielleicht sogar ihr
ganzes System verschlüsseln. Die einzige Ausnahme ist die
<filename>/boot</filename>-Partition, die unverschlüsselt bleiben muss,
da es derzeit keinen Weg gibt, einen Kernel von einer verschlüsselten
Partition zu laden.

</para><note><para>

Bedenken Sie bitte, dass die Performance von verschlüsselten Partitionen
geringer ist als die von unverschlüsselten, da die Daten für jeden
Lese- und Schreibvorgang ent- oder verschlüsselt werden müssen. Der
Performance-Unterschied ist abhängig von der Geschwindigkeit Ihrer CPU,
der gewählten Verschlüsselung und der Schlüssellänge.

</para></note><para>

Um Verschlüsselung zu benutzen, müssen Sie evtl. eine neue Partition
erstellen, indem Sie im Haupt-Partitionierungsmenu freien Speicher auswählen.
Eine andere Möglichkeit ist, eine vorhandene Partition (wie z.B. eine
reguläre Partition, ein logisches LVM-Volume oder ein RAID-Volume)
zu verwenden. Im Menü <guimenu>Partitionseinstellungen</guimenu>
müssen Sie unter <menuchoice> <guimenu>Benutzen
als:</guimenu> </menuchoice> den Punkt <guimenuitem>Physikalisches
Volume für Verschlüsselung</guimenuitem> wählen. Es wird dann in
ein anderes Menü gewechselt, das verschiedene Verschlüsselungsoptionen
für die Partition enthält.

</para><para>

&d-i; unterstützt mehrere Verschlüsselungsmethoden. Die Standard-Methode
ist <firstterm>dm-crypt</firstterm> (in neueren Linux-Kernels enthalten;
hat die Fähigkeit, physikalische Volumes für LVM beherbergen zu können).
Die ältere Methode ist <firstterm>loop-AES</firstterm> (älter; wird separat
vom Linux-Kernel-Baum betreut/entwickelt). Wenn Sie keine zwingenden
Gründe dagegen haben, wird empfohlen, den Standard zu verwenden.

<!-- TODO: link to the "Debian block device encryption guide"
     once Max writes it :-) -->

</para><para>

Als erstes wollen wir die Optionen betrachten, die verfügbar sind,
wenn Sie als Verschlüsselungsmethode <userinput>Device-mapper
(dm-crypt)</userinput> wählen. Generell gilt: wenn Sie nicht sicher
sind, verwenden Sie die Standardwerte, da sie unter
Berücksichtigung von Sicherheitsaspekten sorgfältig ausgewählt wurden.

<variablelist>

<varlistentry>
<term>Verschlüsselung: <userinput>aes</userinput></term>

<listitem><para>

Mit dieser Option können Sie den Verschlüsselungsalgorithmus
(<firstterm>cipher</firstterm>) wählen, der genutzt wird, um die Daten
auf der Partition zu verschlüsseln. &d-i; unterstützt derzeit die
folgenden Blockverschlüsselungen: <firstterm>aes</firstterm>,
<firstterm>blowfish</firstterm>, <firstterm>serpent</firstterm> und
<firstterm>twofish</firstterm>. Es ist nicht Ziel dieses Dokuments,
die Qualitäten dieser verschiedenen Algorithmen zu diskutieren, aber
vielleicht hilft es Ihnen bei der Entscheidung, wenn Sie wissen, dass
<emphasis>AES</emphasis> im Jahre 2000 vom American National Institute
of Standards and Technology zum Standard-Verschlüsselungsalgorithmus
für den Schutz sensibler Informationen im 21. Jahrhundert gewählt wurde.

</para></listitem>
</varlistentry>

<varlistentry>
<term>Schlüssellänge: <userinput>256</userinput></term>

<listitem><para>

Hier können Sie die Länge des Schlüssels festlegen. Mit einem größeren
Schlüssel wird generell die Stärke der Verschlüsselung erhöht. Auf der
anderen Seite hat es für gewöhnlich einen negativen Einfluss auf die
Performance, wenn die Länge des Schlüssels vergrößert wird. Die
möglichen Schlüssellängen variieren abhängig vom gewählten Algorithmus.

</para></listitem>
</varlistentry>

<varlistentry>
<term>IV-Algorithmus: <userinput>cbc-essiv:sha256</userinput></term>

<listitem><para>

Der Initialisierungsvektor oder auch <firstterm>IV</firstterm>-Algorithmus
wird in der Kryptographie verwendet, um sicherzustellen, dass die mehrfache
Anwendung einer Verschlüsselung auf den gleichen <firstterm>Klartext</firstterm>
immer unterschiedliche, einzigartige <firstterm>Geheimtexte</firstterm> ergibt.
Dem liegt der Gedanke zugrunde, zu vermeiden, dass der Angreifer aufgrund
von sich wiederholenden Mustern in den verschlüsselten Daten auf die
zu schützenden Informationen schließen kann.

</para><para>

Der Standardwert <userinput>cbc-essiv:sha256</userinput> ist unter den
auszuwählenden Möglichkeiten derzeit der gegen bekannte Angriffe am
wenigsten verwundbare. Sie sollten die anderen Alternativen nur verwenden,
wenn Sie Kompatibilität zu früher installierten Systemen gewährleisten
müssen, die die neueren Algorithmen nicht nutzen können.

</para></listitem>
</varlistentry>

<varlistentry>
<term>Schlüssel: <userinput>Passphrase</userinput></term>

<listitem><para>

Hier können Sie den Typ des Schlüssels für diese Partition wählen.

 <variablelist>
 <varlistentry>
 <term>Passphrase</term>
 <listitem><para>

Der Schlüssel wird errechnet<footnote>
<para>

Das Verwenden einer Passphrase als Schlüssel bedeutet derzeit, dass
die Partition unter Benutzung von <ulink url="&url-luks;">LUKS</ulink>
eingerichtet wird.

</para></footnote> auf Basis einer Passphrase, die Sie später im Prozess
eingeben müssen.

 </para></listitem>
 </varlistentry>

 <varlistentry>
 <term>Zufälliger Schlüssel</term>
 <listitem><para>

Jedes Mal, wenn Sie versuchen, die verschlüsselte Partition zu aktivieren,
wird ein neuer Schlüssel aus zufälligen Daten erzeugt. Mit anderen Worten:
nach jedem Herunterfahren des Systems ist der Inhalt der Partition
verloren, da der Schlüssel aus dem Speicher gelöscht wird. (Sie könnten
natürlich versuchen, mittels einer Brute-Force-Attacke den Schlüssel zu
erraten, aber dies wird innerhalb eines Menschenlebens wohl nicht machbar
sein, es sei denn, es gibt eine unbekannte Schwäche im
Verschlüsselungsalgorithmus.)

 </para><para>

Zufällige Schlüssel sind nützlich für Swap-Partitionen, da man sich nicht
damit beschäftigen muss, sich an die Passphrase zu erinnern oder sensible
Informationen vor dem Herunterfahren des Systems von der Swap-Partition
zu löschen. Allerdings bedeutet dies, dass Sie <emphasis>nicht</emphasis>
die <quote>Suspend-to-Disk</quote>-Funktion nutzen können, die von
neueren Linux-Kernels angeboten wird, da es unmöglich sein wird, die Daten,
die auf die Swap-Partition geschrieben wurden, nach dem nächsten Start
wiederherzustellen.

 </para></listitem>
 </varlistentry>
 </variablelist>

</para></listitem>
</varlistentry>

<varlistentry>
<term>Daten löschen: <userinput>ja</userinput></term>

<listitem><para>

Legt fest, ob der Inhalt dieser Partition mit Zufallsdaten überschrieben
werden soll, bevor die Verschlüsselung eingerichtet wird. Dies wird
empfohlen, da es andernfalls für einen Angreifer möglich wäre, zu erkennen,
welche Teile der Partition genutzt sind und welche nicht. Und zusätzlich
wird hierdurch erschwert, übrig gebliebene Daten von früheren
Installationen wiederherzustellen<footnote><para>

Man glaubt allerdings, dass die Jungs vom Geheimdienst Daten sogar noch nach
mehrfachem Überschreiben des magneto-optischen Mediums wiederherstellen
können.

</para></footnote>.

</para></listitem>
</varlistentry>

</variablelist>

</para><para>

Wenn Sie <menuchoice> <guimenu>Verschlüsselungsmethode:</guimenu>
<guimenuitem>Loopback (loop-AES)</guimenuitem> </menuchoice> wählen,
werden im Menü andere Optionen angeboten, und zwar:

<variablelist>
<varlistentry>
<term>Verschlüsselung: <userinput>AES256</userinput></term>

<listitem><para>

Bei loop-AES werden, anders als bei dm-crypt, die Optionen für den
Algorithmus (<firstterm>cipher</firstterm>) und die Schlüssellänge
kombiniert, das heißt, Sie können beide Optionen gleichzeitig angeben.
Lesen Sie die vorherigen Abschnitte über Verschlüsselungsalgorithmen
und Schlüssellängen für weitere Infos.

</para></listitem>
</varlistentry>

<varlistentry>
<term>Schlüssel: <userinput>Schlüsseldatei (GnuPG)</userinput></term>

<listitem><para>

Hier können Sie den Typ des Schlüssels für diese Partition auswählen.

 <variablelist>
 <varlistentry>
 <term>Schlüsseldatei (GnuPG)</term>
 <listitem><para>

Der Schlüssel wird während der Installation aus Zufallsdaten erzeugt.
Ferner wird dieser Schlüssel mit <application>GnuPG</application>
verschlüsselt, Sie müssen also die korrekte Passphrase eingeben, um
ihn nutzen zu können (Sie werden später aufgefordert, eine Passphrase
einzugeben).

 </para></listitem>
 </varlistentry>

 <varlistentry>
 <term>Zufälliger Schlüssel</term>
 <listitem><para>

Lesen Sie bitte den Abschnitt weiter oben über zufällige Schlüssel.

 </para></listitem>
 </varlistentry>
 </variablelist>

</para></listitem>
</varlistentry>

<varlistentry>
<term>Daten löschen: <userinput>ja</userinput></term>

<listitem><para>

Lesen Sie bitte den Abschnitt weiter oben über das Löschen der Daten.

</para></listitem>
</varlistentry>

</variablelist>

</para>
<note condition="gtk"><para>

Beachten Sie bitte, dass die <emphasis>grafische</emphasis> Version
des Installers noch einige Einschränkungen hat im Vergleich zur
Textversion. Im Bereich Verschlüsselung bedeutet das, dass Sie nur
Dateisysteme einrichten können, die eine <emphasis>Passphrase</emphasis>
als Schlüssel verwenden.

</para></note>
<para>

Nachdem Sie die gewünschten Parameter für Ihre verschlüsselten
Partitionen festgelegt haben, kehren Sie in das Haupt-Partitionierungsmenü
zurück. Dort sollte es nun einen neuen Eintrag geben namens
<guimenu>Verschlüsselte Datenträger konfigurieren</guimenu>. Wenn Sie
ihn ausgewählt haben, werden Sie aufgefordert, das Löschen von zum
Entfernen markierten Partitionen zu bestätigen sowie evtl. weiterer
Aktionen wie dem Schreiben einer neuen Partitionstabelle. Bei großen
Partitionen kann dies eine Weile dauern.

</para><para>

Als nächstes müssen Sie für Partitionen, die konfiguriert sind, eine
Passphrase zu verwenden, eine eben solche eingeben. Gute Passphrasen
sollten länger als 8 Zeichen sein, aus einer Mischung von Buchstaben,
Zahlen und anderen Zeichen bestehen und keine Wörter aus allgemeinen
Wörterbüchern enthalten oder Informationen, die leicht mit Ihnen in
Verbindung gebracht werden könnten (wie Geburtsdaten, Hobbies, Namen
oder Kosenamen von Haustieren, Familienmitgliedern oder Angehörigen etc.)

</para><warning><para>

Bevor Sie irgendeine Passphrase eingeben, sollten Sie sicherstellen,
dass Ihre Tastatur korrekt konfiguriert ist und die erwarteten Zeichen
erzeugt. Wenn Sie nicht sicher sind, können Sie auf die zweite virtuelle
Konsole wechseln und dort an der Eingabeaufforderung einen Text eingeben.
Dies stellt sicher, dass Sie später keine Überraschung erleben, wenn Sie
z.B. versuchen, eine Passphrase auf einer qwerty-Tastatur einzugeben,
während Sie bei der Installation ein azerty-Layout verwendet haben.
Diese Situation kann durch mehrere Gründe hervorgerufen werden: vielleicht
haben Sie während der Installation auf ein anderes Tastaturlayout gewechselt
oder das gewählte Layout ist evtl. noch nicht eingerichtet gewesen, als
Sie die Passphrase für das root-Dateisystem eingegeben haben.

</para></warning><para>

Wenn Sie andere Verschlüsselungsmethoden statt Passphrase gewählt
haben, um die Schlüssel zu erzeugen, werden sie jetzt erzeugt. Da der
Kernel in diesem frühen Stadium der Installation evtl. noch nicht
genügend Zufallsinformationen gesammelt hat, kann dieser Prozess recht
lange dauern. Sie können die Erzeugung von Zufallsdaten beschleunigen:
z.B. indem Sie zufällig irgendwelche Tasten drücken oder indem Sie
auf die Shell der zweiten virtuellen Konsole wechseln und ein bisschen
Netzwerk- und Festplattenverkehr erzeugen (z.B. durch das Herunterladen von
Dateien, indem Sie einige große Dateien nach <filename>/dev/null</filename>
schicken etc.)

<!-- TODO: Mention hardware random generators when we will support
     them -->

Dies wird für jede zu verschlüsselnde Partition wiederholt.

</para><para>

Nachdem Sie zum Partitionierungsmenü zurückgekehrt sind, werden Ihnen
alle verschlüsselten Dateisysteme als zusätzliche Partitionen angezeigt,
die auf die gleiche Art konfiguriert werden können wie gewöhnliche Partitionen.
Im folgenden Beispiel sehen Sie zwei verschlüsselte Dateisysteme. Das
erste ist mit dm-crypt verschlüsselt, das zweite mit loop-AES.

<informalexample><screen>
Verschlüsseltes Volume (<replaceable>sda2_crypt</replaceable>) - 115.1 GB Linux device-mapper
     #1 115.1 GB  F ext3

Loopback (<replaceable>loop0</replaceable>) - 515.2 MB AES256 keyfile
     #1 515.2 MB  F ext3
</screen></informalexample>

Jetzt ist es Zeit, den Dateisystemen Einhängepunkte zuzuweisen und
zusätzlich vielleicht die Dateisystemtypen zu ändern, falls die
Standardwerte Ihnen nicht zusagen.

</para><para>

Sie sollten sich auch noch die Identifikationskennungen, die in Klammern
stehen, notieren (in diesem Fall <replaceable>sda2_crypt</replaceable>
und <replaceable>loop0</replaceable>) sowie die Einhängepunkte, die Sie
ihnen zugeordnet haben. Sie benötigen diese Informationen später, wenn Sie
das neue System starten. Die Unterschiede zwischen einem normalen Boot-Prozess
und einem Boot-Prozess mit beteiligten verschlüsselten Dateisystemen wird
weiter unten im <xref linkend="mount-encrypted-volumes"/> behandelt.

</para><para>

Wenn Sie mit dem Partitionierungsschema zufrieden sind, können Sie mit der
Installation fortfahren.

</para>
   </sect3>