Homeverzeichnis verschlüsseln

[lenaflower]

Hallo,
vielleicht könnt ihr mir dabei weiterhelfen: Ich habe Debian 7 frisch installiert und möchte einen neuen Nutzer anlegen und dessen Homeverzeichnis verschlüsseln. Deshalb habe ich mir schon mal ecryptfs-utils installiert. Wenn ich den Befehl adduser --encrypt-home papa ausführe, sagt mir eine Fehlermeldung, dass ich die Syntax nicht beachtet hätte. In mehreren Anleitungen ist dieses Vorgehen geschildet, jedoch funktioniert es an dieser Stelle net.

 

[Matthew Sobol]

bin kein linux experte, aber bei adduser gibt es keine option encrypt - kann das sein?

 

[NemesisFS]

Ich wüsste nicht, dass adduser so eine Option bietet. Eine kurze Recherche ergab, dass du entweder den User anlegen und den ecrypt-setup ausführen musst:

adduser papa
ecryptfs-setup-private -u papa

oder, wenn der user schon existiert das home verzeichnis migrieren: (der nutzer darf dabei nicht eingelogt sein!)

ecryptfs-migrate-home -u papa

weitere infos findest du in den man-pages:

man ecryptfs-setup-private
man ecryptfs-migrate-home

 

[lenaflower]

bin kein linux experte, aber bei adduser gibt es keine option encrypt - kann das sein?

Nee, falsch. Siehe hier: http://wiki.ubuntuusers.de/ecryptfs/Einrichten?highlight=Homeverzeichnis#Zusaetzlicher-Benutzer

Kann des sein, dass sowas nur mit Ubuntu geht?

 

[Troublegum]

Schaut so aus. Im upstream-Paket ist davon nichts zu sehen. Das ist wirklich nur im Ubuntu-Paket drin.

 

[GrandTheft]

Alternativ kannst Du aus /home einen dm-crypt/luks container machen. Die Lösung, die Du vorhast, verschlüsselt auf Dateiebene (Einzeldateien).
Hast Du Dich da schon festgelegt?

 

[lenaflower]

Die Lösung, die Du vorhast, verschlüsselt auf Dateiebene (Einzeldateien).

Falsch. Das hat der FemisisFS da so rein interpretiert. Einen solchen Ansatz hatte ich nie vor. Ich möchte nur eins: Einen neuen Benutzer X anlegen und dessen Homeverzeichnis verschlüsseln. Das Homeverzeichnis von Nutzer X soll nach dessen Anmeldung am System automatisch entschlüsselt werden.

Alternativ kannst Du aus /home einen dm-crypt/luks container machen.

Wie geht das? Welche Pakete brauch ich? Wenn das Homeverzeichnis nach der Anmeldung entschlüsselt wird, könnte ich mir das auch vorstellen.

 

[Daaron]

. Das Homeverzeichnis von Nutzer X soll nach dessen Anmeldung am System automatisch entschlüsselt werden.

Zumindest unter Ubuntu ist genau das das normale Verhalten, wenn ecryptfs verwendet wird.
Spricht etwas gegen einen Wechsel von Debian 7 zu Ubuntu 12.04? Ubuntu Precise bietet fast dieselben Pakete wie Debian 7, primäre Unterschiede sind eine etwas ältere PHP-Version (5.3 statt 5.4), dafür ein viel neuerer Kernel (3.8 statt 3.2).

Was den LUKS - Container angeht: Ich glaube nicht, dass das klappen wird. Wenn alle Teile von /home/ im selben Container liegen, dann wird doch jedes Home-Verzeichnis (bzw. die ganze Partition/der ganze Container) auf einmal entschlüsselt, sobald man auf eines zugreifen will. Der Trick an ecryptFS ist doch gerade, dass jeder User seinen eigenen Crypto-Bereich hat, den er unabhängig von anderen Usern ver- und entschlüsseln kann.

 

[10hmbAir13]

welchen Sinn machte überhaupt eine komplett-home-Verschlüsselung?
Geht da die Gesamtperformance nicht in die Knie?
Legt man da nicht besser einen TrueCrypt-Container an und haut die ganzen sensiblen Daten da rein?

 

[ebast]

Und einen Truecrypt-Container anlegen und alles da reinhauen geht dann auf magische Art und Weise schneller...? Komplettverschlüsselung ist kein Problem der Performance. Wenn man nen Prozessor mit AES-Unterstützung hat, geht das Ent-/Verschlüsseln schneller vonstatten als man von dem Speichermedium lesen kann.

Ist zwar jetzt eher was für Fortgeschrittenere, aber man könnte aber auch für jeden Benutzer einen luks-Container anlegen und ein Login-Skript schreiben, welches beim Anmelden den Container öffnet.

 

[10hmbAir13]

Komplettverschlüsselung ist kein Problem der Performance. Wenn man nen Prozessor mit AES-Unterstützung hat, geht das Ent-/Verschlüsseln schneller vonstatten als man von dem Speichermedium lesen kann.

AES-Unterstützung? geht es da nicht erst bei den Quadcores mal los?
Welche Standard-notebooks haben einen Quadcore verbaut, welcher AES groß supportet?

 

[kernel panic]

@10hmbAir13
AES-Unterstützung haben die Intels ab i5 (ka ob die ersten auch schon, aber mein i5-2520m hat es und ist ein Dual-Core mit HT), bei AMD ist die Unterstützung auch schon eine Weile vorhanden, aber mein Phenom 2 x4 945 hat es noch nicht und ist somit als Quadcore langsamer als mein Notebook (laut TrueCrypt Benchmark 400MB/s zu 1GB/s (wenn ich mich richtig erinnere)).

 

[Sensei21]

wenn man keinen Prozessor mit aes-ni Beschleunigung hat, ist es nicht so schlimm (ich hab z.B. einen Core i7, der noch keine AVX-Befehle unterstützt), twofish bzw. aes-Verschlüsselung scheint dennoch ohne Geschwindigkeitsverlust bzw. mit voller Geschwindigkeit zu laufen

dank:

- pcrypt
- Parallelisierung von dmcrypt
- Parallelisierung von aes, twofish, etc. (3-way paralllel cipher)
- ssse3-Beschleunigung von einigen Hashes (SHA)
- sse2-Beschleunigung von z.B. serpent

wie schnell das ganze im Vergleich zu Truecrypt ist, weiß ich nicht eines ist aber sicher: es ist im Linux Kernel und dadurch öffentlich einsehbar und sollte in der Hinsicht mehr audits unterzogen worden sein als Truecrypt


mit neueren Prozessoren wird das ganze zusätzlich via AVX beschleunigt (twofish, serpent, camellia, cast5, cast6, ...)


Quelle: http://lxr.free-electrons.com/source/arch/x86/crypto/Makefile

 

[Daaron]

welchen Sinn machte überhaupt eine komplett-home-Verschlüsselung?
Geht da die Gesamtperformance nicht in die Knie?

Der Sinn? Jeder USER hat seine eigenen Crypt-Container, der ALLES umfasst. Das fängt bei Dateien an, hört aber bei den im Browser gespeicherten Passwörtern noch lange nicht auf. Nicht einmal Root kommt an den Scheiß ran, wenn du es nicht willst, das ist der Vorteil.

Der Performance tut das auch ohne AES-fähige CPU keinen Abbruch, der Flaschenhals ist eh die Festplatte, nicht die CPU.

Und was TrueCrypt angeht: Quasi-proprietärer Mumpitz, bei dem du (außer du kompilierst selbst) auf Gedeih und Verderb dem Anbieter ausgeliefert bist.
ecryptFS ist auf jeden Fall vorzuziehen. Schneller, leichter, verführerischer... und 100% FOSS.

 

[ebast]

Hm, also ich hab encfs jetzt noch nicht eingesetzt, sondern nur luks, aber ich denke, dass encfs unter dem selben Problem "leidet": Sobald der Container geöffnet ist, kann man die verschlüsselten Daten im entsprechenden Mountpunkt einsehen. Insofern hat man da auch nur solange Schutz vor den Zugriff von root, solange man nicht auf seine Daten zugreift.

 

[Sensei21]

den Zugriff kann man auf bestimmte Benutzer beschränken (z.B. via grsecurity Kernel-Patchset)

aber ob root außen vor ist, weiß ich jetzt nicht

 

[lenaflower]

Ja, und zwar folgende:
- Ubuntu ist schon lang nciht mehr das was es mal war
- Ubuntu spaltet sich zu sehr vom "normalen" Linux ab d. h. die kochen ihre eigene Suppe
- Der Standard-Desktop ist zwar für mich als Frau zwar schön pink/rosa aber ist echt übelst langsam auf meinem PC seit der 3D-Unity-Variante weil die CPU für Grafikeffekte benutzt wird. Ich weiß es gibt Alternativen, aber der Gnome Fallback Mode von Debian finde ich gut.
- Die neuen Kernels (auch 3.8) funktionieren nicht mehr mit meinem PC, d. h. Installation super, aber der erste Neustat und alle weiteren schlagen fehl mit der Fehlermeldung: Kernel Panic Error Can not decompressing kernel (oder so ähnlich)
- Wenn ich jetzt wieder zu Ubuntu gehe nur wegen dem, werde ich so oder so in ein paar Jahren (vielleicht 2017 mit Ablauf des Supports von 12.04) wieder zu Debian wechseln, weil die ganzen Ubuntu spezifischen Dinge mich nicht ansprechen (Shopping Lense, 3D-Unity, ...)




[QUTOTE]Was den LUKS - Container angeht: Ich glaube nicht, dass das klappen wird. Wenn alle Teile von /home/ im selben Container liegen, dann wird doch jedes Home-Verzeichnis (bzw. die ganze Partition/der ganze Container) auf einmal entschlüsselt, sobald man auf eines zugreifen will. Der Trick an ecryptFS ist doch gerade, dass jeder User seinen eigenen Crypto-Bereich hat, den er unabhängig von anderen Usern ver- und entschlüsseln kann.

 

[Daaron]

- Ubuntu ist schon lang nciht mehr das was es mal war

War ein einfach zu installierender Debian-Derivat, ist ein einfach zu installierendes Debian-Derivat...

- Ubuntu spaltet sich zu sehr vom "normalen" Linux ab d. h. die kochen ihre eigene Suppe

Ja, vor allem in so fiesen Aspekten wie adduser --ecrypt-home... Verdammt. Manchmal sind Innovationen tatsächlich ne gute Sache. Sie erhöhen den Druck auf die eingefahrenen Wege. Auch MIR kann durchaus was Positives bringen, z.B. könnte MIR den Druck auf die Wayland-Entwickler erhöhen, ihren Support für Nicht-KMS - Treiber (z.B. den proprietären NVidia) zu verbessern....
Niemand zwingt dich, MIR und Unity zu verwenden. Gnome3, Xfce, KDE,... stehen dir alle offen und sind 1:1 wie bei Debian, höchstens etwas aktueller. DAs heißt auch: Wayland wird kommen, entweder direkt oder per PPA. Geht nicht anders, denn Gnome&Co werden wohl nicht auf MIR laufen.

- Der Standard-Desktop ist zwar für mich als Frau zwar schön pink/rosa aber ist echt übelst langsam auf meinem PC seit der 3D-Unity-Variante weil die CPU für Grafikeffekte benutzt wird. Ich weiß es gibt Alternativen, aber der Gnome Fallback Mode von Debian finde ich gut.

Gnome-Fallback in Debian? Das dürfte derselbe wie in Ubuntu sein... Das ist Gnome3 in einem Gnome2-Gewand, stimmts?
Viel effizienter für alte Möhren ist und bleibt aber Xfce. Aber du könntest, und da gewinnt Ubuntu das Rennen gegenüber Debian, auch per PPA einfach auf MATE wechseln -> Gnome2-Revival mit niedrigen Anforderungen.

- Die neuen Kernels (auch 3.8) funktionieren nicht mehr mit meinem PC, d. h. Installation super, aber der erste Neustat und alle weiteren schlagen fehl mit der Fehlermeldung: Kernel Panic Error Can not decompressing kernel (oder so ähnlich)

Das wirst du, früher oder später, auch bei Debian 7 haben.... vorausgesetzt du installierst die Backport-Kernel.
Genauso kannst du aber auch Ubuntu 12.04 mit dem mitgelieferten 3.2er verwenden und 3.5, 3.8 und bald auch 3.11 links liegen lassen. Niemand zwingt dich zum Backport.

- Wenn ich jetzt wieder zu Ubuntu gehe nur wegen dem, werde ich so oder so in ein paar Jahren (vielleicht 2017 mit Ablauf des Supports von 12.04) wieder zu Debian wechseln, weil die ganzen Ubuntu spezifischen Dinge mich nicht ansprechen (Shopping Lense, 3D-Unity, ...)

Nochmal: Nichts von all dem Ubuntu-spezifischem Zeug (genauer gesagt: Unity-spezifisch) musst du nutzen. Entgegen der landläufigen Meinung ist Ubuntu eben NICHT gleichzeitig auch Unity mit Spyware-Lenses. Wenn man um Unity einen Bogen macht hat man ein einwandfreies System, das insgesamt etwas ausgewogener ist als Debian.
Außerdem wirst du bei Debian ebenfalls die Probleme bekommen, dass die Releases auslaufen. Ein neues Release kommt in etwa alle 2 Jahre.

7.0 wheezy May 5th 2013
6.0 squeeze February 6th 2011
5.0 lenny February 14th 2009
4.0 etch Apr 8th 2007

Das ältere Release kriegt als Old-Stable noch etwas Support, aber für Lenny ist der Ofen z.B. seit Februar 2012 aus.
http://www.debian.org/security/faq#lifespan
Das heißt: 2015 dürfte Debian 8 kommen, 2016 läuft der Support für 7 aus. Danach musst du sehen, wie du mit den Änderungen an Debian 8 klar kommst.

Da kommst du mit Ubuntu 12.04 sogar besser, das hat garantierten Support (inklusive Backports) bis 2017.... und 14.04 wird eh nicht viel neues bringen, vor allem kein MIR/XMIR, da 13.10 der Testlauf werden sollte und selbiger ja jetzt geplatzt ist. MIR kommt frühestens 14.10...
Du siehst: Vom Supportzyklus kommst du mit Ubuntu sogar besser, der gute alte X-Server wird noch bis mindestens 2019 supportet.

 

[mensch183]

Insofern hat man da auch nur solange Schutz vor den Zugriff von root, solange man nicht auf seine Daten zugreift.

Mehr ist sowieso nicht drin. Wer technischen Schutz vorm Sysadmin sucht, ist bei Linux falsch. Die Lösung: Auf Rechnern arbeiten, deren Sysadmins man vertraut.

 

[GrandTheft]

Falsch. Das hat der FemisisFS da so rein interpretiert.

Scheinst nicht zu wissen was Du da installiert hast, aber frech werden ts ts ts

Ich zitier's für Dich aus dem ubuntu-Wiki:

Arbeitsweise
Die bei ecryptfs-utils verwendete Verschlüsselung belässt die verschlüsselten Daten auf dem jeweiligen Datenträger und ent- bzw. verschlüsselt jede Datei zeitnah, sobald man auf diese zugreift..

Beim Launchpad steht's auch, hättest nur bis zur zweiten Zeile lesen müssen.

Viel Erfolg
gt

PS: für alle die Fragen / Bedenken bzgl. Performance hatten, hier gibts's einen Artikel dazu - ich hab' den jetzt nicht genau gelesen, aber die Ergebnisse scheinen plausibel.