Linux Vollverschlüsselung - einfachster Weg?

[nocie]

Hallo

 

[AlphaKaninchen]

Bei Fedora setze ich einfach den haken bei der installation, für externe hdds einfach den hacken beim formatieren in gnome disks setzen.

 

[nocie]

Bei Fedora setze ich einfach den hacken bei der installation, für externe hdds einfach den hacken beim formatieren in gnome disks setzen.

Habe gerade noch hinzugefügt, dass ich das ohne GUI hinbekommen muss. Denn mit GUI würde ich es natürlich auch hinbekommen. Aber danke Dir.

 

[AlphaKaninchen]

geht mit dm-crypt und cryptsetup, das ergebnis ist das gleiche...
https://wiki.archlinux.org/title/Dm-crypt/Encrypting_an_entire_system

PS: Bei Ferora Server hast die GUI nur wärend dem install,das ergebnis ist wie gesagt immer gleich da das eh abgewickelt wird bevor das system startet.

 

[whats4]

ehschowissen...
verschlüsselung macht backupstrategie noch wichtiger als es eh schon ist.
weil alles, was dem container passieren kann, auch irgendwann passiert. dieses forum mag als evidenzbeweis herhalten.

 

[cloudman]

https://www.grund-wissen.de/linux/datensicherung/verschluesselung.html

 

[ElecEng]

Es geht um Linux ohne GUI

Wie meinst du das? Wenn du Ubuntu-Server installierst, hast du ja trotzdem einen Installationsassistenten, der auch Verschlüsselung ermöglicht (oder sollte, ich habs noch nicht ausprobiert für eine Serverinstallation). Manjaro bietet auch einen textbasierten Installer, der Verschlüsselung bietet.

Ansonst ist das manuell nicht weiter schwierig: Partition erstellen, mit LUKS ein Volume erstellen, optional LVM, Dateisystem(e) formatieren. Anschließend als root-Volume für die Linux-Installation benutzen. Zusätzlich zur fstab muss man noch eine /etc/crypttab anlegen (siehe dortige man-page) und den Verschlüsselungskram mit ins initram packen.

 

[Tornhoof]

Debian kann das auch direkt im Installer, auch im klassischen nicht grafischen Installer

 

[KurzGedacht]

Ich glaube die eigentlich relevante Frage ist:

Willst du ein System neu aufsetzen und verschlüsseln oder ein existierendes System nachträglich verschlüsseln?

edit: Falls nachträglich: Mach ein Backup, setz das System verschlüsselt neu auf und importiere das Backup. Alle anderen Wege erfordern dass man sehr genau weiß was man da macht.

 

[whats4]

immer ein backup.
lieber fünf zuviel als eines zuwenig.
denn alles verschlüsselte, das du aus irgendeinem grund ned entschlüsseln kannst, ist nur datenmüll.

im klartext: im falle eines problems ist die verschlüsselung schlicht dein feind.

 

[AlphaKaninchen]

im klartext: im falle eines problems ist die verschlüsselung schlicht dein feind.

Bei Software Problemen geht es (vorrausgesetzt man hat das PW), bei Hardware Problemen kann ich das nur unterstreichen... Aber da Hilft einem eigentlich immer nur ein Backup.

 

[LorD-AcE]

Ich schlage vor openSuse zu benutzen und alles bei der Installation einzustellen, mit Yast hat man ein gutes Tool mit dem man auch ohne GUI alles hinbekommen kann, selbst als Anfänger. Bei der Konkurrenz habe ich auch gerade einen netten Artikel gelesen, wie man das ganze bei Servern dann sicher per SSH wieder booten kann. https://www.heise.de/select/ct/2021/17/2117312050356064254

 

[cloudman]

Nichts gegen OpenSuse aber dropbear-initramfs in dem von dir erwähnten heise Artikel gibt es für OpenSuse nicht

 

[nocie]

Vielen Dank an alle und auch den User mit seinen zwei erneuten Backup Ratschlägen. Backup steht hier natürlich nicht zur Debatte und sollte selbstverständlich sein.

Also ich nutze halt netcup und wenn ich dort mein System der Wahl draufspiele, dann ist alles bereits eingerichtet. Ich kann dort leider nicht selber durch das Setup gehen...

Und bei bestehenden System bin ich gerade noch etwas überfordert bei den vielen Befehlen. Ich dachte es wäre möglich, dass ich einfach ein Befehl für die Verschlüsselung der Systempartition eingebe, dann aufgefordert werde mein Passwort einzugeben und dann macht der alles automatisch. Sprich verschlüsseln und sich immer vor dem Systemstart mit der Passwortabfrage melden.

Ergänzung (13. August 2021)

https://www.grund-wissen.de/linux/datensicherung/verschluesselung.html

Dort scheint es sehr gut erklärt zu sein. Aber allerdings deutlich komplizierter, als ich es mir eigtl. vorgestellt hatte. Danke dennoch.

 

[LorD-AcE]

Du kannst dir doch bei netcup ein Image ins "DVD-Laufwerk" hauen und von da aus komplett installieren. Image einsetzen, boot mode auf "DVD" und ab dafür

 

[nocie]

Du kannst dir doch bei netcup ein Image ins "DVD-Laufwerk" hauen und von da aus komplett installieren. Image einsetzen, boot mode auf "DVD" und ab dafür

Tatsächlich war ich gerade schon dabei, aber dachte, dass das sowieso nicht geht. Aber gut, dann wird das Problem dadurch wohl gelöst!

Für die ersten Versuche reicht das wohl aus. Aber ich muss mich noch etwas mehr in Linux und Verschlüsselung einlesen. Denn wirklich sicher ist es nur, wenn man es auch versteht. Bei Windows habe ich kein Problem, bei Linux muss ich mich noch an die andere Umgebung gewöhnen.

 

[LorD-AcE]

openSuse ist auf jeden Fall ausgiebig dokumentiert, einer der Gründe warum es mein Main-System ist.

Sicherheit: https://doc.opensuse.org/documentation/leap/security/html/book-security/index.html

 

[Sommersocke]

Hallo!

Also ich nutze halt netcup und wenn ich dort mein System der Wahl draufspiele…

Ich erspare mir an der Stelle mal die „Server sind kein Spielzeug“-Predigt. Du hast den ja eh schon und weißt, dass du voll haftbar bist.

Die Verschlüsselung selbst ist relativ einfach mit LUKS zu realisieren, aber nur wenn du VOR der Systeminstallation die Platte bearbeiten kannst oder nachträglich über ein Live-System rankommst und über genug freien Speicherplatz zum Verschieben verfügst.

An der Stelle möchte ich dich aber mal fragen, welchen Sinn eine Vollverschlüsselung haben soll? Der Server läuft doch immer, ist also auch immer entschlüsselt.
Um Daten da zu schützen wäre es sinnvoller bspw. eine Containerdatei anzulegen, diese mit LUKS zu verschlüsseln und den Inhalt nur bei Bedarf zu entschlüsseln. Aber alles was permanent zugreifbar sein muss, muss das unverschlüsselt sein, sonst würde das ja nicht funktionieren.

 

[snaxilian]

Der Server läuft doch immer, ist also auch immer entschlüsselt.

Zieht ein potentieller Angreifer eine Kopie der Disk der laufenden VM kommt er trotzdem nicht an die Daten. Hierzu müsste noch der RAM entsprechend abgegriffen werden. Ist technisch aber kein Problem wenn man Kontrolle über den Hypervisor/Host hat.
Dagegen hilft z.B. ein mit TRESOR angepasster Kernel. Der hält den Key in den CPU Registern und nicht im RAM. Theoretisch kommt man mit viel Aufwand auch da ran aber das ist deutlich komplexer und aufwendiger.
Wenn dir das immer noch nicht reicht dann solltest du zum einen dein Bedrohungsszenario bedenken, sprich vor wem und was willst du dich schützen und ob dann eine VM irgendwo das Richtige ist...

 

[Sommersocke]

Zieht ein potentieller Angreifer eine Kopie der Disk der laufenden VM…

Naja, ich gehe auch eher davon aus, dass der potentielle Angreifer ins laufende System(VM) kommt und nicht gleich den ganzen Provider infiltriert. Was da aus Sicht des Nutzers lesbar ist, ist auch für den Angreifer lesbar.