🚀 go-pugleaf

Hallo,

On 6 Oct 2003 05:29:06 -0700
Christian_Drewing.20.cdrewing@spamgourmet.com (Christian Drewing) wrote:

> Wie sieht es mit der HD-Verschlüsselung für Linux aus? Ich will, dass
> keiner auf ein zuvor ausgeschaltetes System Zugriff hat. Selbst wenn
> die HDs ausgebaut und in einen anderen Rechner eingebaut werden,
> sollen sie nichts als weisses Cryptorauschen enthalten.

Crypt-FS oder Crypto-FS (bin mir nicht sicher) gibt es da. Damit kannst
du eine Partition verschlüsseln und sie dann ganz normal mounten. Beim
mounten wird das Passwort für den Schlüssel abgefragt.
Google.de, Alltheweb.de oder die Suchmaschiene deines Vertrauens hilft
dir. Beispiele:

http://vware.hypermart.net/howto_filesystem_encryption.htm
http://koeln.ccc.de/archiv/drt/crypto/linux-disk.html

> Christian.

Flo

-- 
[X] Nail here for a new monitor

["Followup-To:" header set to de.org.ccc.]
* On 6 Oct 2003 05:29:06 -0700, Christian Drewing wrote:

> F�r XP/NT kenne ich Utimaco Safeguard Easy, das noch vor dem Booten
> per Passwortabfrage/seckey eine Authentifizierung des Users erfordert.
> Ansonsten ist die Festplatte nicht lesbar. Siehe:
> <6e13d75e.0309170657.3d5fb74c@posting.google.com>
>
> Wie sieht es mit der HD-Verschl�sselung f�r Linux aus? Ich will, dass
> keiner auf ein zuvor ausgeschaltetes System Zugriff hat. Selbst wenn
> die HDs ausgebaut und in einen anderen Rechner eingebaut werden,
> sollen sie nichts als weisses Cryptorauschen enthalten.

Du schreibst es selbst: "f�r Linux". Safeguard Easy ist f�r Windows,
d.h. es ist keine Verschl�sselung auf BIOS-Ebene, was auch kaum geht, da
sich Betriebssysteme schon lange nicht mehr um die BIOS-Routinen zum
Plattenlesen k�mmern.

So sch�n bequem wie f�r Windows scheint es mit Linux noch nicht zu
gehen, da muss man erst Linux herk�mmlich booten und dann z.B. eine
Datei, die ein verschl�sseltes Dateisystem beherbergt, mounten unter
Angabe des Kennworts.

ja hallo erstmal,...

Christian Drewing wrote:

> F�r XP/NT kenne ich Utimaco Safeguard Easy, das noch vor dem Booten
> per Passwortabfrage/seckey eine Authentifizierung des Users erfordert.
> Ansonsten ist die Festplatte nicht lesbar. Siehe:
> <6e13d75e.0309170657.3d5fb74c@posting.google.com>


 
> Wie sieht es mit der HD-Verschl�sselung f�r Linux aus? 
> Ich will, dass keiner auf ein zuvor ausgeschaltetes System Zugriff hat.
Selbst wenn
> die HDs ausgebaut und in einen anderen Rechner eingebaut werden,
> sollen sie nichts als weisses Cryptorauschen enthalten.

Warum setzt du nicht auf Kernel-Ebene an? Wo liegt in diesem Szenario der
Vorteil zur Bios-Ebene?
man losetup
http://www.kerneli.org / ab. 2.4.22 / 2.6 drin
Rest an eine geeignete Mailingliste.

Keep smiling
yanosz

Christian Drewing wrote:
> Wie sieht es mit der HD-Verschl�sselung f�r Linux aus?

http://sourceforge.net/projects/loop-aes/

Bei meinem Router ist die komplette HD einschlie�lich Swap-Partition mit
loop-AES verschl�ssel - funktioniert prima.

Christian Drewing schrieb:
> F�r XP/NT kenne ich Utimaco Safeguard Easy, das noch vor dem Booten
> per Passwortabfrage/seckey eine Authentifizierung des Users erfordert.
> Ansonsten ist die Festplatte nicht lesbar. Siehe:
> <6e13d75e.0309170657.3d5fb74c@posting.google.com>
> 
> Wie sieht es mit der HD-Verschl�sselung f�r Linux aus? Ich will, dass
> keiner auf ein zuvor ausgeschaltetes System Zugriff hat. Selbst wenn

Na, also ...

Die System-Platte mit einem Linux System, das als Open-Source �berall im 
Internet verf�gbar ist, zu sch�tzen ist wohl kaum sinnvoll. Es sollte 
doch wohl reichen, die home-Partition zu sch�tzen. Und daf�r gibt es auf 
der Linux-Seite mehr als genug M�glichkeiten.

gruss Mathias

Christian Drewing <Christian_Drewing.20.cdrewing@spamgourmet.com> wrote:
> Wie sieht es mit der HD-Verschl�sselung f�r Linux aus? Ich will, dass

http://www.kubieziel.de/computer/halloween-german.html#crypto
http://sourceforge.net/projects/loop-aes/

-- 
Jens Kubieziel                                   http://www.kubieziel.de
The covers of this book are too far apart.
		-- Book review by Ambrose Bierce.

Mathias D�hle <mathias@sci-network.net> writes:

> Die System-Platte mit einem Linux System, das als Open-Source �berall
> im Internet verf�gbar ist, zu sch�tzen ist wohl kaum sinnvoll. Es
> sollte doch wohl reichen, die home-Partition zu sch�tzen. Und daf�r
> gibt es auf der Linux-Seite mehr als genug M�glichkeiten.

normalerweise will man aber zusaetzlich zu /home auch noch teile von
/var, /etc und /tmp sowie den swap schuetzen.

-- 
frobnicate foo

On Mon, 06 Oct 2003 17:45:16 +0200, Mathias Döhle wrote:
> Die System-Platte mit einem Linux System, das als Open-Source überall im 
> Internet verfügbar ist, zu schützen ist wohl kaum sinnvoll. Es sollte 
> doch wohl reichen, die home-Partition zu schützen. Und dafür gibt es auf 
> der Linux-Seite mehr als genug Möglichkeiten.

verschlüsselung schützt auch vor modifikationen.
Es macht durchaus sinn, alles zu verschlüsseln.

/boot nicht, damit der kernel und die initrd geladen werden kann,
aber von den dateien kann man ja eine kopie im verschlüsselten haben
und dann vergleichen. soweit sind das nur hürden, keine sicherheit.
sicher wirds erst mit tcpa (ab version 1.2, nicht 1.0/1.1).

Tschüss, Andreas

On Mon, 06 Oct 2003 14:46:06 +0200, Florian Engelhardt wrote:

>> Wie sieht es mit der HD-Verschl�sselung f�r Linux aus? Ich will, dass
>> keiner auf ein zuvor ausgeschaltetes System Zugriff hat. Selbst wenn
>> die HDs ausgebaut und in einen anderen Rechner eingebaut werden,
>> sollen sie nichts als weisses Cryptorauschen enthalten.
> 
> Crypt-FS oder Crypto-FS (bin mir nicht sicher) gibt es da. Damit kannst
> du eine Partition verschl�sseln und sie dann ganz normal mounten. Beim
> mounten wird das Passwort f�r den Schl�ssel abgefragt.

CFS finde ich wirklich gut. Nur nicht f�r das root-Filesystem.

CFS speichert Daten in verschl�sselten Directories (normalen oder
gemounteten). Beim Anmelden so eines Directories wird eine Passphrase
eingegeben und CFS stellt dann mit Hilfe eines NFS-Servers auf dem
gleichen Rechner (localhost) ein entschl�sseltes Bild des Directories
dar, auf das der Anmelder zugreifen kann, lesend und schreibend. Wenn
mehrere User auf ein Directory zugreifen sollen, mu� jeder einzelne es
f�r sich anmelden.

Ich glaube, f�r /etc und /var ist das nicht so gut geeignet, nur f�r
Daten-Directories. Ich kann mir auch jetzt nicht vorstellen, wie man z.B.
das root-Filesystem als Ganzes verschl�sseln kann. Zumindest das Kernel
mu� ja in bootf�higer Form vorliegen (nicht als "Crypto-Rauschen"),
mount, init, fstab, modprobe und die Libraries daf�r, und die Module z.B.
auch. Und dann denk ich mir: Wenn das Kernel die verschl�sselten Teile
beim Booten entschl�sseln kann, braucht der Einbrecher eigentlich nur zu
booten.

Vielleicht kann man Teile von /etc und von /var (z.B.
/etc/ppp/pap-secrets oder /var/spool/mail) als Links in ein
verschl�sseltes Directory (genauer: in das entschl�sselte Bild eines
verschl�sselten Directories) anlegen. Dann m��te man wohl beim
Booten m�glichst fr�h NFS und CFS starten (vor dem MTA und pppd), in
einem der Bootskripten eine Passphrase abfragen und f�r die sp�teren
Bootskripte zwischenspeichern). Klingt wie ein ziemlicher Murks,
eigentlich.

J�rn



_______________________________________________________________________________
Posted Via Uncensored-News.Com - Accounts Starting At $6.95 - http://www.uncensored-news.com
               <><><><><><><>   The Worlds Uncensored News Source   <><><><><><><><>
  

Hi Mathias,

On Mon, 06 Oct 2003 17:45:16 +0200, Mathias D�hle wrote:
> Die System-Platte mit einem Linux System, das als Open-Source �berall im 
> Internet verf�gbar ist, zu sch�tzen ist wohl kaum sinnvoll.

Aber man kann dadurch nat�rlich auch sicherstellen, dass in der
Zwischenzeit keiner die Root-Partition (oder was auch immer
nicht verschl�sselt ist) manipuliert hat. (ok, die Logik
kann man weiterf�hren und zumindest der Kernel
muss immer irgendwann unverschl�sselt ins RAM wandern).

Dennoch schl�ft der eine oder andere vielleicht besser wenn
der unverschl�sselte Kernel auf einem bootf�higen Flash-Stick nachts
im Tresor liegt.

Und "alles" (incl "/") zu verschl�sseln geht, man muss nur z.B.
mit einem initrd image booten, welches dann ein loopback-device
f�r "/" startet (verschl�sselt) und dieses schlussendlich als
rootpartition mountet bevor das "eigentliche" System startet (init).

Irgendwer meinte, es g�be schon Distributionen die sowas machen;
kenne ich nicht... aber ich bin mir fast sicher, die machen das so.

    Chris

Leo Gebyy wrote:

> Bei meinem Router ist die komplette HD einschlie�lich Swap-Partition mit
> loop-AES verschl�ssel - funktioniert prima.

Warum auf einem Router die Festplatte verschluesseln?


Gruesse
Sven
(fup nach de.org.ccc)
-- 
http://sven.alpha-centauri.org

Joern Abatz <for-spam-only@abatz.de> wrote:
> CFS finde ich wirklich gut. Nur nicht f�r das root-Filesystem.

Leider kommt es durcheinander wenn man viele Files da rein schiebt. 
Ich hatte davon schon was gelesen und weil ich bei ein paar Test-Dateien
keine Probleme hatte hab ich mal nen Haufen Zeugs in das CFS-Verzeichnis
geschoben und konnte danach auf viele Files nicht mehr zugreifen bzw.
diese l�schen. 

Version war �brigens 1.4.1.

Gru�,
Christian

On Tue, 07 Oct 2003 16:04:56 +0000, Christian Schrader wrote:

>> CFS finde ich wirklich gut. Nur nicht f�r das root-Filesystem.
> 
> Leider kommt es durcheinander wenn man viele Files da rein schiebt. 
> Ich hatte davon schon was gelesen und weil ich bei ein paar Test-Dateien
> keine Probleme hatte hab ich mal nen Haufen Zeugs in das CFS-Verzeichnis
> geschoben und konnte danach auf viele Files nicht mehr zugreifen bzw.
> diese l�schen. 
> 
> Version war �brigens 1.4.1.

Das stimmt. Da sind ein paar Bugs drin, die schon ewig drin sind. Ich hab
mich inzwischen dran gew�hnt :-) Meine Regel ist: Nicht mehr als 63
Dateien pro Directory. Ich glaube, es h�ngt damit zusammen, da� CFS f�r
ein ganz anderes OS entwickelt wurde, und da� es unter Linux nur mit
heftigen Patches l�uft.

Ich habe hier eine Version 1.4.1 mit den Patches von Red Hat, da werden
immer nur die ersten 63 Dateien in einem Directory angezeigt. Wenn man
mehr reinschiebt, sind die neuen erstmal "weg". Wenn man aber die
sichtbaren 63 woanders hinschiebt, werden die n�chsten 63 wieder sichtbar.

Auf dem Server habe ich die Version 1.4.1 mit den Patches von Debian, die
ist etwas besser. Das letzte Mal, als ich nachgesehen habe, wurden
immerhin die ersten 2047 Dateien angezeigt, aber jede 128. Datei war
irgendwie doppelt vorhanden.

Und dann gibt es noch irgendein Problem mit Sonderzeichen in Dateinamen
oder evtl. sind es auch Leerzeichen in Dateinamen. Die k�nnen dann nicht
mehr gel�scht werden. Ich habe vergessen, wie man sich da behilft. Ich
glaube, erstmal umbenennen mit Single Quotes, und dann l�schen.

J�rn



_______________________________________________________________________________
Posted Via Uncensored-News.Com - Accounts Starting At $6.95 - http://www.uncensored-news.com
               <><><><><><><>   The Worlds Uncensored News Source   <><><><><><><><>