2288007

Containerverschlüsselung à la Truecrypt: So schützen Sie sensible Dateien mit Tomb

28.07.2017 | 14:45 Uhr |

Verschwiegen wie ein Grab: Tomb erstellt verschlüsselte Dateicontainer und arbeitet mit einfachen, aber sehr effektiven Mitteln, die es unter jedem Linux-System gibt. Es ist damit eine Alternative zu Veracrypt, Truecrypt und Co.

Notebook weg – Datenträger weg. Die Vorstellung, dass die eigenen Daten in die Hände Krimineller gelangen, ist ein Horrorszenario. Die Erpressung der Sängerin Lena Meyer-Landrut mit Nacktselfies im Februar 2017, die von einem gestohlenen Notebook stammen, zeigt nach vielen ähnlichen Fällen wieder exemplarisch die kriminelle Energie, mit der Täter gestohlene Daten auswerten. In diesem Fall lagen zwischen dem eigentlichen Diebstahl und der Erpressung sogar mehrere Jahre.

Als Versicherung gegen Schandtaten dieser Art bietet sich Verschlüsselung vertraulicher Dateien an, sofern diese ausreichend sicher ist. Neben der Sicherheit des Verschlüsselungsalgorithmus spielt aber auch immer der Komfort eine wichtige Rolle. Zu komplexe sichere Konzepte sind für den regelmäßigen Einsatz oft nicht bequem genug. Einfache Lösungen, die auf den ersten Blick genial wirken, aber keinem systematischen Angriff auf die Verschlüsselung über die nächsten Jahre standhalten könnten, sind nur ein Placebo.

Tomb mit einfachem Prinzip

Tomb benutzt verschlüsselte Dateicontainer, die den Inhalt sicher wegschließen und nur mit einer passwortgeschützten Schlüsseldatei öffnen. Diese Container, ebenfalls „Tomb“ (Grab, Gruft) genannt, sind Imagedateien mit Ext4 als eigenem Dateisystem. Beim Öffnen eines Tombs hängt das Linux-System das Image unterhalb des Ordners „/media“ ein. Um die Verschlüsselung und Entschlüsselung kümmert sich kein obskurer Algorithmus, sondern die Kryptographie-API des Linux-Kernels zusammen mit dem Standardtool Cryptsetup, das beispielsweise auch zur Erstellung verschlüsselter Partitionen dient. Tomb erfindet das Rad also nicht neu, sondern arbeitet mit Standardwerkzeugen und den Fähigkeiten des Linux-Kernels. Deshalb ist Tomb einfach gehalten und liegt als längeres Script vor, das in ZSH geschrieben ist. Dennoch vereinfacht es das Öffnen und Schließen von Tombs sowie die Schlüsselverwaltung erheblich.

Tombs sind Imagedateien, die als verschlüsselte Container ein eigenes Ext4-Dateisystem enthalten.
Vergrößern Tombs sind Imagedateien, die als verschlüsselte Container ein eigenes Ext4-Dateisystem enthalten.

Die Installation ist nicht weiter schwierig, obwohl Tomb in die Paketquellen verbreiteter Linux-Distributionen bisher nicht eingezogen ist. An Paketen aus dem Standardrepertoire verlangt Tomb nach ZSH, Cryptsetup, GPG und dem Script-Helfer Pinentry. Installiert ist das alles unter Debian und Ubuntu und dessen Varianten mit diesem Kommando:

sudo apt-get install zsh gnupg cryptsetup pinentry-curses

Aber auch Fedora, Open Suse und Arch Linux haben diese Pakete in ihren herkömmlichen Quellen auf Lager. Tomb selbst liegt als „tar-gz“-Archiv in der stets neuesten Version unter https://files.dyne.org/tomb als Download bereit – aktuell Version 2.3. Nach dem Entpacken der Datei mit den Befehlen

tar xzf Tomb-2.3.tar.gz
cd Tomb-2.3

richtet das Kommando

sudo make install

die dort liegende Script-Datei im System ein. Das gelingt ohne Kompilieren, denn der make-Befehl kopiert in diesem Fall lediglich das ausführbare Script nach „/usr/local/bin“.

Container und Schlüssel

Alle Aktionen, die Tomb ausführt, sind als Parameter in einer Script-Datei untergebracht. Dazu gehört das Erstellen, Öffnen und Schließen der Container sowie die Schlüsselverwaltung. Für einige Aktionen ist vorangestelltes sudo nötig, denn zum Einhängen von Images in das Dateisystem sind root-Rechte Voraussetzung. Ein neues Tomb mit 100 MB Kapazität erzeugt anschließend dieses Kommando:

tomb dig -s 100 geheim.tomb

Nun muss Tomb einen Schlüssel erzeugen und mit diesem den Container abschließen. Das erledigt das Kommando

tomb forge -k geheim.key

Eine Besonderheit ist, dass Tomb Anwender warnt, falls das Linux-System mit einem Auslagerungsbereich (Swap) arbeitet, was bei den meisten Systemen der Fall ist. Theoretisch können im Swapbereich unverschlüsselte Daten aus einem Container landen, wenn Anwendungen gerade auf dort gespeicherte Dateien zugreifen. Um ganz sicherzugehen, kann man den Auslagerungsbereich mit dem Befehl

sudo swapoff -a

vorübergehend abschalten. Wenn Sie Swap nicht abschalten, wird sich Tomb darüber beschweren, aber mit dem zusätzlichen Parameter „-f“

tomb forge -f geheim.key

trotzdem einen Schlüssel erstellen.

Zum weiteren Schutz der Schlüsseldatei ist diese mit Passwort und GPG chiffriert.
Vergrößern Zum weiteren Schutz der Schlüsseldatei ist diese mit Passwort und GPG chiffriert.

Öffnen und Schließen von Containern

Es kann auch auf schnellen Rechnern einige Minuten dauern, bis der Schlüssel fertig ist. Nun gilt es, die erzeugte Schlüsseldatei mit einem oder mehreren Containern zu verknüpfen, um diese zu verschlüsseln. In folgendem Beispiel verschließt der Schlüssel „geheim.key“ den Behälter „geheim.tomb“:

tomb lock -k geheim.key geheim.tomb

Ab sofort kann nur noch die Schlüsseldatei „geheim.key“ die Containerdatei „geheim.tomb öffnen“ – nach Eingabe des zuvor vergebenen Passworts. Tomb hängt mit dem Kommando

sudo tomb open -f geheim.tomb -k geheim.key

den Container „geheim.tomb“ ins Verzeichnis „/media/geheim“ ein. Weil dieser Schritt mit sudo erfolgen muss, ist das eingehängte Image zunächst noch nicht für alle Benutzer beschreibbar, nur für root. Um den Containerinhalt für alle lesbar und beschreibbar zu machen, ist noch folgender Schritt nötig:

sudo chmod 777 /media/geheim/

Ab jetzt wäre das Verzeichnis „/media/geheim/“ für alle Benutzer beschreibbar. Es handelt sich um eine eingehängte Imagedatei. Tomb kann gleichzeitig mehrere solcher Container laden. Nach getaner Arbeit schließt das Kommando

sudo tomb close

alle geöffneten Container. Ebenfalls geht dies in vielen grafischen Dateimanagern mit einem Rechtsklick auf den Tomb-Eintrag im Verzeichnisbaum.

Eingehängte Containerdateien tauchen in Dateimanagern wie externe Datenträger auf.
Vergrößern Eingehängte Containerdateien tauchen in Dateimanagern wie externe Datenträger auf.

Tipp: Obwohl die Schlüssel zu Tombs per GPG zusätzlich mit Passwort geschützt sind, wäre es keine gute Idee, Container und Schlüssel auf dem gleichen Datenträger aufzuheben. Auf die Passwörter wäre mit viel Geduld ein Wörterbuchangriff möglich. Ein besserer Speicherort wäre ein USB-Stick.

Tomb-Verschlüsselung: Pro und Contra

+ einfacher, nachvollziehbarer Aufbau als Shell-Script (ZSH)

+ basiert auf akribisch kontrollierter Open-Source-Software

+ stellt geringe Voraussetzungen an ein Linux-System

- verlangt nach sudo-Berechtigungen

- arbeitet nur unter Linux, nicht plattformübergreifend

- reines Kommandozeilentool

Lesetipp: Verschlüsselung: Die besten Gratis-Datentresore

Auch interessant: Linux-Verschlüsselung: So sichern Sie Ihre Daten ab

0 Kommentare zu diesem Artikel

PC-WELT Marktplatz

2288007