Ausgesperrt: Luks mit Ersatzschlüssel öffnen

Linux bietet eine große Auswahl an sicheren Verschlüsselungsmethoden für einzelne Dateien und zur Erstellung von verschlüsselten Containern, die wiederum ein verschlüsseltes Dateisystem enthalten. Eine umfassende Verschlüsselung für alle Daten auf Festplatten leisten aber nur Truecrypt und – noch bequemer – das Linux Unified Key Setup (Luks), das bei der Komplettverschlüsselung eines Systems zum Einsatz kommt. Der grafische Installer von Ubuntu kann seit Version 12.10 schon beim Setup mit der Option „Die neue Ubuntu-Installation zur Sicherheit verschlüsseln“ ein komplett Luks-chiffriertes System einrichten. Dort liegen dann nur noch die zum Start notwendige Partition „/boot“ „(/dev/sda1)“ mit dem Boot-Loader Grub 2, die initiale Ramdisk und der Kernel im Klartext auf der Festplatte. Beim Systemstart kümmern sich die Scripts der Ramdisk um die Abfrage des vergebenen Passworts, das der Anwender bei der Installation definiert hat. Erst dann können die verschlüsselten Partitionen gemountet werden. Gut geeignet ist diese Methode für Notebooks, bei denen immer das Risiko besteht, dass das Gerät und damit die gespeicherten Daten abhandenkommen.

Linux bombensicher – So klappt das Verschlüsseln

Das Linux Unified Key Setup

Obwohl bei der Komplettverschlüsselung mehrere unabhängige Komponenten zusammenspielen, ist Luks eine ausgereifte und für Ubuntu- und Mint-Anwender komfortable Verschlüsselungsmethode. Sie basiert auf dem Kernel-Modul „DM-Crypt“, das Kryptografiefunktionen für beliebige, blockorientierte Geräte (Partitionen, logische Laufwerke, Container) anbietet. Die Algorithmen dazu liefert die Crypto-API des Linux-Kernels. Luks ist eine Erweiterung, um den Verschlüsselungsalgorithmus und die Schlüsselverwaltung direkt auf dem Datenträger mit Header-Information zu speichern. Den eigentlichen Inhalt chiffriert Luks symmetrisch mit einem automatisch erzeugten Hauptschlüssel, der mit auf dem Datenträger gespeichert wird. Dieser Hauptschlüssel ist wiederum mit einem vom Anwender frei wählbaren Passwort verschlüsselt. Als Verwaltungswerkzeug und zur Einrichtung kommt das Tool Cryptsetup zum Einsatz. Deshalb spricht man bei dieser Konstellation auch von „Cryptsetup-Luks“. Während des Betriebs istdiese Verschlüsselung, die bei Ubuntu und seinen Ablegern standardmäßig mit dem Algorithmus AES und einer Schlüssellänge von 256 Bit erfolgt, vollkommen transparent: Sie benutzen die verschlüsselte Partition genau wie eine unverschlüsselte. Die Festplattenzugriffe sind eventuell etwas langsamer, abhängig von der Cache-Größe des Festplatten-Controllers und der CPU des Computers.

Geeignete Live-Systeme für Luks-Laufwerke

Verschlüsselung muss sicher sein, andererseits aber flexibel genug, um auf die Daten auch im Notfall noch zugreifen zu können – also wenn das System nicht mehr bootet. Bei Luks muss nur das Passwort bekannt sein, denn der Datenträger enthält selbst alle weiteren Infos und den eigentlichen Hauptschlüssel. Trotzdem lässt sich eine Luks-Partition nicht einfach ohne Hilfsmittel in einem beliebigen anderen Linux-System einhängen, was etwa nötig ist, um mit einem Live-System die gespeicherten Daten im Notfall zu entschlüsseln. Bei einer verschlüsselten Ubuntu-Installation lässt sich nur „/boot“ einhängen, während der Befehl mount bei den Luks-Partitionen nicht mal das Dateisystem erkennt. Dies liegt bei einer verschlüsselten Ubuntu-Installation auch daran, dass der Installer der Einfachheit halber eine große Partition anlegt, in der mit Hilfe des Logical Volume Managers(LVM) mehrere logische Laufwerke untergebracht werden. 

Mobile Verschlüsselung mit Enc FS

Vorausgesetzt, die Partition ist unbeschädigt und Sie kennen das Passwort, das bei der Einrichtung der Partition vergeben wurde, gelingt der Zugriff aber nach manuellen Vorbereitungen. Eine bequeme Möglichkeit bieten die bekannten Live-Systeme Knoppix (Download der Version 7.2 als ISO-Image ) und GRML . Luks-Datenträger einzubinden funktioniert aber auch mit den Installationsmedien von Ubuntu und Linux Mint, denn auch hier sind alle benötigten Programmpakete vorhanden, da sie vom Installer benötigt werden. Dabei spielt es keine Rolle, ob Sie ein Live-System in der 32-Bit- oder 64-Variante nutzen.

Zugriff auf ein verschlüsseltes Ubuntu

Zuerst muss das Kernel-Modul dmcrypt zum Öffnen verschlüsselter Datenträger geladen sein, was Sie in einem Terminal-Fenster mit folgendem Kommando erledigen:

Im nächsten Schritt finden Sie heraus, welchen Gerätenamen die Luks-Partitionen auf der Festplatte haben. Dies geht am einfachsten mit dem grafischen Partitionierer Gparted, den Sie mit sudo gparted mit root-Rechten aufrufen. Das Programm ist bei Knoppix, GRML, aber auch bei den Installationsmedien von Ubuntu und Mint enthalten. Die Luks-Partition erkennen Sie in Gparted am angezeigten Dateisystemtyp „crypt-luks“. Mit dem Tool cryptsetup bereiten Sie den Zugriff darauf vor, im folgenden Beispiel für die verschlüsselte Partition „/dev/sda5“:

Der Befehl fragt dann anschließend das Passwort für den Hauptschlüssel ab, der die verschlüsselte Partition schließlich öffnet. Erst nach dessen Eingabe sind auch die logischen Laufwerke innerhalb dieser Partition zugänglich. Im Fall von verschlüsselten Ubuntu-Systemen liegen in der Partition mehrere logische Volumes, für die der Logical Volume Manager (LVM) zuständig ist. Mit folgendem Befehl weisen Sie LVM an, alle Volumen auf der Partition aufzulisten:

Der Befehl gibt nun den Namen der Volumes auf der Luks-Partition aus. Diese Namen brauchen Sie gleich im Anschluss. Bei Ubuntu heißt die bei der Installation automatisch erstellte Volumengruppe „ubuntu-vg“ und enthält eine Wurzelpartition „root“. Diese mounten Sie mit den folgenden drei Befehlen:

Die so eingehängte Partition lässt sich dann wie gewohnt unter dem angegebenen Mount-Punkt (hier „/mnt/ubuntu-vg“) lesen und schreiben – allerdings nur als root, um sich über die Zugriffsrechte des fremden Dateisystems hinwegzusetzen.