On 24.12.2009, Patrick Klaus wrote:
um noch mal die Anforderung genau festzusetzen. Ich habe ein kleines mobiles Notebook was ich immer im Zug zur Arbeit und sonst wo mitnehmen will. Bei Verlust des Geräts sei es durch Diebstahl oder Verlust will ich erreichen, dass keiner an meine Daten kommt die in meiner Home-Partition liegt.
Ok. Jetzt stellt sich da noch die Frage, wie wichtig dir die Daten sind, und wie wichtig sie evtl. anderen sein koennten. Genauer gesagt: wie wahrscheinlich ist es vor und nach einem Abhandenkommen deines Laptops, dass da jemand mehr Aufwand betreiben koennte, um an die Daten zu kommen? Beispiel: wuerde jemand das Laptop mit dem Ziel stehlen, um an deine Daten zu kommen? Falls ja, dann reicht eine Vollverschluesselung nicht aus. Das Laptop sollte dann niemals unter Fremdzugriff fallen, denn es koennte jemand Hardware installieren, die deine Passphrase aufzeichnet, die er nach dem Stehlen dann verwenden koennte. Oder eine manipulierte initrd aufspielen. Oder einen logger im MBR verbergen. Oder oder... Dene du verstehst was ich sagen will. Beispiel 2: das Laptop wuerde nicht wegen der Daten darauf, sondern wegen dem "Wiederverkaufswert" gestohlen werden. Dann reicht eine Vollverschluesselung prima aus. Eine Verschluesselung von /home mit umgeleitetem/verschl. swap und tmp wuerde mich ehrlich gesagt in der heutigen Zeit nicht mehr ruhig schlafen lassen, auch nicht im Beispiel 2. Es ist naemlich schnell mal nach dem Passwort auf den unverschl. Teilen des Systems gesucht, es gibt dazu einige freie Tools (von John the ripper ueber was weiss ich noch alles..). Will meinen: auch der einfache Dieb denkt sich vielleicht: hmm, nettes Laptop, mal sehen, was da alles drauf ist. Ups, /home ist verschluesselt, also lass' mal Google nach ein paar Prograemmchen suchen, die z.B. geloeschte Dateien wieder herstellen, alle zugaenglichen Daten als Datenbank fuer einen bruteforce Angriff benutzen usw. usw. Alles das geht recht schnell, ohne allzuviel Ahnung, und es ist kostenlos. Vielleicht ist da ja doch noch eine Zugangskennung fuer das online banking...
Ich bin außer meiner Freundin der einzige der dieses Notebook nutzen wird und vor ihr will ich und brauche ich auch keine Daten zu verstecken. (Falls das auch noch benötigt werden würde, wäre meiner Meinung auch ecryptfs besser, da hier immer auch nur das jeweilige Home-Verzeichnis des Benutzers eingebunden wird und nicht wie bei LUKS die Home-Partition aller Usern eingehangen wird!?).
LUKS/dmcrypt kann alles das auch, es kommt darauf an, wie du es benutzt. Du kannst auch nur dein eigenes /home/nutzer in einen container packen.
So wie ich jetzt diesen Thread verfolgt habe, habe ich folgendes in Erfahrung gebracht. Die Daten die in /var/tmp oder /tmp liegen, sind nicht zu verachten, da diese Teile meiner Dokumente im /home-Verzeichnis besitzen könnten.
Genau. Und jedes Programm kann ganz nach Belieben seine Daten da hin auslagern, wo es gerade will und Rechte dazu hat. Also auch irgendwo unter /usr, /opt odr sonstwo. Habe ich alles schon gesehen. Ein crash koennte Daten auf die Platte dumpen uvm. ...
Ein leeren der beiden Verzeichnisse beim booten bringt nicht, da erstens die Daten wiederhergestellt werden könnten und zweitens beim Verlust des Gerätes der Löschvorgang ja erst beim Booten ausgeführt wird (eventuell zu spät).
Ja.
Also entweder benutze ich gar kein SWAP und lege /var/tmp und /tmp in den RAM oder verschlüssele das ganze System.
Der aufwand mit den tmp Verzeichnissen ist unsicher und lohnt nicht. Eine Vollverschluesselung ist stabil und umgeht alle generellen Fallstricke.
Ein komplett verschlüsseltes System wäre einheitlicher und Suspend to Disk sollte wohl damit auch möglich sein.
Dazu brauchst du aber swapspace mindestens in Groesse des Hauptspeichers, denn der Speicherinhalt muss ja auf die Platte geschrieben werden koennen. Fuer S2D und aehnliches empfehle ich dir auch unbedingt, cryptsetup mindestens in Version 1.1.0-rc3 oder aktuell aus dem svn repository zu benutzen: liesel:/home/htd # cryptsetup --version cryptsetup 1.1.0-rc3 luksSuspend <name> suspends active device (all IO operations are frozen) and wipes encryption key from kernel. Kernel version 2.6.19 or later is required. After that operation you have to use luksResume to reinstate encryption key (and resume device) or luksClose to remove mapped device. WARNING: never try to suspend device where is the cryptsetup binary itself. luksResume <name> Resumes suspended device and reinstates encryption key. You will need provide passphrase identical to luksOpen command (using prompting or key file).
Danke für die zahlreichen Antworten und frohe Weihnachten ;)
Gerne geschehen. Frohes Fest :-) -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org