staging.inyokaproject.org

Hallo!

Ist es mit Open Source unter Linux noch möglich, Dateien als virtuelle Laufwerke zu definieren und diese zu verschlüsseln?

Ich kenne die Anleitung aus dem Wiki. Da geht es nur um Partitionen. Außerdem will ich weder Swap noch home Verschlüsseln.

Unter Windwos geht das mit u.a. mit TrueCrypt, Bestcrypt und Drivecrypt (die können es alle sowohl als Partition als auch als virtuelles Laufwerk).

Truecrypt habe ich unter Ubuntu installiert. Aber unter Ubuntu kann ich mit Truecrypt keine Volumes erstellen. Die müsste ich also unter Windows erstellen. Ich habe aber nur (oder vor allem) vor, sie unter Linux zu benutzen. Unter Truecrypt-Windows kann ich aber keine EXT2/2 sondern nur FAT32 oder NTFS Dateisystme anlegen.

Also suche ich eine Alternative unter Ubuntu.

dm-crypt ist der aktuelle Standard für verschlüsselte Dateisystem in Linux, lese ich, und crypt-setup das Einrichtungsprgramm.

Beim Versuch, eine vorbereitete Datei (ext3-formatiert und mountbar) mit crypt-setup zu behandeln, bekomme ich die Fehlermeldung, dass es sich nicht um ein Blockdevice handelt. Das weiß ich selber. Was ich nicht weiß: Wie legt man heute verschlüsselte virtuelle Laufwerke an?

Das wird doch nicht einfach sang- und klanglos abgeschafft worden sein, oder?

Nein, das ist nicht abgeschafft (nur das alte, unsichere Cryptoloop wurde entfernt). Du kannst einfach ein Loop-Device mit losetup anlegen und dieses dann verschlüsseln. Die Syntax ist (wenn ich mich recht entsinne):

sudo losetup /dev/loop0 Datei

, wobei die Angabe des Loopdevices auch wegfallen kann. Schau im Zweifelsfall selbst nochmal in der Manpage nach.

Gruß
David

Hier ist ein HOWTO (auf englisch), wie man eine Datei als Filesystem einbindet und mit dm_crypt verschlüsselt (cryptoloop ist wohl nicht sicher und wird aus dem Kernel entfernt):
http://www.saout.de/tikiwiki/tiki-index.php?page=looptutorial

Für externe USB-Platten kann ich übrigens Luksformat empfehlen. Festplatte mit dem Befehl formatieren, aus- und wieder einstecken, und Gnome fragt über einen Dialog nach dem Passwort, bevor die Partition eingebunden wird. Sehr bequem, und ohne jegliche Einträge in die fstab oder sonstiger Tippkram:
http://ubuntu.wordpress.com/2006/01/24/use-an-encrypted-usb-drivepartition/
oder ausführlicher und mit zusätzlichen Infos für maximale Sicherheit:
http://www.saout.de/tikiwiki/tiki-index.php?page=EncryptedDeviceUsingLUKS

Danke euch beiden. Schneikos Tipp lese ich gerade zum ersten mal.
...

Ich bin noch mittendrin ...

Wenn ich das hier durch habe, dann poste ich die Lösung Schritt für Schritt (und setze den Thread auf gelöst).

Die Hinweise von Schneiko finde ich auch interessant. Werde ich alles durchprobieren. Vielen Dank nochmal.

Also pass auf, ist ganz einfach (wenn man weiß, wie es geht) 😉

Du erstellst erstmal eine Datei, zum Test mit 10MB (count 100 wären 100MB, und so weiter. Dauert aber bei nem Gigabyte ne Weile, wenn man if=/dev/urandom nimmt. if=/dev/zero ist wesentlich schneller, aber halt weniger sicher.)

dd if=/dev/urandom of=/home/secret bs=1M count=10

So, nun wird die Datei eingebunden:

sudo losetup /dev/loop0 /home/secret

Fall dm_crypt nicht als Modul geladen ist, muss das jetzt gemacht werden:

sudo modprobe dm_crypt

Dann geht's los - das crypt-device wird eingerichtet und mit ext3 formatiert:

sudo cryptsetup -c aes -y create secret /dev/loop0
sudo mke2fs -j /dev/mapper/secret

Letzter Schritt ist das Mounten:

mkdir ~/sicher-ist-sicher
sudo mount /dev/mapper/secret ~/sicher-ist-sicher

Das wars. Im eigenen Home-Verzeichnis ist nun ein Ordner "sicher-ist-sicher", der im Moment 10MB Platz bietet und... naja... sicher ist 😉

Zum unmounten:

sudo umount ~/sicher-ist-sicher
sudo cryptsetup remove secret

Info: If you don't call cryptsetup remove, everybody can remount it without typing the passphrase!

Zum erneuten Einbinden folgende Befehle (der erste Befehl muss nur nach einem Reboot ausgeführt werden!):

sudo losetup /dev/loop0 /home/secret 
sudo cryptsetup create secret /dev/loop0
sudo mount /dev/mapper/secret ~/sicher-ist-sicher

Hat soweit geklappt, bis auf das erneute Einbinden. Aber das ist bestimmt nur noch eine Kleinigkeit.

root@bolide:~# losetup /dev/loop0 /mnt/hda6/krypto01.kry
ioctl: LOOP_SET_FD: Device or resource busy

Um die ich mich erst morgen kümmern werde.

Vielen Dank nochmal!

Stimmt, das ist eine Kleinigkeit. Der Befehl "losetup /dev/loop0 " braucht/kann nur ausgeführt werden, wenn loop0 nicht mehr belegt ist. Dies ist nach einem Neustart so, oder wenn man mit "losetup -d /dev/loop0" das Loop-Device manuell aushängt - was man glaube ich nicht machen braucht.

Wenn kein Neustart durchgeführt wurde, sollte also folgendes zum erneuten Einbinden des Crypto-Devices genügen:

sudo cryptsetup create secret /dev/loop0
sudo mount /dev/mapper/secret /mnt/hda6/krypto01.kry