Das funktioniert doch:
lionlizard schrieb:
Im Abschnitt Sicherheitsschluessel anlegen wird der Befehl
cryptsetup luksAddKey <Gerät>
vorgeschlagen. Dieser Befehl funktioniert aber nicht, weil eine existierende Passphrase eingegeben werden muss, um einen weiteren Schlüssel hinzuzufügen. Diese existiert aber nicht, weil der Schlüssel ja abgeleitet wurde - darum will man ja gerade eine Passphrase hinzufügen.
Funktioniert, wenn man den Sicherheitsschlüssel ZUVOR anlegt, bevor man das Script ableitet - dann natürlich die Variante aus dem Wiki OHNE erneute LUKS-Formatierung. Also wenn dem bei dir so ist, ist diese Variante dann im Wiki so zu dokumentieren, dass sie nicht mit Sicherheitsschlüssel funktioniert, weil man diesen ZUERST anlegen und danach Key ableiten muss, ohne erneut mit LUKS zu formatieren.
Ansonsten, ohne Sicherheitsschlüssel, funktioniert theoretisch auch LUKS-Format, praktisch aber laut der anderen Wikidiskussion mit deiner Fehlermeldung auch nicht. Ist das so korrekt zusammengefasst? Soll das bedeuten, dass du diesen Abschnitt quasi als falsch bestätigt haben und entweder aus dem Wiki gestrichen haben oder eine Problemlösung dafür suchen bzw. gefunden haben willst?
Nach längerer Suche bin ich darauf gestoßen, dass man, sofern das Laufwerk derzeit entschlüsselt ist, den Masterkey zur Authentifizierung benutzen kann. Der Befehl würde dann lauten:
cryptsetup luksAddKey <Gerät> --master-key-file <(dmsetup table --showkey /dev/mapper/<MAP> | awk '{print$5}' | xxd -r -p) wobei <MAP> dem Namen entspricht, unter dem das Laufwerk geöffnet wurde und nur in /dev/mapper zu finden ist, während <Gerät> dem Name /dev/SDXY entspricht.
Ok, das wäre also dein Lösungsvorschlag für diese Variante? Ich würde frostschutz Warnung so einordnen, dass die zweite Variante also nicht solide ist, aber mit Warnung unter Problembehebungen könnte? Und meine verwendete (erst LUKS-Format mit Sicherheitsaktualisierungen, dann erst Key ableiten) bliebe dann wie bisher der Standard (war er zumindest für mich, das Wiki lies das offen) und die umgekehrte Variante würde praktisch in Problembehebungen ausgelagert, mit Warnung und deiner Lösung?
Es wäre dann ja nicht mehr empfehlenswert, aber eine nicht zuverlässige, gefährliche Lösung dafür, wenn man den Sicherheitsschlüssel ZUVOR vergessen hat und das nachholen möchte.
I
Was meinen andere?
Wobei ja deine Lösung offenbar zwar das Ableiten ohne vorhandenen Sicherheitskey erst ermöglicht - aber auch (noch) keine Lösung dafür hat, einen nachträglich anlegen zu können? Dann ist die Frage, wenn das so bleibt, welche Berechtigung im Wiki das Ableiten ohne ZUVOR Sicherheitsschlüssel anzulegen überhaupt noch hat. Praktisch nur für den Fall, das man GENAU weiß, dass man zuvor auf den Sicherheitsschlüssel verzichten will und danach muss - also wenn man generell keinen haben will.
Zwar unsicher im Fehlerfall, aber unter Sicherheitsgesichtspunkten (Knackbarkeit/ Berechtigungen durch PW) durchaus eine zumindest erwähnenswerte Variante, deren Pferdefuß jedoch benannt werden sollte. Eine Lösung hättest du ja dafür, dass die Variante überhaupt noch funktioniert.
Grüße, Benno
