[Howto] Verschlüsselung des kompletten Systems unter Ubuntu Dapper

Die folgenden Schritte habe ich so allesamt auf meinem ThinkPad T30 durchgeführt, das mit einer 40 GB-Festplatte (Samsung MP0402H) ausgestattet ist. Das hier aufgeführte Partitionierungsschema wird der geneigte Leser im Zweifelsfall natürlich seinen persönlichen Wünschen entsprechend anpassen können.

Falls noch nicht geschehen, ist zunächst eine Ubuntu Dapper Installations-CD zu besorgen. Zu finden z.B. hier.

Ist diese gebrannt, wird von ihr gebootet, und die Installation als Server gestartet, da im ersten Schritt nur ein kleines Hilfssystem installiert wird, von dem aus die eigentliche "Installation" durchgeführt wird. Denkbar wäre hier aber auch, einfach den späteren Swapspace für das Grundsystem zu nutzen, aus verschiedenen Gründen halte ich es aber für sinnvoller, ein kleines Rettungssystem auf der Platte zu behalten.
Besondere Beachtung verdient dabei natürlich die Partitionierung:

/dev/hda1: /boot mit rund 90 MB

/dev/hda2: Anlegen mit 2 GB (da 1 GB RAM im gerät stecken). Wird später der Swapspace

/dev/hda3: Anlegen mit ca. 6 GB, aber als "Nicht benutzen" markieren. Wird das spätere /-Filesystem

/dev/hda5: / mit rund 800 MB

/dev/hda6: Anlegen über die restliche Kapazität der Platte, aber auch nichts weiter. Wird später /home.

Ist die Installation durchgelaufen, haben wir schon einmal ein bootfähiges Basissystem, in das wir dann auch direkt hinein booten.

Hier bringen wir das System mit den bekannten Bordmitteln auf den aktuellen Stand, und installieren danach noch die Pakete cryptsetup und initramfs-tools. Wer's braucht, installiert nun noch ein paar andere Tools, die ihr / ihm lieb und wichtig sind, vergisst dabei aber bitte nicht, dass der Platz nur recht beschränkt ist.
Wer paranoid genug ist, und bereits Daten auf der Platte hatte, jagt nun noch einmal shred über /dev/hda3 und /dev/hda5 um "sicher"zustellen, dass keinerlei Rückschlüsse mehr darauf gezogen werden können.

Die Vorbereitungen sind damit abgeschlossen, wir können uns nun daran begeben, die Partitionen für das eigentliche spätere System zu verschlüsseln. Der Algorithmus der Wahl ist hierbei AES mit einer Schlüssellänge von 256 Bit, sowie SHA256-Hashes. Andere Algorithmen sind denkbar, jedoch für den weiteren Verlauf (noch) nicht ganz unproblematisch:

cryptsetup -c aes-cbc-essiv:sha256 -y -s 256 luksFormat /dev/hda3

Die folgende Rückfrage muss mit "YES" bestätigt werden, woraufhin eine zweimalige Nachfrage nach einer Passphrase erscheint. Zu bedenken dabei ist jedoch, dass beim booten (bei der hier vorgestellten Vorgehensweise noch kein duetscher "Tastaturtreiber" geladen ist, und allzu exotische zeichen unter Umständen nur schwer erreichbar sind. Wie es anders geht, beschreibt der o.g. Sternensucher.
Analog dazu verfährt man nun mit dem späteren Bereich für /home. Auf beiden Partitionen hat man nun die nötigen LUKS-Header geschrieben, was sie aber für sich allein genommen im System noch nicht "sichtbar" macht. Dies erledigt man erst durch

cryptsetup luksOpen /dev/hda3 root
und
cryptsetup luksOpen /dev/hda6 home

Erst hierdurch werden die Partionen dem Device-Mapper unterstellt, woraufhin nun auf beiden das Filesystem der Wahl angelegt werden kann.

Zur späteren Verwendung im "Rescuesystem" ist nun noch die Datei /etc/crypttab anzupassen:

root /dev/hda3 none luks,retry=2,cipher=aes-cbc-essiv:sha256
home /dev/hda6 none luks,retry=2,cipher=aes-cbc-essiv:sha256
swap /dev/hda2 /dev/random swap

Hintergrundinformationen finden sich unter "man 5 crypttab".
Wir legen nun Mountpunkte an, damit die eben angelegten Filesystem auch einen Sinn bekommen:

mkdir /mnt/{root,home}

und tragen die passenden Einträge in der /etc/fstab nach:

/dev/mapper/root /mnt/root ext3 defaults 0 2
/dev/mapper/home /mnt/home ext3 defaults 0 2
/dev/mapper/swap swap swap 0 0

Mit Hilfe von "mount -a" sollten die beiden Filesysteme nun auch endlich im System auftauchen, was sich (z.B.) mit Hilfe von "df -m" herausfinden lässt. Wir prüfen nun noch, ob auch der Swapspace beim Systemstart (mit Hilfe eines zuflligen Schlüssels) verschlüsselt wird:

/etc/init.d/cryptdisks start
swapon -a

Hat alles geklappt, können wir nun den gesamten Inhalt unseres Rettungssystems in die Filesysteme des späteren System kopieren:

cp -avx / /mnt/root
cp -avx /home/* /mnt/home

Wir laden uns nun ein (noch (?)) inoffizielles Paket herunter, das uns ermöglicht, ein verschlüsseltes /-Filesystem zu starten, und installieren es direkt:

wget http://ner.dy.fi/deb/initramfs-cryptsetup_0.43_all.deb
dpkg -i initramfs-cryptsetup_0.43_all.deb

Nun beginnt der knifflige Teil der Geschichte:
Zunächst ist die Datei /mnt/root/etc/fstab anzupassen, die auf das spätere System zugeschnitten sein sollte, und z.B. so aussehen könnte:

# /etc/fstab: static file system information.
proc /proc proc defaults 0 0
/dev/hda1 /boot ext2 defaults 0 2
/dev/mapper/root / ext3 defaults 0 1
/dev/mapper/home /home ext3 defaults 0 2
/dev/mapper/swap swap swap sw 0 0
/dev/hdc /media/cdrom0 udf,iso9660 user,noauto 0 0
#/dev/hda5 /mnt ext3 noauto,defaults,errors=remount-ro 0 1

Um das spätere Rettungssystem auch sicher booten zu können, erstellen wir nun eine Kopie des aktuellen kernel-Images und der dazugehörenden "initialen Ramdisk", und benennen sie entsprechend. Daraufhin ist die Grub-Konfiguration dementsprechend anzupassen. Hierzu ist ganz unten (als noch unter der "DEBIAN AUTOMAGIC KERNELS LIST") ein Eintrag für das Rescuesystem zu machen. In meinem Fall sieht das so aus:

title Rescue
root (hd0,0)
kernel /vmlinuz-rescue root=3,5 ro quiet
initrd /initrd.img-rescue
boot

Die eigentlichen Änderungen werden nun innerhalb des o.g. Debian-spezifischen Bereichs durchgeführt. Wir suchen uns nun die Zeile, die die "kopt"-Direktive enthält (der # am Anfang der Zeile ist unter keinen Umständen zu entfernen), und ändern sie wie folgt:

# kopt=root=/dev/mapper/root cryptoroot=/dev/hda3 ro quiet

Ein "update-grub" erstellt dann die passenden Einträge (die ich aber noch einmal durch löschen der ersten beiden "Rescue"-Einträge nachbearbeiten musste. Auf den schönen Splashscreen während des Bootens muss dann zwar verzichtet werden, aber was tut man nicht alles für wenigstens ein kleines bisschen Privatsphäre?

Um die nötigen Änderungen an der initrd vornehmen zu lassen, müssen wir zu guter Letzt noch das Kommando "update-initramfs -v -u ALL" aufrufen, das erfolgreich beendet werden sollte.

Prinzipiell ist unser verschlüsseltes System nun fertig. Wer jedoch keine Lust hat, beim Systemstart gleich zwei Passphrasen eingeben zu müssen (1x /, 1x /home), hinterlegt der Einfachheit halber ein entsprechendes Keyfile auf dem (ohnehin verschlüsselten (späteren)) /:

dd if=/dev/random of=/mnt/root/etc/keys/home.key bs=32 count=1
chmod 600 /mnt/root/etc/keys/home.key

Nun fügen wir diesen Schlüssel dem LUKS-Set von /dev/hda6 hinzu:

cryptsetup luksAddKey /dev/hda6 /mnt/root/etc/keys/home.key

Im letzten Schritt ist die /mnt/root/etc/crypttab noch auf die geänderten Gegebenheiten anzupassen:

root /dev/hda3 none luks,retry=2,cipher=aes-cbc-essiv:sha256
home /dev/hda6 /etc/keys/home.key luks,retry=2,cipher=aes-cbc-essiv:sha256
swap /dev/hda2 /dev/random swap

Fertig! Ein Reboot sollte nun beim starten des "normalen" Systems direkt nach einer Passphrase fragen. Hat man diese eingegeben, sollte nun also das eigentliche System hochfahren, in das nun alles Weitere installiert werden kann.
Sollte alles fehlschlagen, hat man immerhin noch ein Rettungssystem zur Hand, mit dessen Hilfe man die Prozedur doch noch einmal von vorn beginnen kann.

Über Feedback zum ganzen würde ich mich in diesem Fall sehr freuen.