Hi franco_bez,

erstelle doch einfach einen Baustellenartikel, anhand dessen man entweder ueber eine Eingliederung oder aber einen eigenstaendigen Artikel entscheiden kann (je nach Umfang; Reduntantes aus anderen Artikeln muesste bei einem eigenstaendigen Artikel natuerlich anschliessend durch Verlinkung ersetzt werden).

Gruss Lasall

Hi Lasall

ist erledigt.

System verschlüsseln/Entschlüsseln mit einem USB-Schlüssel

Vom Umfang her meine ich ist es auf alle Fälle ein eigener Artikel

Ciao,

Franco

Ich finde, der Artikel ist nicht auf der Höhe der Zeit. Einige Worte zu allen wichtigen Angriffsvektoren und ggf. Hinweise zur Abwehr von entsprechenden Angriffen wäre nett. Für die Kaltstart-Attacke beispielsweise lassen sich ausblicksweise neuere Entwicklungen nennen, die die Schlüssel nicht in den RAM gelangen lassen. Für die Erkennung einer Manipulation des /boot-Bereiches oder MBR könnte zumindest ein Skript empfohlen werden, das gegen von im verschlüsselten Bereich oder auf USB-Flashstöpsel hinterlegte Signaturen prüft und diese auch erstellen oder bei Kernelinstallationen aktualisieren kann.

Hi Speckmade,

vielen Dank fuer den Hinweis. Sage einfach Bescheid, sobald du den Artikel uebearbeiten moechtest, dann lege ich dir eine Baustelle an.

Gruss Lasall

Hi!

Ich hatte gerade eine Menge Ärger mit einem LUKS-verschlüsselten System wegen einer Kleinigkeit. Und zwar kam immer beim update-initramfs -u (-k all) die Fehlermeldung:

device-mapper: table ioctl failed: Kein passendes Gerät bzw. keine passende Adresse gefunden
Command failed
cryptsetup: WARNING: failed to determine cipher modules to load for root

Eine längere Websuche nach diversen Stichworten und Teilabschnitten dieser Meldung brachte keinen Erfolg. Schließlich stieß ich (natürlich) hier im Forum auf diesen alten Beitrag: 2963657

Die simple Lösung: obiger Fehler kommt, wenn man das Crypt-Device mit luksOpen unter einem anderen Namen als in der /etc/crypttab öffnet (also z.B. sda1crypt statt sda1_crypt). update-initramfs kann dann (natürlich) den Cipher nicht ermitteln, weil es diesen nur bei einem aufgeschlossenen Crypt-Device ermitteln kann (wie auch luksDump).

Ich würde dies gerne in unsere Wiki einarbeiten, um es für Andere besser auffindbar zu machen. Wäre der Artikel „System verschlüsseln“ ein passender Ort dafür? (als eigener Punkt für releaseunabhängige Probleme, bislang sind dort nur releasebezogene aufgeführt).

Ciao

V.

Hi V for Vortex,

du schriebst:

Ich würde dies gerne in unsere Wiki einarbeiten, um es für Andere besser auffindbar zu machen. Wäre der Artikel „System verschlüsseln“ ein passender Ort dafür? (als eigener Punkt für releaseunabhängige Probleme, bislang sind dort nur releasebezogene aufgeführt).

Ist passend, vielen Dank schonmal für den Zusatz .

Gruss Lasall

Installation gescheitert unter 12.04 LTS auf Benq Joybook S73G (http://www.notebookcheck.net/BenQ-Joybook-S73G.1615.0.html).

Fehlermeldung:

Gave up waiting for root device.
[...]
ALERT! /dev/mapper/vgubuntu-root does not exist.

Ich hatte mich recht genau an die Anleitung im Wiki gehalten. Das Protokoll liegt als Anhang (Installation_12.04_LTS) bei.

Da es nicht funktioniert hat, habe ich - obwohl ich den Standard-Kernel verwende - auch noch einmal die Verschlüsselungsmodule eingefügt und das Kernel-Initramfs aktualisiert:

echo "aes" >> /etc/initramfs-tools/modules
echo "aes_i586" >> /etc/initramfs-tools/modules
echo "aes_x86_64" >> /etc/initramfs-tools/modules
echo "aes_generic" >> /etc/initramfs-tools/modules
echo "dm-crypt" >> /etc/initramfs-tools/modules
echo "dm-mod" >> /etc/initramfs-tools/modules
echo "sha256" >> /etc/initramfs-tools/modules
echo "sha256_generic" >> /etc/initramfs-tools/modules
echo "lrw" >> /etc/initramfs-tools/modules
echo "xts" >> /etc/initramfs-tools/modules
echo "crypto_blkcipher" >> /etc/initramfs-tools/modules
echo "gf128mul" >> /etc/initramfs-tools/modules 

Immernoch erfolglos.

Bei dieser Wiki-Anleitung fiel mir im übrigen auf:

1. Das Eintragen in /etc/crypttab wird auf zwei verschiedenen Wegen geschildert, aber mit unterschiedlichen Ergebnissen.

echo "lukslvm UUID=<VOLUME_ID> none luks" >> /etc/crypttab

liefert einen Eintrag beginnend mit "lukslvm".

printf "data\tUUID="%s"\tnone\tluks\n" "$(cryptsetup luksUUID /dev/sdXY)" | tee -a /etc/crypttab

liefert einen Eintrag beginnend mit "data". Ich habe beide Varianten ausprobiert ohne Erfolg.

2. Unter GRUB aktualisieren heißt es, dass man /etc/default/grub editieren soll und die Zeile soll heißen:

GRUB_CMDLINE_LINUX_DEFAULT="kopt=root=/dev/mapper/vgubuntu-root"

Tatsächlich habe ich aber in der Datei bereits eine Zeile gefunden, die lautet:

GRUB_CMDLINE_LINUX_DEFAULT="quiet splash"

Ich weiß nun nicht, ob die Zeile überschrieben oder irgendwie ergänzt werden soll. Ich habe daher keine Eintragung vorgenommen.

Bin dankbar für jeden weiterführenden Hinweis!

thope schrieb:

Installation gescheitert unter 12.04 LTS auf Benq Joybook S73G (http://www.notebookcheck.net/BenQ-Joybook-S73G.1615.0.html).

Ich habe jetzt die Alternate-CD ausprobiert, damit funktioniert es.

Hallo zusammen,

vielen Dank für diese gelungene Anleitung!

Meine Systeme früher hatte ich bereits nach dieser Anleitung problemlos installiert bekommen, wie auch jetzt bei Ubuntu 12.04. - bis auf eine Ausnahme: Beim Booten bekam ich seit Precise keinen Zugriff auf die verschlüsselte root-LVM-Partition.

Das Problem liegt im Abschnitt chroot: "update-initramfs -u -k all" kann die /etc/crypttab nicht auslesen, um die nötigen Infos in die Ramdisk initrd.img-3.2.0-24-generic zu schreiben. Somit fehlt in diesem Archiv die Datei conf/conf.d/cryptroot.

Die Ursache ist, dass nach der Installation von Ubuntu 12.04 der Ordner /run/lock/ fehlt, worauf jedoch der Symlink /var/lock zeigt. pvs/lvs wollen einen Ordner lvm unterhalb von /var/lock/ anlegen, was deswegen fehlschlägt. Wird der fehlende Ordner von Hand angelget, funktioniert update-initramfs und somit auch das Booten von der verschlüsselten LVM-Partition.

Sollte man das vielleicht noch mit in die Anleitung aufnehmen?

Hi falaki,

hast du Ubuntu 12.04 wirklich frisch installiert oder von einer Vorgängerversion (z.B. beta) geupgradet? In meiner frischen 12.04-Version existiert der Ordner.

Du kannst das aber auf jeden Fall als Problembehebug einfügen, nur bitte entsprechend allgemein formulieren (also nicht im Sinne, seit 12.04 funktioniert das in jedem Fall erstmal nicht).

Gruss Lasall

Lasall schrieb:

hast du Ubuntu 12.04 wirklich frisch installiert

Ja, ganz frisch

Du kannst das aber auf jeden Fall als Problembehebug einfügen

Bin fertig, vielleicht schaust Du mal drüber.

Liebe Grüße

falaki

Hi falaki,

danke für die Änderung . Ich habe lediglich noch Wikisyntaxmäßig was geändert.

Gruss Lasall

Ja - das sieht besser so aus