ubuntuusers.de

Hallo Allerseits,

ersteinmal möchte ich mich dafür entschuldigen, dass ich "fremd gehe". Aber da ich nicht weiß wie ich im Arch Forum auf englisch nach der Schlüsselableitung fragen soll (Wie nennt sich das?) dachte ich ihr könnt mir bestimmt ebenfalls helfen. Falls jemand eine Idee hat bin ich jedenfalls sehr dankbar.

Undzwar möchte ich eine interne Festplatte zu meinem verschlüsselten System hinzufügen (/ & /swap auf der SSD mit LVM auf Luks). Die Festplatte soll durch eine Schlüsselableitung gemountet werden. Wenn ich jedoch wie im Wiki beschrieben diesen Schritt ausführe...

[gamer@GamingArch ~]$ /lib/cryptsetup/scripts/decrypt_derived /dev/mapper/main-root | cryptsetup -c aes-xts-plain -s 512 luksFormat /dev/sdb1
bash: /lib/cryptsetup/scripts/decrypt_derived: Datei oder Verzeichnis nicht gefunden

...seht ihr bereits das Ergebnis. Scheinbar gibt es den besagten Script nicht. Was kann ich tun? Kann ich etwas derartiges andersweitig implementieren oder sind nur die Pfade verschieden? Ich bin für jede Hilfe dankbar.

Frag doch hier: https://bbs.archlinux.de/

Auch eine Idee. Trotzdem kanns ja sein, dass hier jemand eine Idee hat. Jedenfalls tummelt sich auch hier ein Haufen an Archusern. Wir unterwandern uu nachdem wir ursprünglich alle damit begannen.😉

Es ist ja nicht schwer an das Skript zu kommen: http://anonscm.debian.org/viewvc/pkg-cryptsetup/cryptsetup/trunk/debian/scripts/decrypt_derived?revision=920&view=markup

Okay, danke. Reicht denn das Skript alleine wenn ich es an die entsprechende Stelle kopiere?

EDIT: Im Paket sind nämlich allerhand Skripte und ich weiß nicht welche ich alle brauche damit das funktioniert bzw. was Arch ansich schon mitbringt. Generell sollte das ja eigentlich gehen....

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55

    /etc/default/cryptdisks
    /etc/init.d/cryptdisks
    /etc/init.d/cryptdisks-early
    /etc/init.d/cryptdisks-enable
    /etc/init.d/cryptdisks-udev
    /etc/init/cryptdisks-enable.conf
    /etc/init/cryptdisks-udev.conf
    /lib/cryptsetup/askpass
    /lib/cryptsetup/checks/blkid
    /lib/cryptsetup/checks/ext2
    /lib/cryptsetup/checks/swap
    /lib/cryptsetup/checks/un_blkid
    /lib/cryptsetup/checks/xfs
    /lib/cryptsetup/cryptdisks.functions
    /lib/cryptsetup/scripts/decrypt_derived
    /lib/cryptsetup/scripts/decrypt_gnupg
    /lib/cryptsetup/scripts/decrypt_keyctl
    /lib/cryptsetup/scripts/decrypt_openct
    /lib/cryptsetup/scripts/decrypt_opensc
    /lib/cryptsetup/scripts/decrypt_ssl
    /lib/cryptsetup/scripts/passdev
    /sbin/cryptdisks_start
    /sbin/cryptdisks_stop
    /usr/sbin/cryptdisks_start
    /usr/sbin/cryptdisks_stop
    /usr/share/apport/package-hooks/cryptsetup.py
    /usr/share/bug/cryptsetup
    /usr/share/doc/cryptsetup/AUTHORS
    /usr/share/doc/cryptsetup/FAQ.gz
    /usr/share/doc/cryptsetup/NEWS.Debian.gz
    /usr/share/doc/cryptsetup/README.Debian.gz
    /usr/share/doc/cryptsetup/README.gnupg
    /usr/share/doc/cryptsetup/README.initramfs.gz
    /usr/share/doc/cryptsetup/README.keyctl
    /usr/share/doc/cryptsetup/README.openct.gz
    /usr/share/doc/cryptsetup/README.opensc.gz
    /usr/share/doc/cryptsetup/README.remote.gz
    /usr/share/doc/cryptsetup/changelog.Debian.gz
    /usr/share/doc/cryptsetup/copyright
    /usr/share/doc/cryptsetup/examples/gen-ssl-key
    /usr/share/initramfs-tools/conf-hooks.d/cryptsetup
    /usr/share/initramfs-tools/hooks/cryptgnupg
    /usr/share/initramfs-tools/hooks/cryptkeyctl
    /usr/share/initramfs-tools/hooks/cryptopenct
    /usr/share/initramfs-tools/hooks/cryptopensc
    /usr/share/initramfs-tools/hooks/cryptpassdev
    /usr/share/initramfs-tools/hooks/cryptroot
    /usr/share/initramfs-tools/scripts/local-bottom/cryptopensc
    /usr/share/initramfs-tools/scripts/local-top/cryptopensc
    /usr/share/initramfs-tools/scripts/local-top/cryptroot
    /usr/share/lintian/overrides/cryptsetup
    /usr/share/man/man5/crypttab.5.gz
    /usr/share/man/man8/cryptdisks_start.8.gz
    /usr/share/man/man8/cryptdisks_stop.8.gz

EDIT2: Scheinbar reicht das nicht:

[gamer@GamingArch ~]$ /lib/cryptsetup/scripts/decrypt_derived /dev/mapper/main-root | cryptsetup -c aes-xts-plain -s 512 luksFormat /dev/sdb1
/lib/cryptsetup/scripts/decrypt_derived: failed to find /dev/mapper/main-root in dmtable

Hat jemand eine Idee?

crazy-biscuit schrieb:

EDIT: Im Paket sind nämlich allerhand Skripte und ich weiß nicht welche ich alle brauche damit das funktioniert bzw. was Arch ansich schon mitbringt.

Ich sehe da an besonderen Befehlen im Skript nur dmsetup, das im Paket device-mapper steckt. Wo du das Skript decrypt_derived ablegst ist völlig egal, das gibt ja eigentlich nur einen Key zurück,

Man sollte es IMHO vermeiden Skripte bzw. Befehle zu nutzen wenn einem nicht klar ist, was die tun (gerade wenn es um wichtige Daten geht).

Hi crazy-biscuit,

die Schlüsselableitung funktioniert nicht mit systemd, also auch nicht mit Arch. (Irgendwo auf der systemd-Mailingliste findet sich die zugehörige Diskussion, ist schon etwas länger her.)

Gruss Lasall

Muss der Paramete nicht ohne /dev/mapper/ davor übergeben werden?

Alles klar, danke. Was kann man stattdessen nutzen wenn man den Schlüssel nicht irgendwo im Klartext liegen haben möchte?

Passt vielleicht nicht genau auf deine letzte Bedingung, aber du könntest ein weiteres, zufälliges Passwort generieren und dies in einer Datei auf der verschlüsselten Systempartition nur für root lesbar ablegen. AFAIK ist das nicht unsicherer als die Verwendung des Schlüsselableitung.

...bedeutet das, dass sich für den Fall das jemand online versucht meinen PC zu durchstöbern keine Lese- und Schreibrechte hat und ihm das File somit nichts bringt? Insofern wäre es dann okay.

EDIT: Wie lautet ein Befehl um ein 32stelliges Zufallspasswort zu generieren inkls. Groß- und Kleinschreibung, Sonderzeichen und Zahlen.

pwgen -sy 32

Aber wenn du sowieso mit keyfile arbeitest... gleich /dev/urandom

Okay, wie klappt das mit dem urandom?

dd if=/dev/urandom of=keyfile count=1

oder

dd if=/dev/random of=keyfile count=1 iflag=fullblock

wenn du lieber /dev/random statt urandom haben willst.

Du solltest auch noch eine Backup-Passphrase haben... sonst ist wie bei der Schlüsselableitung auch, wenn mit dem einen Container was passiert hast auch keinen Zugriff auf den anderen mehr.