atmos
Anmeldungsdatum: 1. November 2018
Beiträge: 735
|
Hallo! Ich möchte mir meinen Ordner, in dem sich wichtige Dokumente befinden, gerne verschlüsseln und mit einem Passwort versehen.
Hierfür habe ich mir jetzt aufgrund vieler positiver Meldungen zu dem Programm, für VeraCrypt entschieden.
Allerdings steht im entsprechenden Wiki-Artikel https://wiki.ubuntuusers.de/VeraCrypt/ , dass es nicht über die offiziellen Paketquellen verfügbar ist. Jetzt wollte ich so viele Fremdquellen wie möglich auf meinem System vermeiden, und daher fragen, für wie vertrauenswürdig ihr die Quellen haltet, und evtl. vllt sogar ein alternatives Tool empfehlen könnt? Mein Ziel ist es einfach nur, einen Dateiordner vollständig zu verschlüsseln, den man dann anschließend nur mit Passwort (gern auch PW + Yubikey), öffnen kann. Ich freue mich über eure Meinung hierzu! Viele Grüße!
|
MelcooX
Anmeldungsdatum: 26. April 2016
Beiträge: 144
Wohnort: Am Ende des Weges
|
Guten Abend...
Allerdings steht im entsprechenden Wiki-Artikel https://wiki.ubuntuusers.de/VeraCrypt/ , dass es nicht über die offiziellen Paketquellen verfügbar ist. Jetzt wollte ich so viele Fremdquellen wie möglich auf meinem System vermeiden, und daher fragen, für wie vertrauenswürdig ihr die Quellen haltet, und evtl. vllt sogar ein alternatives Tool empfehlen könnt?
Gute Frage... Ich bin mal über den folgenden Link gestollpert, welcher genau dieses Thema im allgemeinen diskutiert. https://askubuntu.com/questions/35629/are-ppas-safe-to-add-to-my-system-and-what-are-some-red-flags-to-watch-out-for Aber zurück zu deiner Frage: Ich persönlich habe VC nie unter Linux verwendet, nur unter Windows... Aber ich denke, ich kann trotzdem noch ein bisschen eine halbkompetente Antwort liefern. Ich denke, dein Problem lässt bricht sich auf folgende Teilfragen und Antworten herunterbrechen:
VC ist der Nachfolger von TrueCrypt. TrueCrypt hat lange als guter Verschlüsselungsanbieter gegolten, bis es nach einer Sicherheitslücke plötzlich nicht mehr weiterentwickelt worden ist.
VC ist als OpenSource, dass heisst du kannst VC selber kompilieren. VC hatte schon mind. 1 Code-Audits, welches mehrheitlich gut ausgefallen ist.
Die wohl beste Frage. Ich persönlich vertraue VC, da es viele Verwenden und man die Echtheit der heruntergeladenen Dateien mittels PGP überprüfen kann. Das heisst, man muss noch den Packetbauern vertrauen. Ich denke, dies lässt sich rechtfertigen.
Mein Ziel ist es einfach nur, einen Dateiordner vollständig zu verschlüsseln, den man dann anschließend nur mit Passwort (gern auch PW + Yubikey), öffnen kann.
Du könntest dies auch mit LUKS (aus den Packetquellen) bewerkstelligen, ist dann zwar nicht mehr so schön zu bedienen, aber es funktioniert. LUKS/Containerdatei Ich muss jedoch noch festhalte, dass du bei verschlüsselten Ordner aufpassen musst, dass dein Cache etc. nicht Hinweise hinterlässt, weshalb du eigentlich das ganze System verschlüsseln solltest... LG tl;dr: Ich vertraue VeraCrypt. Als Alternative kannst du LUKS/Containerdatei aus den Packetquellen verwenden.
|
Beforge
Ehemalige
Anmeldungsdatum: 29. März 2018
Beiträge: 2007
|
Zu VeraCrypt hat MelcooX ja schon etwas geschrieben. Ich würde auch eher eine komplette Verschlüsselung des Systems empfehlen. Die Wahrscheinlichkeit, dass du sonst außerhalb des verschlüsselten Bereichs Hinweise hinterlässt (Thumbnails, Cache, Swap, etc.), ist recht hoch. Die Performanceeinbußen durch die Komplettverschlüsselung sind m. E. (zumindest auf einer SSD) beim "normalen" Betrieb nicht spürbar.
|
kB
Supporter, Wikiteam
Anmeldungsdatum: 4. Oktober 2007
Beiträge: 8616
Wohnort: Münster
|
atmos schrieb: […] Ich möchte mir meinen Ordner, in dem sich wichtige Dokumente befinden, gerne verschlüsseln und mit einem Passwort versehen.
Warum willst Du das tun? Es ist wichtig, dass Du Dir selbst über den Grund, den Zweck und die Randbedingungen völlig im Klaren bist, denn es gibt keine seriöse pauschale Lösung. Kryptographie muss immer an den konkreten Einzelfall angepasst werden. Im Allgemeinen ist es sinnlos, auf einem Rechnersystem einen einzelnen Ordner zu verschlüsseln, wenn auf dem selben Rechner noch der verwendete Schlüssel oder Kopien des Klartextes herumliegen. Wer also sinnvoll verschlüsseln will, muss sicherstellen:
Auf allen als unsicher betrachteten Orten und Wegen gibt es den Schlüssel nicht. Auf allen als unsicher betrachteten Orten und Wegen gibt es keine Kopie des Klartextes.
Insbesondere die zweite Anforderung ist auf Rechnersystemen sehr schwer zu realisieren:
Kopien des Klartextes oder Teile davon können z.B. im physischen Arbeitsspeicher, im virtuellen Arbeitsspeicher (SWAP), in temporären Dateien, auf der Platte/SSD liegen. In der Regel kann man das als Anwender nicht beeinflussen. Diese Kopien können nicht durch „löschen“ vernichtet werden. „Löschen“ von Daten bedeutet in der Regel nur „Freigabe zum späteren Überschreiben“, der Anwender kann nicht beeinflussen, ob und wann dies wirklich geschieht. Es ist erforderlich, die Daten vor dem Löschen am Ort der Daten zu überschreiben. Selbst wenn man das als Anwender berücksichtigt, ist dieses "overwrite in place" oft aus technischen Gründen aufwendig oder unmöglich: Magnetische Platten überschreiben infolge mechanischer Toleranzen nicht exakt den Speicherort. Daten auf Flash-Speicher wie SSD oder auch USD-Sticks kann man überhaupt nicht selektiv überschreiben, weil bei jedem Schreiben ein anderer Speicherort ausgewählt wird.
Aus den dargestellten Gründen ist – wie bereits empfohlen – eine Verschlüsselung des gesamten Systems ratsam.
[…] VeraCrypt
Veracrypt ist sicher ein gutes Produkt, dennoch kann es für den eigenen Anwendungsfall ungeeignet sein (s.o.).
Mein Ziel ist es einfach nur, einen Dateiordner vollständig zu verschlüsseln, den man dann anschließend nur mit Passwort (gern auch PW + Yubikey), öffnen kann.
Ich verwende dafür den kryptographischen Standard AES256. Dieser beruht auf dem symmetrischen Rijndael-Algorithmus. Dieses kryptographische Verfahren ist über das standardmäßig installierte Programm GnuPG verfügbar: gpg --version
$ gpg (GnuPG) 2.2.4
libgcrypt 1.8.1
Copyright (C) 2017 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <https://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.
Home: /home/klaus/.gnupg
Unterstützte Verfahren:
Öff. Schlüssel: RSA, ELG, DSA, ECDH, ECDSA, EDDSA
Verschlü.: IDEA, 3DES, CAST5, BLOWFISH, AES, AES192, AES256, TWOFISH,
CAMELLIA128, CAMELLIA192, CAMELLIA256
Hash: SHA1, RIPEMD160, SHA256, SHA384, SHA512, SHA224
Komprimierung: nicht komprimiert, ZIP, ZLIB, BZIP2 Eine alternative Implementierung ist openssl, jedoch besitzt gpg kryptographisch sicherere Voreinstellungen als openssl und daher ist gpg für den Laien einfacher anzuwenden. Meine Szenario ist aber: Erzeugung einer verschlüsselten Datei zur Speicherung auf einem anderen Rechner. Daher kann ich bei vorsichtiger Handhabung die oben beschriebenen Randbedingungen gewährleisten. Ob meine Empfehlungen auch für Dein Szenario hilfreich sind, kannst nur Du selbst beurteilen.
|
atmos
(Themenstarter)
Anmeldungsdatum: 1. November 2018
Beiträge: 735
|
kB schrieb: atmos schrieb: […] Ich möchte mir meinen Ordner, in dem sich wichtige Dokumente befinden, gerne verschlüsseln und mit einem Passwort versehen.
Warum willst Du das tun?
Weil ich die Dokumente vor unberechtigtem Zugriff sowohl via Online Hacking als auch physikalischem Zugriff aus meinem Umfeld schützen möchte. Im Allgemeinen ist es sinnlos, auf einem Rechnersystem einen einzelnen Ordner zu verschlüsseln, wenn auf dem selben Rechner noch der verwendete Schlüssel oder Kopien des Klartextes herumliegen.
Mein Ziel ist es einfach nur, einen Dateiordner vollständig zu verschlüsseln, den man dann anschließend nur mit Passwort (gern auch PW + Yubikey), öffnen kann.
Ich verwende dafür den kryptographischen Standard AES256. Dieser beruht auf dem symmetrischen Rijndael-Algorithmus. Eine alternative Implementierung ist openssl, jedoch besitzt gpg kryptographisch sicherere Voreinstellungen als openssl und daher ist gpg für den Laien einfacher anzuwenden. Meine Szenario ist aber: Erzeugung einer verschlüsselten Datei zur Speicherung auf einem anderen Rechner. Daher kann ich bei vorsichtiger Handhabung die oben beschriebenen Randbedingungen gewährleisten. Ob meine Empfehlungen auch für Dein Szenario hilfreich sind, kannst nur Du selbst beurteilen.
Also schließe ich daraus, dass komplett sichere Verschlüsselung in einem Container via bspw. VeraCrypt nur dann gewährleistet werden kann, wenn die darin liegenden Dateien nicht geöffnet/bearbeitet werden, und somit auch nicht im Arbeitsspeicher temporär abgelegt - wenn ich deine Ausführungen richtig verstanden habe? Die Argumentation für eine Vollverschlüsselung leuchtet mir dann durchaus auch ein! Jetzt ist es nur so, dass ich mich vor allem bzgl. Verschlüsselung und Festplatten/Partitionsmanagement wirklich als Laien betrachte. Damit will ich sagen: Ich bin grundsätzlich schon für eine Vollverschlüsselung, allerdings würde ich das dann erst bei meiner Installation von Lubuntu 20.04 in genau einem Monat umsetzen. (Da stelle ich mein Notebook sowie meinen Desktoprechner vollständig auf Lubuntu um). Das heißt ich suche jetzt noch nach eine Art Guide, was ich bei der Installation genau auswählen muss, um eine funktionierende Vollverschlüsselung hinzubekommen. Man muss ja beim Installationsprozess an einem gewissen Punkt dann auswählen, was/wie genau bzgl. Verschlüsselung passieren soll. Ich hätte jetzt bei der Neuinstallation erstmal vom Live USB Stick gParted gestartet, manuell neue Partitionstabellen (GPT) erstellt, und anschließend die Installation gestartet. Auf der SSD: EFI Partition, / bzw. root Partition, /swap Partition
Auf der HDD: separate Daten-Partition All diese Partitionen sollen ja jetzt vollständig verschlüsselt werden, oder?
Also reicht es aus, wenn ich nach dem Erstellen der gewünschten Partitionstabellen die Installation starte, und dann im weiteren Verlauf „manuelle Partitionierung“ anwähle und mich für Verschlüsselung + LVM entscheide? (Vllt weiß noch jemand welche Punkte ich hier genau wählen muss, und ob es sonst noch etwas zu beachten gibt?) Es muss anschließend nichtsmehr eingerichtet werden bzgl. der Partition, also lediglich ein Passwort festlegen, oder? Bzgl Passwörtern:
Wäre es sicherheitstechnisch in euren Augen noch vertretbar, wenn das persönliche Passwort, das für sudo Befehle und zum Anmelden benutzt wird UND das Passwort der Systemverschlüsselung jeweils unterschiedliche Zahlenkombinationen sind? Oder muss ich da auch anfangen mit Sonderzeichen etc…? Wollte die Passwörter hier möglichst simpel halten, um den alltäglichen Betrieb nicht unnötig zu verkomplizieren.
|
Beforge
Ehemalige
Anmeldungsdatum: 29. März 2018
Beiträge: 2007
|
atmos schrieb: Bzgl Passwörtern:
Wäre es sicherheitstechnisch in euren Augen noch vertretbar, wenn das persönliche Passwort, das für sudo Befehle und zum Anmelden benutzt wird UND das Passwort der Systemverschlüsselung jeweils unterschiedliche Zahlenkombinationen sind? Oder muss ich da auch anfangen mit Sonderzeichen etc…? Wollte die Passwörter hier möglichst simpel halten, um den alltäglichen Betrieb nicht unnötig zu verkomplizieren.
Auch hier wieder die Frage: Vor wem oder was willst du dich schützen? Vor dem neugierigeren Ehepartner, der "händisch" versucht, dass Passwort zu knacken, mag das noch reichen. Sobald aber ein automatisierter brute-force -Angriff darauf läuft, ist eine reine Zahlenfolge (mit praktikabler Länge) innerhalb kürzester Zeit geknackt. Ich würde mit so etwas gar nicht anfangen, das vermittelt nur falsche Sicherheit. Aber letzten Endes musst du das für dich entscheiden. Ich nutze dafür ausschließlich Zahlen-Buchstaben-Sonderzeichen-Kombinationen mit mindestens 16 Stellen. Für übers Internet übermittelte Daten, gegen die Offline-Angriffe möglich sind, empfehlt das BSI eine Mindestlänge von 20 Stellen.
|
atmos
(Themenstarter)
Anmeldungsdatum: 1. November 2018
Beiträge: 735
|
Ich wüsste nicht, wer jetzt einen Bruteforceangriff auf mich vorhätte. Allerdings weiß man sowas ja generell erstmal nie.. daher tendiere ich unter diesem Gesichtspunkt dann schon doch auch eher zu einem sichereren Passwort. Gut, ich hätte da dann noch ein Kennwort aus 20 Zeichen (Groß- und Kleinschreibung, Ziffern, Sonderzeichen zu etwa gleichen Teilen enthalten, Buchstaben überwiegen etwas).
Wenn ich sowohl für sudo Befehle als auch für die Verschlüsselung das gleiche Passwort benutze wäre das aber noch vertretbar, denke ich?! Falls jemand noch was zu der Installation weiß bzw. ob ich mit meiner o.g. Konstellation da noch was beachten muss, würd ich mich sehr freuen 😳
|
Beforge
Ehemalige
Anmeldungsdatum: 29. März 2018
Beiträge: 2007
|
Als Root-Passwort habe ich zugegebenermaßen auch nur 16 Stellen. Dort sollten Brute-Force Angriffe auch entsprechend erschwert werden. Für die Festplattenverschlüsselung halte ich 20 Stellen allerdings für angebracht, wenn einem Sicherheit wirklich wichtig ist.
|
atmos
(Themenstarter)
Anmeldungsdatum: 1. November 2018
Beiträge: 735
|
okay, dann bleibe ich bei den Passwörtern ☺
Hast du / jemand anders vllt schon die Verschlüsselung während der Installation hinter sich, und kann mir sagen, ob ich bei meiner o.g. Partitionierung generell irgendwas beachten muss, oder einfach nur "Vollverschlüsselung" wählen + LVM und gut ist?
|
Lidux
Anmeldungsdatum: 18. April 2007
Beiträge: 15900
|
Hallo atmos, Solltest du nicht mal ins WIKI sehen ....... da ist doch eine genaue Anleitung für LVM + Vollverschlüsselung. Gruss Lidux
|
Beforge
Ehemalige
Anmeldungsdatum: 29. März 2018
Beiträge: 2007
|
LUKS und System verschlüsseln dürften dir beim tieferen Verständnis weiterhelfen. Ansonsten einfach Ubuntu Installation folgen. Lubuntu unterscheidet sich da nur optisch. Ich selbst habe auf meinem Produktiv-System auch nur die 0815-Aufteilung der grafischen Installation:
Mit Vollverschlüsselung + LVM kann man als Anfänger m. E. nichts falsch machen. Ich bin damals™ auch in einem Rutsch zu Ubuntu gewechselt und habe da von Anfang an mit "Vollverschlüsselung" gearbeitet. Und um in Übung zu bleiben, mache ich das bei jedem Upgrade aufs Neue.
|
atmos
(Themenstarter)
Anmeldungsdatum: 1. November 2018
Beiträge: 735
|
Beforge schrieb: LUKS und System verschlüsseln dürften dir beim tieferen Verständnis weiterhelfen. Ansonsten einfach Ubuntu Installation folgen. Lubuntu unterscheidet sich da nur optisch. Ich selbst habe auf meinem Produktiv-System auch nur die 0815-Aufteilung der grafischen Installation:
Mit Vollverschlüsselung + LVM kann man als Anfänger m. E. nichts falsch machen. Ich bin damals™ auch in einem Rutsch zu Ubuntu gewechselt und habe da von Anfang an mit "Vollverschlüsselung" gearbeitet. Und um in Übung zu bleiben, mache ich das bei jedem Upgrade aufs Neue.
Das heißt ich muss in diesem Fenster: https://media-cdn.ubuntu-de.org/wiki/attachments/09/16/300_Installationsart.png
einfach nur die beiden Haken bei Encryption und LVM setzen, und das war es? Mit "Sicherheitsschlüssel" ist ein Passwort gemeint nehme ich an ☺
|
atmos
(Themenstarter)
Anmeldungsdatum: 1. November 2018
Beiträge: 735
|
PS:
Wenn das System dann vollverschlüsselt ist, und ich mich einmal angemeldet habe, muss ich aber nicht für jeden Ordner den ich öffnen will etc. immer das Verschlüsselungspasswort eingeben oder? Am liebsten wäre es mir, wenn man einmal beim Anmelden das Passwort eingibt, und ansonsten wenn ein Ordner "sensibel" ist, man ihn mit Rechtsklick einfach mit einem Passwortschutz versehen kann. Geht sowas dann? Oder wie kann ich mir das in etwa vorstellen?
|
Beforge
Ehemalige
Anmeldungsdatum: 29. März 2018
Beiträge: 2007
|
atmos schrieb: Das heißt ich muss in diesem Fenster: https://media-cdn.ubuntu-de.org/wiki/attachments/09/16/300_Installationsart.png
einfach nur die beiden Haken bei Encryption und LVM setzen, und das war es? Mit "Sicherheitsschlüssel" ist ein Passwort gemeint nehme ich an ☺
Genau. Eigentlich ganz einfach 😉 atmos schrieb: Wenn das System dann vollverschlüsselt ist, und ich mich einmal angemeldet habe, muss ich aber nicht für jeden Ordner den ich öffnen will etc. immer das Verschlüsselungspasswort eingeben oder?
Nein, einmal entschlüsselt bleibt die Festplatte so lange entschlüsselt, bis zu sie wieder aushängst (was im laufenden Systeme nur durchs Herunterfahren möglich ist). Das bedeutet aber auch, dass der Schutz defakto nur gegeben ist, wenn der Computer aus ist. Solange du zugreifen kannst, kann auch ein potentielle Angreifer zugreifen (sobald er alle anderen Schutzmaßnahmen überwunden hat).
Am liebsten wäre es mir, wenn man einmal beim Anmelden das Passwort eingibt, und ansonsten wenn ein Ordner "sensibel" ist, man ihn mit Rechtsklick einfach mit einem Passwortschutz versehen kann. Geht sowas dann? Oder wie kann ich mir das in etwa vorstellen?
Also zusätzlich zur Komplettverschlüsselung? Kann man machen, ist aber als Standard nicht integriert. LUKS/Containerdatei wäre ein möglicher Weg. Den Sinn sehe ich allerdings nur begrenzt bzw. nur für eher spezielle Anwendungsfälle. Wer bereits die Systemverschlüsselung geknackt oder umgangen hat, kann beliebig das System manipulieren und den Inhalt des Containers kopieren, sobald du ihn mal öffnest. Oder ggf. sogar das Passwort abgreifen. Insofern: Kann man machen, sollte aber zum Gesamtsicherheitskonzept passen. Passwörter u. ä. sollten sowieso in einer verschlüsselten Dankbank liegen (Passwortmanager) und nicht plain auf der Platte. Hochsensible Daten würde ich eher auf einem physisch getrennten Medium ohne Internetzugriff lagern (selbstverständlich verschlüsselt), und nicht auf dem Produktivsystem. Das entzieht sie schon den meisten Angriffsszenarien. Ich habe aber ehrlich gesagt selbst derzeit keine (digitalen) Daten, die derart sensibel wären, dass sie einen solchen Aufwand rechtfertigen würden.
|
atmos
(Themenstarter)
Anmeldungsdatum: 1. November 2018
Beiträge: 735
|
Beforge schrieb: atmos schrieb: Wenn das System dann vollverschlüsselt ist, und ich mich einmal angemeldet habe, muss ich aber nicht für jeden Ordner den ich öffnen will etc. immer das Verschlüsselungspasswort eingeben oder?
Nein, einmal entschlüsselt bleibt die Festplatte so lange entschlüsselt, bis zu sie wieder aushängst (was im laufenden Systeme nur durchs Herunterfahren möglich ist). Das bedeutet aber auch, dass der Schutz defakto nur gegeben ist, wenn der Computer aus ist. Solange du zugreifen kannst, kann auch ein potentielle Angreifer zugreifen (sobald er alle anderen Schutzmaßnahmen überwunden hat).
Okay, dann muss ich es wieder einrichten, dass das System sich automatisch nach 15Min Nichtnutzung abmeldet ☺
Am liebsten wäre es mir, wenn man einmal beim Anmelden das Passwort eingibt, und ansonsten wenn ein Ordner "sensibel" ist, man ihn mit Rechtsklick einfach mit einem Passwortschutz versehen kann. Geht sowas dann? Oder wie kann ich mir das in etwa vorstellen?
Also zusätzlich zur Komplettverschlüsselung? Kann man machen, ist aber als Standard nicht integriert. LUKS/Containerdatei wäre ein möglicher Weg. Den Sinn sehe ich allerdings nur begrenzt bzw. nur für eher spezielle Anwendungsfälle. Wer bereits die Systemverschlüsselung geknackt oder umgangen hat, kann beliebig das System manipulieren und den Inhalt des Containers kopieren, sobald du ihn mal öffnest. Oder ggf. sogar das Passwort abgreifen. Insofern: Kann man machen, sollte aber zum Gesamtsicherheitskonzept passen. Passwörter u. ä. sollten sowieso in einer verschlüsselten Dankbank liegen (Passwortmanager) und nicht plain auf der Platte. Hochsensible Daten würde ich eher auf einem physisch getrennten Medium ohne Internetzugriff lagern (selbstverständlich verschlüsselt), und nicht auf dem Produktivsystem. Das entzieht sie schon den meisten Angriffsszenarien. Ich habe aber ehrlich gesagt selbst derzeit keine (digitalen) Daten, die derart sensibel wären, dass sie einen solchen Aufwand rechtfertigen würden.
Dem stimme ich vollkommen zu! Das wäre wohl wirklich nur unnötiger Mehraufwand, denn auch ich habe keine Daten aufm Rechner, die den Mehraufwand rechtfertigen würden... ursprünglich gings mir eigentlich nur um einen kleinen Passwortschutz für Ordner, weil ich vermeiden wollte, dass wenn ich eine andere Person am PC arbeiten lasse, dass diese sich dann nach Anmeldung wild durch alle Ordner klicken kann.. wenns hier noch ein kleines Tool gibt, wäre ich dankbar! (Muss keine Vollverschlüsselung sein... ein 4-stelliges Passwort für spezifische Ordner würde reichen. Oder was meint ihr zu der Möglichkeit, noch einen weiteren Nutzer anzulegen? Bin bisher immer mit einem "ein Mann System" gefahren.. Bearbeitet von sebix: Text auf Wunsch entfernt. Bearbeitet von kB: Edit-Tag repariert.
|