ubuntuusers.de

Hallo liebes Forum

Ich habe vor kurzem die /home Partition meiner Kubuntu Distri mit LUKS verschlüsselt. Wenn ich boote kommt kurz nach dem Grub die Aufforderung das Passwort für die Home-Partition anzugeben. Gebe ich das richtige Passwort an, kommt nach einer kurzen Zeit das Login-Fenster. Alles gut soweit. Drücke ich jedoch dreimal die Enter-Taste beim Passwortprompt (für das entschlüsseln der home-Partition) lande ich auf der Konsole und bin als root eingeloggt!! Ich kann ohne Passwort die gesamte Platte (natürlich nicht home) ansehen, das System ist offen wie ein Scheunentor.

Ist das normal?

Bin schon auf eure Rückmeldungen gespannt.

Gruss Meggsico

Dann musst du ein Passwort für den User root setzen. Ebenfalls solltest du überlegen / auch zu verschlüsseln, macht Manipulation am installierten System (aber nicht das Aufspielen eines anderen) unmöglich, zumindest für /, nicht z.B. /boot oder /boot/efi. Bereits da kann man Schadsoftware einschleusen.

Meggsico schrieb:

[…] Drücke ich jedoch dreimal die Enter-Taste beim Passwortprompt (für das entschlüsseln der home-Partition) lande ich auf der Konsole und bin als root eingeloggt!!

Wenn in der frühen Boot-Phase (early boot) vor dem Umschalten oder beim Umschalten auf das endgültige Root-Dateisystem etwas fatales geschieht, landet man im Single-User-Modus und ist dann natürlich root. Wenn das System in dieser Phase eine Bedienung zulässt bzw. sogar verlangt (Passworteingabe), kann natürlich ein Bediener einen Fehler provozieren. Sprich:

• Die Passworteingabe für ein verschlüsseltes System ist ein systembedingtes Sicherheitsloch.

Ich kann ohne Passwort die gesamte Platte (natürlich nicht home) ansehen, das System ist offen wie ein Scheunentor.

Wenn kein Passwort für root definiert ist (Standard bei Ubuntu), wird auch keines abgefragt.

Ist das normal?

Also: Ja. Aber natürlich nicht erwünscht. Man muss halt wissen, was man tut und was man will. Verschlüsselung des Systems hat Vor- und Nachteile. Man muss sich auch selber überlegen, ob man die Nachteile tolerieren will oder nicht.

Und: Warum schließt Du /home/ überhaupt in der frühen Boot-Phase auf? Das kann doch nach dem Umschalten auf das endgültige Root-Dateisystem erfolgen, wenn die Möglichkeiten, sich gegen Fehler abzusichern, viel besser sind.

DJKUhpisse schrieb:

Dann musst du ein Passwort für den User root setzen.

Sollte bei *buntu Systemen der User root nicht im Standard deaktiviert sein? Dafür nutze ich doch eigentlich sudo, oder bring ich da was durcheinander?

Man kann sich mit dem nicht im normalen System einloggen, solange man kein PW gesetzt hat. Im Recovery-Modus aber schon.

DJKUhpisse schrieb:

Im Recovery-Modus aber schon.

Ah, Danke.

U0679 schrieb:

[…] Sollte bei *buntu Systemen der User root nicht im Standard deaktiviert sein?

Das ist so. Ubuntu hat aus Sicherheitsgründen entschieden, dass der Benutzer root kein Passwort hat.

Das hat unterschiedliche Auswirkungen auf den Single-User-Modus und den Multi-User-Modus:

• Im Normalfall Multi-User-Modus muss man sich am System anmelden und kann das nur, wenn man ein (nicht gesperrtes) Passwort hat. Der Benutzer root hat keins und kann sich daher nicht anmelden. root ist aber eine Shell zugewiesen und kann ganz normal im System wie jeder Benutzer arbeiten, sobald ein Benutzer seine Rolle eingenommen hat. So funktioniert sudo.

• Im Single-User-Modus gibt es nur den Benutzer root. Dieser wird nach seinem Passwort nur gefragt, sofern eines existiert.

Die Design-Entscheidung von Ubuntu ist fragwürdig. Was im Normalfall schützt, schadet im Sonderfall:

Jeder, der physischen Zugang zum Rechner hat und diesen booten kann, kann sich auch zum root dieses Rechners machen. Wer Ubuntu einsetzt, muss das beachten und entweder tolerieren oder die Design-Entscheidung von Ubuntu abändern.

Ein Passwort vergeben ist sicher eine Lösung.

Auf einem Testsystem (unverschlüsselt) habe ich mich auch mal im „Emergence Mode“ wiedergefunden, was mir nicht gefallen hat (Da war der Zugriff ja auf alles(!) möglich). Da habe ich das entsprechende systemd-Unit (/usr/lib/systemd/system/emergency.target) deaktiviert. Ob das ein empfehlenswertes Vorgehen ist, kann ich nicht beurteilen. Auf meinem Testsystem habe ich vielleicht nur deshalb keinen negativen Auswirkungen verspürt, weil der Fall, dass dieser Modus benötigt würde, einfach nur nicht mehr eingetreten ist.

vgl. linux-console.net: So booten Sie in Ubuntu 20.04/18.04 in den Rettungsmodus oder Notfallmodus 🇩🇪

DJKUhpisse schrieb:

Ebenfalls solltest du überlegen / auch zu verschlüsseln

Genau das. Sehe keinen guten Grund auf einem Single user System nur /home zu verschlüsseln. Das bringt diverse Nachteile mit sich, aber ich sehe keinen ernsthaften Vorteil.

Voll-Verschlüsselung und jut is...

Besten Dank für eure aufschlussreichen Antworten. Ich werde dann wohl auch die / Partition verschlüsseln.