Loopdevice anlegen
Das »losetup«-Kommando erzeugt aus der Datei ein Loopdevice. Es fragt dabei nach einem Verschlüsselungs-Passwort. Für den Test ist ein Passwort ausreichend, später kommt ein zufälliger Key zum Einsatz. Beim Eingeben des Passworts ist Vorsicht geboten: »losetup« fragt es nur genau ein Mal ab. Wer sich hier vertippt, kommt später nicht mehr an seine verschlüsselten Daten. Zum Abschluss muss der Tester noch ein Filesystem auf dem Loopdevice anlegen, das Dateisystem mounten und ein paar Files darauf ablegen:
dd if=/dev/zero of=/root/cryptfile bs=1024k count=20
losetup -e aes -k 128 /dev/loop0 /root/cryptfile
mkfs -t ext2 -m 0 /dev/loop0
mount -t ext2 /dev/loop0 /mnt
cp /bin/{mv,rm} /mnt
Bringt bereits das »losetup«-Kommando eine Fehlermeldung, ist der Kernel vermutlich noch nicht auf die Gegebenheiten verschlüsselter Filesysteme eingerichtet. Ihm fehlt Crypto-API:[3] erklärt, wie der Kernel zu dieser Funktionalität kommt. Es ist dazu nicht nötig, den kompletten Kernel neu zu übersetzen, denn Crypto-API besteht nur aus Modulen, die der Kernel im laufenden Betrieb lädt. Auch für den Betrieb mit USB-Sticks muss der Kernel gewappnet sein: Die entsprechenden Optionen sind »USB-Mass-Storage«, »SCSI-Disk-Support« und »SCSI emulation support«. Die Kernel der meisten aktuellen Distributionen enthalten die entsprechenden Module bereits, das erneute Kompilieren kann damit entfallen.
Userspace-Tools
Über die im Kernel ablaufende Ver- und Entschlüsselung hinaus müssen Userspace-Programme die Krypto-Filesysteme vorbereiten und später mounten. Dazu sind »losetup« und »mount« (aus dem Paket »util-linux«) entsprechend einzurichten.
-
Das Util-Linux-Paket von Debian Woody ist bereits für
verschlüsselte Filesysteme vorbereitet, ein Patch ist nicht
nötig.
-
Red Hat 8 bringt ein ungepatchtes Util-Linux-Paket mit, hier
ist Handarbeit angesagt. Die Schritte sind auf[4] sehr gut
erklärt.
-
Gentoo fügt dem Util-Linux-Paket bei gesetztem Use-Flag
»+crypt« die Funktionen hinzu, um mit
Krypto-Filesystemen zu arbeiten.
Der erste Schritt vor dem Praxiseinsatz ist ein Backup der Daten. Da man im weiteren Ablauf das komplette »/home«-Filesystem unwiderruflich löscht, wären die darauf enthaltenen Daten sonst verloren. Eine gute Gelegenheit, sein Heim mal wieder aufzuräumen.
Ein verschlüsseltes Filesystem ist aber nur dann ein echter Sicherheitsgewinn, wenn nicht noch Reste der alten Partition auf der Platte liegen. Also gilt es, die Daten gründlich von der Platte zu putzen: Einfaches Formatieren oder Löschen genügt nicht. Die Originalfiles liegen im (hoffentlich geprüften) Backup und werden später in das neue Krypto-Filesystem eingespielt.
Das alte Filesystem unbrauchbar machen geht recht einfach mit Zufallswerten: Der Admin unmountet das »/home«-Filesystem und entleert den Zufallszahlengenerator des Kernels in die Partition. In den folgenden Beispielen liegt »/home« auf »/dev/hda6«. Wer Wert auf beste Zufälligkeit legt und viel Zeit hat, sollte statt »/dev/urandom« besser den Zufallsgenerator »/dev/random« verwenden (siehe Kasten "Guter Zufall braucht Zeit").
|
Die beiden Devicefiles »/dev/random« und »/dev/urandom« sind Schnittstellen zum Zufallszahlengenerator des Kernels. Er sammelt Ereignisse mit möglichst hohem Grad an Zufall und fügt diese Daten zu einem Entropiepool hinzu. Jeder Zugriff auf »/dev /random« reduziert die Menge der im Pool vorhandenen Entropie.
Falls nicht mehr genügend Entropie vorhanden ist, blockiert der Kernel den Lesevorgang, bis er wieder ausreichend Zufälligkeit gesammelt hat. Daher liefert das Device Zufallswerte mit hoher Qualität, viele kryptographische Funktionen (etwa OpenSSL, GPG und andere) nutzen diese Werte.
Das Device »/dev/urandom« hingegen gibt die gesamte angeforderte Datenmenge zurück, ohne zu prüfen, ob ausreichend Entropie vorhanden ist. Es kann daher passieren, dass Angreifer Rückschlüsse auf die zurückgegebenen Daten ziehen können. Für einfache Aufgaben genügen die Werte aber.
|
dd if=/dev/urandom of=/dev/hda6 bs=4k conv=notrunc
Dieses Kommando überschreibt das gesamte Blockdevice mit zufälligen Werten. Damit ist es später schwerer, zwischen Datenmüll und den verschlüsselten Daten zu unterscheiden. Je nachdem, wie viel Entropie im Zufallszahlengenerator übrig ist, und je nach Größe des Filesystems kann das Überschreiben viel Zeit in Anspruch nehmen.
Diese Vorgehensweise reicht allerdings noch nicht aus, um professionelle Datenretter davon abzuhalten, die alten Daten wiederherzustellen. Es ist immer noch genug Restmagnetismus auf der Festplatte vorhanden[5]. Wer paranoid genug ist, sollte den Vorgang also mehrfach wiederholen.
| Whitepaper |
|---|
|
Usage Landscape Enterprise Open Source Data Integration
Die Nachfrage nach Datenintegrationslösungen für Unternehmen ist zunehmend gestiegen und vor allem das Interesse an Open Source Technologien wird immer größer. Doch wie und von wem werden Open Source Datenintegrationslösungen genutzt und welches Nutzungsverhalten lässt sich daraus ableiten? Das vorliegende White Paper präsentiert die Erfahrungswerte von über 1000 Open Source Nutzern und liefert fundierte Antworten auf diese Fragen.
Download PDF (Registrierung erforderlich)
|
|
Daten Migration - Eine Publikation von Bloor Research
Datenmigrationsprojekte überschreiten häufig das Budget, neigen zu Verzögerung und werden unter Umständen komplett abgebrochen. Bloor Research ist eines der weltweit führenden IT-Forschungs-, Analyse- und Beratungsunternehmen und wird in dem vorliegenden White Paper die wichtigsten Aspekte dieser Problematik näher beleuchten. Ferner werden praktische Empfehlungen für erfolgreiche Migrationsprojekte gegeben, die Sie auf Ihr nächstes Projekt übertragen können.
Download PDF (Registrierung erforderlich)
|
Dieser Online-Artikel kann Links enthalten, die auf nicht mehr vorhandene Seiten verweisen. Wir ändern solche "broken links"
nur in wenigen Ausnahmefällen. Der Online-Artikel soll möglichst unverändert der gedrucken Fassung entsprechen.
|
