Wer den Inhalt seiner Festplatten vor Dieben oder dem kontrollsüchtigen Chef verbergen will, braucht Verschlüsselungssoftware. Linux hat kürzlich auf diesem Gebiet viel dazugelernt: DM-Crypt und Cryptsetup-LUKS sind die neuen Meister im Hüten von Geheimnissen.

Sektornummer als IV

Die Standardvariante von DM-Crypt nimmt die Sektornummer direkt als IV. Diese IV-Generierung heißt Plain. Sie ist allerdings anfällig für den so genannten Watermarking-Angriff. Ein Angreifer formt dabei Daten so, dass er sie in einer verschlüsselten Festplatte wiederfindet, ohne den Schlüssel zu kennen.

Abbildung 8: Der Device Mapper ist in der Kernelkonfiguration unter »Device Drivers | Multi-device support (RAID and LVM) | Device mapper support« zu finden. Für DM-Crypt ist der »Crypt target support« nötig.

02 1+0 records in
03 1+0 records out
04 $ losetup /dev/loop0 verysecret.loop
05 $ cryptsetup -c aes-cbc-essiv:sha256 -y -s 256 luksFormat /dev/loop0
06 
07 WARNING!
08 ========
09 This will overwrite data on /dev/loop0 irrevocably.
10 
11 Are you sure? (Type uppercase yes): YES
12 Enter LUKS passphrase: ******
13 Verify passphrase: ******
14 $ cryptsetup luksOpen /dev/loop0 verysecret
15 Enter LUKS passphrase: ******
16 key slot 0 unlocked.
17 $ mkfs.xfs /dev/mapper/verysecret
18 [...]
19 $ mount /dev/mapper/verysecret /mnt
20 $ umount /mnt
21 $ cryptsetup luksClose verysecret
22 $ cryptsetup luksAddKey /dev/loop0
23 Enter any LUKS passphrase: ******
24 key slot 0 unlocked.
25 Enter new passphrase for key slot: ******
26 $ cryptsetup luksDelKey /dev/loop0 0
27 losetup -d /dev/loop0

Diese Markierungen (Watermarks) transportieren bis zu 5 Bit Information [1]. Ein Angreifer könnte solche Marken in E-Mails einfügen und an sein Opfer senden, um später herauszufinden, ob und wenn ja wo es die Nachrichten abgespeichert hat. Denkbar sind auch Watermarks in MP3-Dateien, Bildern oder beliebigen Files, die ein misstrauischer Chef seinem Mitarbeiter unterschiebt. Damit sind Angriffe auf die Privatsphäre möglich: Ohne Entschlüsselung erhält der Spion Informationen über den Inhalt der Festplatte.

Der IV-Generator ESSIV (Encrypted Salt-Sector IV) verhindert derlei. Watermarking beruht darauf, dass der IV zweier aufeinander folgender Sektoren in einem einfachen Zusammenhang stehen. Bei Plain ist das der Fall: Auf den IV des Sektors n folgt der IV n+1 im nächsten Sektor. ESSIV sorgt für eine kompliziertere Folge, die der Angreifer nicht berechnen kann, ohne Teile des geheimen Schlüssels zu kennen (Kasten "ESSIV").

Es drängt sich die Frage auf, warum DM-Crypt eine Mischung aus Rekursion und Beeinflussung durch die Plattenposition nutzt. Letzteres sollte eigentlich ausreichen. CBC ist aus historischen Gründen weiterhin Teil des Verfahrens: Es hat sich seit langem bewährt und seine Eigenschaften sind ausreichend untersucht. Die Alternativen, die sich ausschließlich auf die Blocknummer verlassen, sind für kryptographische Bewährungsfristen dagegen sehr jung.

Daten tünchen

LRW ist ein solcher Verschlüsselungsmodus, der die Blocknummer in die Verschlüsselung auf eine ebenso einfache wie effektive Art einwebt. Zuerst berechnet LRW ein Whitening (weiße Farbe, Schlämmkreide) in Abhängigkeit vom geheimen Schlüssel und der Blocknummer. Dieses Whitening addiert es zum Klartext, verschlüsselt den Summenwert und addiert anschließend erneut das Whitening (Abbildung 7). Die beiden Schritte heißen auch Pre- und Postwhitening. Sie binden den Chiffretext an eine Plattenposition und erreichen damit, dass gleiche Klartexte an unterschiedlichen Plattenpositionen unterschiedlich verschlüsselt werden.

Abbildung 9: Da DM-Crypt die Verschlüsselung mit Hilfe des Crypto-API erledigt, muss unter »Cryptographic options | Cryptographic API« mindestens ein Algorithmus ausgewählt sein. Empfehlenswert ist derzeit AES.

LRW behebt alle bekannten Sicherheitsprobleme von CBC und glänzt zudem mit besserer Performance. Während CBC nicht mit der Anzahl der Prozessoren skaliert, da die Rekursion für jeden Rechenschritt das Ergebnis des vorherigen benötigt, können bei LRW mehrere Prozessoren gleichzeitig arbeiten. Der Autor von LUKS und Koautor dieses Artikels, Clemens Fruhwirth, hat LRW für DM-Crypt implementiert, getestet und stand schon kurz vor der Fertigstellung.

Wer den Inhalt seiner Festplatten vor Dieben oder dem kontrollsüchtigen Chef verbergen will, braucht Verschlüsselungssoftware. Linux hat kürzlich auf diesem Gebiet viel dazugelernt: DM-Crypt und Cryptsetup-LUKS sind die neuen Meister im Hüten von Geheimnissen.