Ubuntu-Forum & Kubuntu-Forum | www.Ubuntu-Forum.de

Willkommen im Forum,

Die Ausgaben deiner Kommandos, die Inhalte der editierten Dateien und ein Log vom Bootvorgang (/var/log/boot) könnten uns helfen dir zu helfen.
Code-Tags würden es leichter lesbarer machen.

Das wäre nicht schlecht, denn die beiden Logs sind unauffällig.
Die Ausgabe von vielleicht auch, ob der Algorithmus "aes-xts-plain" von deinem System unterstützt wird.

Allerdings:

Zitat von »frido99«

die Fehlermeldung, die auf dem neuen System beim Booten anstelle der Verschlüsselungskennwortabfrage erscheint

klingt für mich, als ob cryptsetup aus der initrd gar nicht gestartet wird. Es müsste immerhin zweimal aufgerufen werden, um auch wirklich alle crypt-devices zu finden.

Hallo,

was steht denn in Deiner /etc/crypttab drin?



zeig mal noch die Ausgabe von

Hallo,

installiere mal cryptsetup neu mit



dann sollte es bei Dir gehen.

Zitat von »frido99«

plain: aes-cbc-essiv:sha256, Schlüssel: 256 Bits, Passsatz-Hashen: ripemd160
LUKS1: aes-cbc-essiv:sha256, Schlüssel: 256 Bits, LUKS-Kopfbereich-Hashen: sha1, Zufallszahlengenerator: /dev/urandom
Allerdings ist dies identisch wie auf meinem anderen Rechner.

Und hast du dort die Partition auch mit dem Parameter "-c aes-xts-plain" eingerichtet?

Zu den unterschiedlichen Größen der initrd schau einmal mit nach, was alles eingebunden wird.

Cryptsetup neu installieren ist sicher eine gute Übung. Aber es funktioniert im laufenden Betrieb ja auch.

Und verwende bitte Code-Tags für bessere Lesbarkeit der Ein- und Ausgaben.

FACEPALM!
Jetzt wo du das sagst, fällt mir ein daß ich ein ähnliches Problem mit cryptsetup kürzlich auch nur so beheben konnte. Es kam mir damals schon so unlogisch vor, daß ich es nicht als echte Lösung betrachtet und daher verdrängt habe. Sowas würde ich auch nie jemandem als Vorschlag anbieten.

Deshalb würde mich jetzt aber doch interessieren, wie sich zeudonym damit so sicher sein konnte. Bitte @zeudonym, kläre uns auf!

Mich würde aber auch aus anderen Gründen noch interessieren, welche Module laut deiner initramfs.conf eingebunden werden.

Hallo zusammen,

die Lösung ist ganz einfach, es gibt nun zwei Pakete, cryptsetup und cryptsetup-bin. In dem Paket cryptsetup sind die ganzen Scripte drin, wie



cryptsetup wird aber standardmäßig nicht mehr installiert, sondern nur das Paket cryptsetup-bin. Warum das so gemacht wurde, keine Ahnung, darüber habe ich keine Kenntnis.
Nachdem nun der TE geschrieben hat, dass nach dem Booten sein verschlüsseltes Laufwerk nicht eingebunden wird, lag für mich nahe, dass entweder seine /etc/cryttab Datei einen Fehler enthält, oder das Script /etc/init.d/cryptdisk beim hochfahren nicht gestartet wird. Ich selber habe mich eine Zeit lang mit dem Thema verschlüsseln beschäftigt und wusste nun wonach ich gucken musste, ein Blick in die Paketliste genügte, um zu Wissen was los ist. Heute verschlüssle ich keine Partitionen mehr oder ganze Festplatten, der Aufwand ist einfach zu groß und der Verbrauch an Rechenleistung steht einfach nicht im Verhältnis zur Sicherheit. Ich arbeite nun mit Encfs, was viel effektiver ist und schnell eingerichtet ist. Was möchte man den verschlüsseln, seine empfindlichen Daten, warum dann das ganze Haus in eine Festung umbauen, wenn ein einfacher Tresor im Keller reicht. Bedenke auch dabei, wenn es mal dazu kommt, dass die Festplatte defekte Sektoren hat, was gar nicht so selten ist, dann sind alle Deine Daten verloren, dann bekommst Du den Tresor nicht mehr aufgeschlossen. Bei meiner Methode kann man noch Glück haben seine Daten zu retten.

Um im Bild zu Bleiben: Brennt es im komplett gesicherten Haus (Festplattenfehler) schließt sich die Brandschutztür und man kommt nicht mehr an die Daten heran. Hat man keine, so gesicherte Festung, aber den Tresor im Keller, und es brennt in der Küche, kann man aber noch etwas Glück haben.

Das Problem ist aber, dass man so kontrollieren muss, was man wirklich alles vor fremden Zugriff schützen will. Sichert das System doch noch sicherheitsrelevante Daten an Stellen die ich nicht kenne?

Ist das Backup auch verschlüsselt?

@zeudonym:
Danke für die Erklärung. In diese Richtung hab ich natürlich damals auch nicht mehr gesucht.
Jetzt geht mir aber eines noch nicht ganz ein:

Zitat von »zeudonym«

cryptsetup wird aber standardmäßig nicht mehr installiert, sondern nur das Paket cryptsetup-bin.

Wenn sich darin aber auch die Rohfassung von /etc/crypttab befindet, dann hätte der TE die eigentlich neu erstellen müssen anstatt nur die Partition eintragen zu müssen.

Außerdem wäre das --reinstall für apt-get eigentlich nicht richtig gewesen. Bin mir jetzt nicht sicher, ob apt-get das nicht sogar ablehnt, wenn es noch gar nicht installiert war.

Das Grundübel liegt jedenfalls nach Deiner Erklärung entweder in einem falsch zusammengestellten Paket, einer fehlenden Abhängigkeit oder in einer mangelhaften Anweisung für die Integration in der initrd. Im Prinzip wäre das ein satter Schuss ins eigene Knie, wenn ein User bei der Erstinstallation das komplette System inklusive root-Partition verschlüsseln lässt. Soweit ich weiß, bietet zumindest die Alternate-CD diese Möglichkeit an. Gibt's dazu eigentlich einen Bug-Report?

BTW: encfs halte ich für weniger ausgereift als LUKS und es läuft afaik im Userspace. LUKS-Header kann man sich auch extern sichern. Aber die Wahl der Verschlüsselung ist natürlich jedermanns freie Entscheidung.

Zitat von »Fredl«

Außerdem wäre das --reinstall für apt-get eigentlich nicht richtig gewesen. Bin mir jetzt nicht sicher, ob apt-get das nicht sogar ablehnt, wenn es noch gar nicht installiert war.

Das --reinstall wird auch dann durchgeführt, wenn es noch gar nicht installiert ist (habe es selbst getestet). Ich wusste nicht, ob der TE bereits cryptsetup installiert hat, darum habe ich rein vorausdenkend das Reinstall mit hinein genommen. Zumindest hat mich das Vorhandensein der /etc/crypttab stutzig gemacht, darum auch das Reinstall.
Ob es ein Bug ist, kann ich nicht beurteilen, bestimmt wird bei der Installation, wenn komplett verschlüsselt werden soll, das Paket mit installiert, müsste man jetzt einfach mal ausprobieren, ich behaupte es aber einfach mal, ohne es jedoch auf Richtigkeit geprüft zu haben.

EDIT 13:36

Was hast Du denn für eine SSD verbaut?
Bei mir ist eine Samsung 840 SSD verbaut, durch setzen eines BIOS Passwort sind die Daten sicher verschlüsselt, ohne noch eine extra Software aufzusetzen zu müssen.