Debian 13.4 mit Cockpit - wie automatisch (beim Boot) 2x LUKS Disks mounten? Passphrase hinterlegen

Ich vermute mal, dass man in der fstab die Passphrase hinterlegen kann (direkt oder indirekt).

Nur macht dieses Vorgehen due Nutzung von LUKS völlig sinnfrei und führt nur zur Verschwendung von wertvoller CPU-Ressourcen...

Zur Begründung:
fstab ist für jeden lesbar
eine Datei mit der Passphrase sollte für root lesbar sein (vielleicht gibt es da ne Lösung, die könnte evtl. für dein Szenario ausreichen?)

Hallo,

das ist in der Tat ggf. sinnfrei, weil beim Booten ja noch nicht feststeht, wer sich einloggt, sprich die entschlüsselten Dateisysteme sind grundsätzlich für jeden Nutzer des Systems lesbar.

Wenn das gewollt ist kann man so was wie systemd-cryptsetup-generator nutzen. Das kann das Passwort aus einer Dateilesen, die man dann tunlichst nur `root` zugänglich machen sollte, so dass normales Nutzer diese nicht lesen können. Da systemd mit Root-Rechten läuft, kann systemd die Datei und den / die Schlüssel lesen.

Gruß, noisefloor

McDotter Ich würde nicht völlig sinnfrei sagen. Wenn man den Raspi hat, dann ja, aber wenn jemand nur den/die Datenträger in die Finger bekommt, dann hat er halt verschlüsselte Datenträger, mit denen er nix anfangen kann.

Hallo,

ich korrigiere mich auch zum ggf. sinnfrei: es könnte sinnfrei sein, könnte aber auch nicht - kommt drauf an, was auf den verschlüsselten Laufwerken drauf ist und für wen das (nicht) bestimmt ist.

Windows verschlüsselt per default per Bitlocker und entschlüsselt beim Booten bzw. beim Lesen - für jeden angemeldeten Benutzer. Das ist dann so, wie __blackjack__ sagt, der Schutz, falls ein Unbefugter mal den Rechner oder den Datenträger in die Finger bekommt.

Gruß, noisefloor

Generell rate ich mindestens zu einer verschlüsselten Imagedatei (und die dann auf mindestens 2 Systemen vorzuhalten), auf der man alles speichert, was definitiv nicht in fremde Hände gehört.
Auch gegen 2 verschlüsselte Datenträger spricht erst mal nichts (ich kenn ja auch nicht die Bedürfnisse der TO)

=> so lange der Schlüssel und Passphrase auch sicher sind (Thema: Haus zu Fort Nox aufgerüstet und Ersatz-Haustürschlüssel unter der Fußmatte...)
in der fstab als lesbarer Text wäre die Passphrase also "für'n A***", wenn man den jedoch in ner systemverschlüsselten Datei wie gshadow speichern könnte und in der fstab darauf verweisen kann (also in etwa wie der Bitlocker von Windows), dann ist nichts dagegen zu sagen. Ob das unter Linux geht, kann ich nicht beantworten.
Das Vorgehen aus #4 hat - vorausgesetzt, root wäre unverschlüsselt - den Nachteil, dass jeder root werden kann, wenn man von das System auch von einem USB-Datenträger booten kann...

Bei Ubuntu regt mich auf, dass ich als User ohne Authentifizierung an meinen Schlüsselbund komme und alle Passwörter einsehen kann. Da kämen auch die Passphrases von LUKS2-verschlüsselten Devices/Images/Files rein
Die (verschiedenen) Passphrase meiner LUKS2-Imagedateien gibt es nur in meinem Kopf - wehe, wenn ich die vergesse... aber einen Tod muss man ja sterben.

Quote from McDotter

wehe, wenn ich die vergesse... aber einen Tod muss man ja sterben.

Das freut dann aber die Erben

MfG

Jürgen

"apropos systemd-crypt" hilft Dir vllt weiter.

Servus !

Hier nochmal der volle Link: https://www.freedesktop.org/software/syste…cryptsetup.html und https://www.freedesktop.org/software/syste…t/crypttab.html

Die systemd Sachen lesen sich beim 1. Mal manchmal etwas kryptisch, aber wenn man es 2x liest und ausprobiert ist es in der Regel dann doch relativ logisch und einfach. Selber Erfahrung habe ich mit verschlüsselten Laufwerken und systemd aber nicht.

Gruß, noisefloor

Spam steht im Profil von #12 bei ‘Über mich’

Just my

Quote from Leroy Cemoi

Spam steht im Profil von #12 bei ‘Über mich’

Just my

Das kann man direkt aus dem Profil heraus melden. Habe ich bereits getan. Unsere Posts dazu können hier gern entsorgt werden, beziehungsweise würde ich meinen wieder entfernen, sobald der Spammer erlegt ist.

Bitte die Funktionen des Forums zum Melden vom Spam benutzen.