Dienstag, 10. Oktober 2017
Verschlüsselte Filesysteme unter Linux: Anlegen und vergrößern
Dies ist primär ein Eintrag für mich, damit ich nicht vergesse wie ich Dinge aufgesetzt habe 
Ich habe ein Filesystem das verschlüsselt werden soll - es ist keine Systemplatte sondern Nutzdaten. Damit kann ich mir sparen, große Verrenkungen machen zu müssen wegen Root- oder Bootpartition.
Also, einfach nur eine Festplatte, oder besser: ein Volume. Da ich potentiell mit RAID0 arbeiten möchte (Stripes) oder Platten konkatenieren möchte, bietet sich lvm mit LUKS zusammen an. lvm und LUKS können andere Leute viel besser erklären, daher erspare ich mir das.
Also erstellen wir erst einmal ein logisches Volumen (pv und vg sind bereits angelegt)
lvcreate -L 1T -n Daten-crypt Daten
Hiermit erstelle ich ein logisches Volumen aus der Volume Group "Daten". Diese ist 1TeraByte groß und heisst dann "Daten-crypt".
cryptsetup -y --cipher aes-cbc-essiv:sha256 --key-size 256 luksFormat /dev/Daten/Daten-crypt
Hiermit erstelle ich eine verschlüsselte Partition auf dem Volumen Daten-Crypt. Ich gebe dann das Passwort ein das ich dafür nutzen möchte. Das sollte ich tunlichst mir aufschreiben
OpenMediaVault hat netterweise ein gutes GUI, mit dem ich auch solche Filesysteme aufmachen kann. Dann muss ich mir den CLI-befehl nicht unbedingt merken:
cryptsetup luksOpen /dev/Daten/Daten-crypt Daten-crypt
Wunderbar, das funktioniert.
Wenn ich dies nun erweitern möchte, geht das wie folgt:
Ich öffne das verschlüsselte Filesystem und unmounte es, falls es gemounted ist.
Dann vergrößere ich das Volumen:
lvresize -L +500G /dev/mapper/Daten-Daten--crypt
dann - weil ich vorsichtig bin - mache ich einen Filesystemcheck:
e2fsck -f /dev/mapper/Daten-Daten--crypt-crypt
Das sollte sauber durchlaufen, ohne Probleme!
Wenn das geschafft ist, kann man das verschlüsselte Volumen auch "ordentlich" vergrößern:
cryptsetup resize /dev/mapper/Daten-Daten--crypt-crypt
Damit wird dem Filesystem quasi gesagt, dass sich dass darunterliegende Volume geändert hat. Wenn keine Fehlermeldung kommt ist alles gut
resize2fs -p /dev/mapper/multimedia-multimedia--crypt-crypt
Hiermit wird das Filesystem dann wirklich vergrößert.
Ich mache danach üblicherweise noch einen Filesystemcheck, bevor ich das Filesystem wieder in Benutzung nehme.
Trackbacks
Trackback-URL für diesen Eintrag
Keine Trackbacks
Kommentare
Ansicht der Kommentare:
(Linear | Verschachtelt)
cryptsetup resize kannte ich noch nicht.
Die Problematik, nur die Datenpartition zu verschlüsseln ist, dass Dir dann jemand ganz einfach ein cryptsetup-Binary unterschieben kann, das die Passworteingabe mitlogged und das Passwort irgendwo hin schicken kann (oder sich bei der Gelegenheit einen zweiten Keyslot belegen könnte).
Und diese Problematik schlägt dann bei Vollverschlüsselung auf Kernel und Initrd durch, was direkt zu secure boot führt, was dafür sorgt, dass Du Deinem Hardwarehersteller trauen musst. Und dass die meisten staatlichen Angriffe über trojanisierte Firmware laufen werden, ist meine feste Meinung.
Für den Namen der LV nehme ich meist c_foo und foo, das macht die tab completion in /dev/mapper nicht kaputt. Underscore deswegen, weil dashes in /dev/mapper bereits benutzt werden, das escaping, das dann durchgeführt wird tut in Scripts weh.
Die Problematik, nur die Datenpartition zu verschlüsseln ist, dass Dir dann jemand ganz einfach ein cryptsetup-Binary unterschieben kann, das die Passworteingabe mitlogged und das Passwort irgendwo hin schicken kann (oder sich bei der Gelegenheit einen zweiten Keyslot belegen könnte).
Und diese Problematik schlägt dann bei Vollverschlüsselung auf Kernel und Initrd durch, was direkt zu secure boot führt, was dafür sorgt, dass Du Deinem Hardwarehersteller trauen musst. Und dass die meisten staatlichen Angriffe über trojanisierte Firmware laufen werden, ist meine feste Meinung.
Für den Namen der LV nehme ich meist c_foo und foo, das macht die tab completion in /dev/mapper nicht kaputt. Underscore deswegen, weil dashes in /dev/mapper bereits benutzt werden, das escaping, das dann durchgeführt wird tut in Scripts weh.
Suche
Kommentare
Mi, 11.10.2017 08:23
cryptsetup resize kannte ich n
och nicht.
Die Problematik,
nur die Datenpartition zu ver
schlüsseln ist, dass Dir [...]
Fr, 11.08.2017 17:46
> die Personen und deren Gesic
htsausdrücke überwachen können
Da fehlt noch die PS4 mit
dem richtigen Zusatzgerä [...]
Di, 27.06.2017 19:40
Hi,
auch ich denke wie meine
Vorgänger. Hatte ein Abo abges
chlossen, der ist 76 Jahre und
blind. Er kann all sein [...]
So, 19.06.2016 02:09
hallo zusammen, ich habe mir v
orhin aus Versehen die Volumes
gelöscht. DS1513 und DX513. W
as kann ich tun? Sind me [...]
Fr, 20.05.2016 05:06
Hallo, bei audible hat sich ei
niges getan und daher habe ich
meine Meinung in ein Video ge
fasst. Vielleicht passt [...]
Di, 25.08.2015 12:02
Für Kontakte und Kalender kann
ich die DAVdroid (ab Android
4.0) empfehlen, für SMS/MMS SM
S Backup+. Beides bei f- [...]
Mi, 12.08.2015 10:10
Das wird wohl nicht anders geh
en während das Device aufgesch
lossen ist.
Mi, 12.08.2015 10:09
Brauchst Du Dir nicht merken,
wirst Du nie wieder brauchen.
Di, 11.08.2015 18:38
Zum Verständnis:
Luks hat den
master key ungecrypted und au
slesbar im Speicher und ein to
ol um ihn auszulesen. Al [...]
Mo, 10.08.2015 16:49
Tom: Hier tummeln sich keine p
otentiellen Kunden? Falsch.
Hörbücher wären für mich gut b
ei längeren Autofahrten. [...]
Sa, 09.05.2015 15:14
Mal angenommen, jemand hat sic
h Hörbücher bisher auf Seiten
besorgt, die nicht ganz legale
Angebote haben. Mal ang [...]
Do, 12.03.2015 11:47
Inzwischen gibt es die Möglich
keit, eine Threema-ID komplett
zu widerrufen.
Und man kan
n die Threema-ID auch au [...]
Di, 27.01.2015 10:51
Ähm, Mic?
Dir ist schon aufge
fallen, dass Du Dich gerade üb
er einen Post aufregst, der fa
st 2 Jahre alt ist?
[...]
[...]Mo, 26.01.2015 21:14
"Nimm doch dazu bitte einfach
unsere "Audible-App" (die nun
wirklich auf unserer Webseite
nicht zu übersehen ist). [...]
So, 28.12.2014 15:40
Ich überlege schon ewig hin un
d her mit Datengrab, aber kann
mich nicht aufraffen, die "gr
oße Lösung" endlich anzu [...]
Kategorien
Verwaltung des Blogs
Blog abonnieren
Theme dropdown
anständig
