Debian - LUKS Encryption Hard Disk

[Plasma]

Hallo,

mal mein Glück hier versuchen.

Folgendes:

OS Debian (Linux) und will meine Hard Disk mit Luks verschlüsseln. Ich habe die OS auf der Hauptdisk und Grub-Boot auch (\~450GB). Wie kann ich das mit LUKS verschlüsseln?

Habe folgendes ausprobiert:
https://www.cyberciti.biz/hardware/howto-linux-hard-disk-encryption-with-luks-cryptsetup-command/

und über Hard Disk Settings mit Edit halt..

bekomme immer die Meldung: Access denied file or system in use.

Was muss man machen damit ich es verschlüsseln kann? Grub-booter auf eine andere Hard disk/ Partition schieben?

Kenn mich nicht damit aus, mache das zum ersten mal. Falls jmd. erfahrungen hat.

Wenn ich dann die Partrition verschlüssle, gehen dann alle Daten verloren oder welche genau?

Danke.

 

[BurnerR]

Grub-booter auf eine andere Hard disk/ Partition schieben?

Genau, /boot muss unverschlüsselt bleiben.

Wenn ich dann die Partrition verschlüssle, gehen dann alle Daten verloren oder welche genau?

Genau, alle Daten auf der Partition werden gelöscht.

Was muss man machen damit ich es verschlüsseln kann?

Wenn du root verschlüsseln willst musst du Debian neu direkt mit LUKS Partitionen installieren, soweit ich weiß.

 

[Plasma]

@BurnerR:

Wird die gesamte OS gelöscht?

Ich hatte gehofft das ginge noch nachträglich, weil mich das einfach ankackt nochmal zu installieren.

Also könnte ich /sda/main einfach die Grub in eine /sda/wenigerwichtige verschieben und dann die /sda/main mit LUKS neu formatieren? Ich weiss halt nicht ob das Sinn macht, wenn es dann die ganze OS weglöscht. Es gibt zwar die Option zusätzlich ´´Without deleting data on partrition´´ aber was heisst das schon.

 

[Metal_Warrior]

@Plasma: Es gibt da schon ne Möglichkeit, das Ganze ohne Neuinstallation zu machen - aber ganz ehrlich: Das ist ne Menge Aufwand und man sollte sich da durchaus mit dem System auskennen. Da du offenbar schon Probleme hast, absolute Pfade von Festplatten sauber anzugeben, wird das glaub ich schwierig. Zumal du das von ner Live-CD mit chroot etc. machen musst.

Was du NICHT machen musst: Dein /home-Verzeichnis löschen. Das kannst du mit geschicktem Management hinterher auf die verschlüsselte Partition kopieren und das neu angelegte Userverzeichnis damit überschreiben. Mach das aber dann in der Konsole, ohne Anmeldung am X11, sonst wird das kritisch.

Du brauchst mindestens:
/dev/sda1 als /boot
/dev/sda2 verschlüsselt als /

Ideal teilst du es aber so ein:
/dev/sda1 als /boot
/dev/sda2 verschlüsselt als /
/dev/sda3 verschlüsselt als /home
/dev/sda4 verschlüsselt (mit random key) als SWAP

 

[Plasma]

@Metal_Warrior:

Es gibt da schon ne Möglichkeit, das Ganze ohne Neuinstallation zu machen - aber ganz ehrlich: Das ist ne Menge Aufwand und man sollte sich da durchaus mit dem System auskennen. Da du offenbar schon Probleme hast, absolute Pfade von Festplatten sauber anzugeben, wird das glaub ich schwierig. Zumal du das von ner Live-CD mit chroot etc. machen musst.

Was bist du denn du für einer?

Ich setz dann wohl mehr oder übel alles neu auf.

 

[Metal_Warrior]

@Plasma: Einer, der das schon mehrfach gemacht hat und weiß, was für Probleme man sich da einhandeln kann. Und dass das System beim ersten Versuch nicht bootet, ist dann auch nicht ungewöhnlich. Wenn du also nach meinem Befinden wenig Ahnung vom System hast, empfehle ich dir den einfacheren Weg. Wenn dus gern kompliziert haben willst, gern:

Linux-LiveCD booten
Daten auf andere Festplatte verschieben (mit rsync -ahu)
Festplatte neu partitionieren, nach vorgenannter Aufteilung
Mit cryptsetup Partitionen verschlüsseln
Verschlüsselte Partitionen formatieren
Verschlüsselte Partitionen in crypttab eintragen
Partitionen in /mnt mounten (und zwar so, wie sie später sein sollen
Daten rücktransferieren
chroot auf /mnt
grub neu installieren
update-initramfs ausführen (wird Fehler werfen, sollte aber klappen)
Neu booten
Eventuell manuell in der Reparaturkonsole entschlüsseln, weiter booten
update-initramfs neu ausführen
nochmal booten
Sollte geklappt haben

Wenn Fehler auftreten, musst du die halt on-the-fly lösen. Aber wenn du meinst, du kriegst das hin - nur zu!

 

[nik]

Inzwischen kann man das System auch komplett verschlüsseln, also ohne separate boot-Partition.
https://wiki.archlinux.org/index.php/GRUB#Boot_partition

 

[alter_Bekannter]

EIn teil des Bootcodes blwibt aber trotzdem unverschlüsselt.

ABer auch das lässt sich lösen indem man die /boot Partition einfach mitnimmt/nicht aus den Augen lässt.

 

[Plasma]

Hab alles verschlüsselt bekommen und ein Nuke Pass konnte ich auch noch einfügen.

 

[BurnerR]

Erzähl doch mal, was du genau gemacht hast. Für den nächsten, der hier z.B. per Google herfindet.