Re: cryptsetup(-luks), gpg, passphrases und root partition encryption

[Jörg Sommer <joerg@alea.gnuu.de>]

Hallo Peter,

Peter Blancke <blancke@gmx.de> wrote:
> Ad 2006-08-13, Jörg Sommer <joerg@alea.gnuu.de> dixit:
>> Peter Blancke <blancke@gmx.de> wrote:
>
>>> Er benoetigt gleich nach dem Start diese Mini-Partition, die
>>> selbstverstaendlich verschluesselt ist. Hierfuer zeigt er sein
>>> Paszwort vor. In dieser Partition liegen die restlichen
>>> Schluessel (oder auch nur einer) fuer alle weiteren Partitionen
>>> inklusive Swap. Nachdem alle Partitionen geoeffnet wurden, wird
>>> die Minipartition geschlossen und damit werden die Schluessel
>>> geschuetzt fuer den Fall, dasz jemand in einem kurzen Augenblick
>>> sich der Schluessel bemaechtigt.
>>
>> Man kann doch den Schlüssel auch aus /dev/unverschlüsselt und
>> /dev/verschlüsselt ermitteln. Und wenn so und so die Partitionen
>> gemountet sind, wozu dann noch den Schlüssel suchen? Man kann doch
>> bereits alles lesen?
>
> Ich schrieb "in einem kurzen Augenblick" und meinte das auch so. In
> dem kurzen Augenblick kopiere ich fix ein bis vier Schluessel. Mit
> dem ausfuehrlichen Inhalt einer /home-Partition beschaeftige ich
> mich aber nicht in einem kurzen Augenblick.

Ich verstehe das Argument nicht. Wenn ein Angreifer dir den Laptop
stiehlt, dann kann er damit nichts anfangen, weil er nichts lesen kann.

Bricht jemand in das laufende System ein, kann er 1k aus
/dev/unverschlüsselt und 1k aus /dev/verschlüsselt kopieren und sich
daraus den Schlüssel errechnen. Wenn die Schlüssel noch zugänglich wären,
könnte er sie natürlich direkt kopieren. Ich denke, dass das nur ein
geringe Erleichterung ist. Bei Gelegenheit stiehlt er dann den Laptop und
kann sich in Ruhe daran zu schaffen machen.

Der andere Gedanke: Wenn er es schon geschafft hat, in das System
einzubrechen, kann er sich auch gleich die Informationen holen, die ihn
interessieren.

Schönen Tag noch, Jörg.
-- 
"Unfortunately, the current generation of mail programs do not have
 checkers to see if the sender knows what he is talking about"
         -- Andrew S. Tanenbaum