Komfort vs. Sicherheit - Wieviel verschlüsseln?

[felsenhower]

Hallo!

Das ist mein erster Post hier.

Ich würde unter Debian 8 gerne meine Daten verschlüsseln. Mein Setup besteht aus einer SSD für "/" und einer HDD für "/home".
Nun ist die Frage: Wieviel will ich verschlüsseln?

Wenn ich mein gesamtes System verschlüssele, muss ich nach dem Booten noch in der Konsole mein Kennwort eingeben. Ich finde das ein bisschen unbequem, da ich mich jetzt entscheiden muss: Autologin oder gar kein Benutzerpasswort oder zwei Passwörter eingeben?
Am bequemsten ist es sicherlich, wenn ich nur /home verschlüssele, denn dann kann die Entschlüsselung ja komfortabel nach dem Anmelden in LightDM stattfinden.

Aber reicht das? Welche Rückschlüsse kann man treffen, wenn ich nur /home verschlüssele? Kann man abschätzen, wieviel unsicherer diese Variante ist?

[uname]

Ich sehe vor allem zwei Nachteile.

a.) Der Zugriff auf Systemdateien wie z.B. Logdateien wäre leicht möglich. Auch könnte man evtl. Teile aus SWAP rekonstruieren. Ok könntest SWAP ja deaktivieren.
b.) Schwerwiegender ist wahrscheinlich, dass ein Angreifer recht einfach die Anmelderoutine manipulieren könnte, so dass er an das Passwort für die verschlüsselte Partition kommt. Also eine Art Keylogger auf Softwarebasis. Leider weiß ich nicht ob und wie man sich z.B. per Schlüssel/Zertifikat auf USB-Stick anmelden und die Festplatte entschlüsseln kann. Das wäre hier natürlich besser.

Aber generell:
Wenn es um die Gefahr geht Daten durch ein einmaliges Ereignis (also Diebstahl) zu verlieren, so kann man davon ausgehen, dass die Hürden für den Dieb zu hoch sind und die Informationen auf der Systempartition ohne forensische Verfahren eher wertlos sind.

[Lord_Carlos]

Gegen wem WEN willst du dich schuetzten?

Rechner steht zu hause und die einzige chance das den jemand unter die Finger bekommt ist ein Dieb? Da koennte schon eine verschluesselte Daten Patition reichen um die wichtigsten Daten privat zu halten. (z.B. Familien Photos)
Laptop im Zug vergessen und du willst nur nicht das ein zufaelliger finder deine Browser Verlauf und Altaegliche Dokumente liest? /home verschluesseln.
Es besteht die Gefahr das dich jemand direkt angreift und grosses IT wissen hat? Alles verschluesseln.

Ich habe auf meinem Lappy nur /home verschluesselt.
Jemand der mein Swap auslesen kann, der kann wahrscheinlich auch vorher ein keylogger installieren.

[RobertS]

Gegen WEM willst du dich schuetzten?

Wen wenn schon.
Aber sonst hast du recht, für den Finder oder Gelegenheitsdieb reicht ein verschlüßeltes Home. Wer mehr Interesse und Energie aufwendet kennt auch Mittel und Wege daß du dein Passwort "freiwillig" Preis gibst.
Mehr wie 10 Finger kann man den meißten nicht abschneiden, dann muß man schon an die sonstigen Extremitäten.

Da sind dann eher strukturelle Mechanismen angesagt von denen eine verschlüßelte Platte nur ein kleiner Baustein sein kann.

Grüße

Robert

[uname]

Für diese Szenarien am besten mal nach "Glaubhafte Abstreitbarkeit" suchen.

[wanne]

Ich habe ganz verschlüsselt, weil es IMHO einfach die bequemste Variante ist.
Autologin? – Kein Problem. Wer gerade noch das Festplattenpasswort wusste kann sich auch das des Benutzers holen.
Irgend welches zeug (wlan-pws, mails...) unter /var oder /tmp? – Kein Problem.
Filme auf zusätzlicher Festplatte? – Kein Problem. Ebenfalls verschlüsselt mit automount. (Key liegt im verschlüsselten /etc.) Merkt man nicht das geringste, dass die Verschlüsselt ist.

Gegen aktive Manipulation versuche ich mich erst gar nicht zu schützen. (Hardwarekeylogger...) Das ist einfach aussichtslos. Wer es schafft, mein Laptop zu klauen und unbemerkt wieder zurückzustellen, der ist auch zu ganz anderem fähig.

Die ganzen Teilweise verschlüsseln oder booloaderpasswörter etc. sind einfach nur weit aufwändiger und bieten gleichzietig noch weniger Sicherheit.

[felsenhower]

Vielen dank erstmal für die zahlreichen Antworten.

Es geht mir in der Tat vorrangig um Diebstahlschutz.
Das Risiko, dass jemand meinen Rechner klaut, und wieder zurückgibt, um an meine Daten zu kommen, schätze ich eher gering ein. Da gibt es wie gesagt wirkungsvollere Maßnahmen, um das Passwort aus mir herauszubekommen.
Es geht mir halt eher um ein gewisses Mindestmaß an Sicherheit für meine persönlichsten Daten.

Eine SWAP-Partition verwende ich ohnehin nicht, da ich genügend RAM habe. Somit ist eins dieser Probleme schonmal erledigt.

Um /tmp und ähnliches mache ich mir da schon größere Sorgen.
Aber brauche ich /tmp überhaupt VOR dem Anmelden? Wäre es ein Schritt in die richtige Richtung, das System zwar nicht vollzuverschlüsseln, aber zumindest alles, was zum Booten und Starten von LightDM nicht unmittelbar erforderlich ist, sondern erst, nachdem sich ein Nutzer angemeldet hat? Wenn ja, welche Verzeichnisse wären das? Benötige ich /usr vor dem Anmelden? /var? /root? Ich stelle es mir witzlos vor, /mnt und /media zu verschlüsseln...

[Lord_Carlos]

Ich meine es ist recht einfach (eine config zeile) /tmp als ram disk zu verwenden. Dann muss man sich da auch keine gedanken mehr drum machen.

[Radfahrer]

Gegen WEM willst du dich schuetzten?

Wen wenn schon.

... reicht ein verschlüßeltes Home...

verschlüsseltes, wenn schon.

Ich habe alle meine Rechner komplett verschlüsselt.

[dufty2]

Würde mensch Bruce Schneier, Daniel Bernstein oder Jacob Appelbaum fragen, ob "Teilverschlüsselung" empfehlenswert sei, welche Antwort würde man bekommen?

Wirklich wichtige Dateien sollte man sowieso nochmals extra verschlüsseln.

"Glaubhafte Abstreitbarkeit": Mmh, IANAL, weiss daher nicht, ob das im deutschsprachigen Rechtsraum eine Rolle spielt, oder doch mehr so ein "Anglozismus" ist.

[Lord_Carlos]

Bruder, Appelbaum wird aber auch direkt angegriffen. Das ist was ganz anderes als sich gegen zufaellige Diebe zu schuetzten.

[felsenhower]

Hi,

ich habe über den Kram mal reichlich nachgedacht.

Nochmals: Es geht mir primär um Diebstahlschutz u.ä. und dafür scheint mir ein komplett verschlüsseltes System etwas überdimensioniert und auch unbequem (imho).

Ich werde demnach /home und /var auf die HDD packen und verschlüsseln. Und /tmp werde ich, wie Lord_Carlos schon vorgeschlagen hat, als ram disk einbinden, was dann wohl als angenehmen Nebeneffekt einen netten Geschwindigkeitsboost geben sollte.

Auf jeden Fall vielen Dank für eure Hilfe!

[wanne]

Und /var/cache, /var/tmp/kdecache-USERNAME und /var/log /etc/ssh/ssh_host_key?
Da liegt z.B. dein Cache für Mails und Webseiten (Wenn du KDE verwendest. GNOME wird das ähnlich sein.) und der Key für deine SSH-Verbindungen.

und auch unbequem (imho).

? Was bringt es dir jetzt an Bequemlichkeitsvorteil? Du musst das PW so oder so eingeben. Dafür musst du jetzt zusätzlich deine fstab abändern und darfst bei jedem neue installierten Programm oder Partitionslayout aufpassen dass da nicht irgend wo auf der falschen Partition speichert. (Bzw. eigentlich auf der richtigen.)

[slu]

Ich verschlüssle schon lange das ganze System, dann brauche ich nicht nachdenken wo was liegt und das Passwort muss ich nur einmal beim booten eingegeben.
Seither treibt es mir keine Schweissperlen mehr auf die Stirn wenn die Kollegen mal ihr Notebook vermissen oder nicht auffinden.

Zusätzlich gibt es noch die Dienstanweisung den Akku auf der Messe zu entfernen, versucht dann jemand das Notebook zu entwenden Strom weg = gesperrt.

[Radfahrer]

Ich verschlüssle schon lange das ganze System, dann brauche ich nicht nachdenken wo was liegt...

Ja, ganz genau so sehe ich das auch. Ist das einfachste und sicherste.

[Lord_Carlos]

Was ist /etc/ssh/ssh_host_key?

[AndreK]

Gegen WEM willst du dich schuetzten?

[Wer mehr Interesse und Energie aufwendet kennt auch Mittel und Wege daß du dein Passwort "freiwillig" Preis gibst.
Mehr wie 10 Finger kann man den meißten nicht abschneiden, dann muß man schon an die sonstigen Extremitäten.

Grüße

Robert

Hier bei uns wurde mal ein älteres Ehepaar (+70) von bislang unbekannten Tätern mit Hammer und Bügeleisen malträtiert. Es gibt da schon mehr Möglichkeiten als nur die Finger abzuschneiden. Aber mal ernsthaft, der Normalo will doch nur seine Pornos verstecken und nicht seine Stromrechnung.

[GregorS]

...
Aber reicht das? Welche Rückschlüsse kann man treffen, wenn ich nur /home verschlüssele? Kann man abschätzen, wieviel unsicherer diese Variante ist?
...

Wie groß der Aufwand ist, den Du mit solchem Zeug treiben willst, sollte IMO dem entsprechen, was Du erreichen willst.

Wenn es Dir um den Schutz Deiner persönlichen Daten geht, verschlüssle /home/bla, wenn es Dir um die total volle Kontrolle über alles geht, verschlüssle das System, das Aquarium und vor allem die Relaxliege!

Was das Eingeben von Passworten angeht, bin ich mit GPG enhanced worden. Die Möglichkeit, privat kommunizieren zu können, ist mir das wert. Und als Zehn-Finger-Tipper freue ich mich über jede Gelegenheit, das praktizieren zu können

Gruß

Gregor