ich bin gerade dabei den Laptop (Lenovo Thinkpad T440) meiner Frau mit Debian auszustatten.
Vorweg möchte ich etwas zu dem Einsatzzweck des Laptops sagen.
Dieser soll als Arbeitslaptop fungieren und wird daher mobil genutzt.
Das wird der tägliche Einsatz im Firmenfahrzeug sein, Präsentationen beim Kunden (Lapi => Beamer), Büroarbeit zu Hause.
Wegen des mobilen Einsatzes auch die Verschlüsselung der Festplatte (512 GB SSD).
Auf dem Rechner werden Kundendaten sein, Firmendaten in unterschiedlichster Form, Onlinebanking wird sie damit durchführen, eMail Verkehr, ... also alles was kein dritter sehen können sollte bei Verlust!
Nun hatte ich mich im Vorfeld ein wenig im Debian Handbuch zum Thema Verschlüsselung eingelesen und dachte: OK, dass klingt alles verständlich und nicht so kompliziert!
Also habe ich angefangen Debian Stable (ohne Firmware) zu installieren und das hat auch super funktioniert (kein Ärger mit U(EFI) etc. ...!), GNOME als Desktop ausgewählt (entgegen meiner sonstigen Vorgehensweise mit Minimalinstallation und alles von Hand!), geführte Installation, ... alles super, bis auf das ich einen Fehler bei der Verschlüsselung gemacht habe.
Ich habe folgende Partitionen:
sda1 / ext4, Einhängepunkt "/" als boot markiert (30GB)
sda2 / extended
sda5 / swap (7,69GB)
sda6 / ext4, Einhängepunkt wird keiner angezeigt, sollte aber "/home" sein (441GB)
Eigentlich hatte ich sda2/5/6 zu verschlüsseln markiert, aber das sind sie nicht!
Bei der Partitionierungstabelle wurde mit "crypt" aber nicht aktiviert angezeigt. Das hatte mich schon verwundert, aber da ich null Komma null Erfahrung mit Verschlüsselung habe, dachte ich das die Verschlüsselung noch passieren würde. Aber genau da habe ich wohl einen Fehler gemacht.
Darauf hin habe ich mich noch ein bisserl aufgeschlaut und bin auf ein paar Fragen gestoßen.
- SSD Platten verschlüsseln wirkt sich angeblich auf die Lebensdauer der SSD aus. Da gibt es sehr unterschiedliche Meinungen zu. Stimmt das so, oder ist das aus heutiger Sicht nicht mehr zutreffend?
- "/" habe ich nicht verschlüsselt, da die "boot" Partition mit darauf liegt und ich glaube verstanden zu haben, dass eine verschlüsselte "boot" Partition so nicht funktioniert (Schlüssel von z.B. Medium USB-Stick). Ist das so richtig verstanden und wäre das besser eine separate "boot" Partition anzulegen um dann eine eigene "/" Partition zu haben die auch zu verschlüsseln ist?
- Macht das Sinn "/" nicht zu verschlüsseln? Sicherheitsrisiko?
- Eigentlich müssten nur die Daten auf "/home" gesichert sein, aber wenn "/" nicht gesichert wäre, könnte da evtl. ein unbefugter Zugriff erfolgen, oder welches Sicherheitskonzept wäre für den Einsatzzweck geeignet? => Ich weiß, dass ich mir hätte vorher mehr Gedanken machen müssen
. Das merke ich jetzt leider auch! - Was habe ich bei der Installation falsch gemacht und ist das einfacher den Rechner neu aufzusetzen, oder kann ich das (habe gelesen das es auch nachträglich geht) auch gut nachträglich verschlüsseln ohne mich zu tief einarbeiten zu müssen? Wobei ich mir bezgl. der Partition auch noch nicht so grün bin ob das optimal partitioniert ist. Wie würdet ihr bei einer 512GB SSD partitionieren?
) und b) ob ich neu aufsetzen sollte, oder das mit der bestehenden Installation Sinn macht?Wie muss ein ordentliches Sicherheitskonzept aussehen?
Wobei wir nicht von einem Hochsicherheitsrechner sprechen mit super sensiblen Daten!
Ich möchte mir halt nur keine Vorwürfe später machen (sollte doch mal der Fall aller Fälle eintreffen, was wir nie hoffen!), dass ich zu schlampig/nachlässig gewesen wäre (wobei ich in Firmen schon schlechter gesicherte Laptops erlebt habe, aber die sollen nicht der Maßstab sein!).
Was passiert eigentlich, wenn ich eine verschlüsselte Partition später sichern möchte (Image bzw. regelmäßiges Backup aller wichtigen Daten)?
Damit hätte ich zwei Passwörter? 