LUKS Verschlüsselung: Passwort ändern

[Celica]

Hallo,

ich habe einen Laptop (ThinkPad T440) welches als LVM mit LUKS (AES) durch den Debian Installer seiner Zeit verschlüsselt wurde.
Jetzt fungiert das Laptop nicht mehr als Firmengerät und wird ausschließlich zu Hause genutzt.
Da nicht ausgeschlossen ist, dass das Gerät irgendwann wieder außerhalb (z.B. Schule) eingesetzt wird, möchte ich die Verschlüsselung beibehalten, aber ein einfacheres Passwort setzen.

Seiner Zeit hatte ich in diesem Beitrag das Thema Verschlüsselung diskutiert: viewtopic.php?f=12&t=167004

Nun möchte ich einfach das Passwort ändern, aber ich bin mir nicht mehr ganz sicher was ich am Ende wirklich wie verschlüsselt habe.
Ich gehe mal davon aus, dass so die Verschlüsselung auf dem Gerät ist:

"/boot" unverschlüsselt, ext4, 300MB
"/" + "/home" + "SWAP" als LVM mit LUKS (AES) durch den Debian Installer.

Wie kann ich herausfinden welche Partitionen ich dann tatsächlich verschlüsselt habe und wir kann ich das Passwort ändern?
Oberstes Gebot dabei: Ich darf mir den Laptop nicht dabei zerschießen (Backup ist obligatorisch )!

Ich habe hier etwas dazu gefunden: https://legacy.thomas-leister.de/luks-v ... t-aendern/

In dem Fall müsste ich das für jede Partition machen die ich verschlüsselt habe?

[rhHeini]

Schaff Dir einen Überblick was wie partitioniert ist mit:
1.) gparted (graphisch)
2,) blkid
3.) lsblk

Vor allem der letzte sollte schön darstellen wie was zusammenhängt.

Dann schaust Du wie viele Slots belegt sind:
cryptsetup luksDump /dev/sdxy

Der Leister-Link zeigt Wege auf wie man einen zusätzlichen Key hinzufügt. Mach Dich halt mit den Manpages oder im Internet schlau wie luks mit cryptsetup funktioniert. Du kannst dann auch gezielt einzelne Slots wieder freigeben wenn Du willst.

Gruß, Rolf

[bitschubser]

Hi

Wie kann ich herausfinden welche Partitionen ich dann tatsächlich verschlüsselt habe

mit

Code: Alles auswählen

lsblk

und wenn du dir dann die Ausgabe anschaust, zum Beispiel diese:

Code: Alles auswählen

NAME                         MAJ:MIN RM   SIZE RO TYPE  MOUNTPOINT
sda                            8:0    0  59.6G  0 disk  
└─sda1                         8:1    0  59.6G  0 part  
  └─md0                        9:0    0  59.6G  0 raid1 
    └─luksSSD1               253:9    0  59.6G  0 crypt 
      ├─SSD-home             253:0    0    36G  0 lvm   /home
      └─SSD-root             253:10   0    16G  0 lvm   /

ist zu erkennen das das CRYPT Device vor dem LVM ist, sodass nur eine Passwort änderung nötig ist.

Oberstes Gebot dabei: Ich darf mir den Laptop nicht dabei zerschießen

Dann ändere dein Passwort nicht, sondern füge ein neues hinzu, den Luks Crypt hast ja insgesamt 8 Slots zu Verfügung.

sudo cryptsetup luksAddKey /dev/sdXY

Wenn dann alles geklapst hat, kannst du das alte später löschen.

MfG

[wanne]

Code: Alles auswählen

cryptsetup luksAddKey /dev/mapper/luksSSD1

Danach kannst du den Laptop entweder mit dem alten oder dem neuen Passwort starten.

Prinzipiell kann man die alte Passphrase dauch löschen

Code: Alles auswählen

cryptsetup luksKillSlot  /dev/mapper/luksSSD1 X

Wobei X 1-8 sein kann und du damit ausprobieren kannst, welche Passphrase auf welchem Slot liegt.

Code: Alles auswählen

cryptsetup --key-slot X --test-passphrase luksOpen /dev/mapper/luksSSD1

Dir sollte allerdings klar sein, dass jeder der die alte Passphrase kennt und ein älteres Backup von deinem Header hat die Platte weiter öffnen kann. (Insbesondere bei SSDs ist es nicht unwahrscheinlich, dass sich immer wieder ältere Versionen vom Header finden lassen.)
Kurz: Das PW ist nicht wirklich sicher entfernt.

[Celica]

Danke.
Ich werde mir das zeitnah anschauen

Das Laptop war nie einer Gefahr von außen ausgesetzt und auch das PW ist nicht gefährdet.
Derzeit wird das Gerät nur im heimischen Umfeld von der Tochter eingesetzt die sich mit dem sichern en PW etwas schwer tut.
Das Gerät wird auch niergens Mut hin genommen.
Also ein vollkommen anderer Einsatz wie Ursprünglich.

Theoretisch wäre das sogar vertretbar das PW komplett zu löschen und keine Abfrage mehr zu haben.

Das wäre auch möglich habe ich verstanden.

[wanne]

Das wäre auch möglich habe ich verstanden.

Nein! Wenn du das letzte Passwort löschst sind die Daten unzugänglich. Da kein Passwort mehr existiert, mit dem sie entschlüsselt werden könnten. (solange kein älteres Backup existiert.)
Ich finde das auch das Hauptfeature der Verschlüsselung: Du brauchst dich bei der entsorgung nicht ums Löschen kümmern.
Du kannst aber ein leeres oder enbuchstabiges Passwort setzen. Dann kommst du mit einem Tastendruck an derabfrage vorbei.