Festplattenverschlüsselung und FIDO2

[Colttt]

Hallo,

ist es möglich die Festplatte zu verschlüsseln und zum entschlüsseln als quasi PW einen FIDO2 (NitroKey) stick zu nehmen? Wenn ja kann mir das jemand sagen wie?

Hab endlich mein neuen Lappi bekommen und würde diesen gerne verschlüsseln.

[mcb]

Ja - vielleicht so:

https://0pointer.net/blog/unlocking-luk ... d-248.html

unter Bullseye braucht es den backport von systemd:

https://tracker.debian.org/pkg/systemd

Kannst ja dann mal berichten.

[wanne]

Sollte™ unter Debian schon lange funktionieren. YubiKeys und OpenPGP-Karten waren unter jessie einer der Hauptgründe nicht auf Systemd umzusteigen. und ich habe ganz sicher auch schon busters mit YubiKey gesehen. Dann aber halt mit preinit decryption über das alte cryptsetup nicht über systemd-cryptsetup. Dürfte jetzt aber nachdem systemd über ein Jahrzehnt später die gleiche Funktionalität erhält schwieriger werden passende Anleitungen zu finden.

[wanne]

Hier ist z.B. eine. Aber dann über die OpenPGP-API, die die FIDO2 Tokens ach können: https://docs.nitrokey.com/storage/linux ... -luks.html

[mcb]

Hier ist z.B. eine. Aber dann über die OpenPGP-API, die die FIDO2 Tokens ach können: https://docs.nitrokey.com/storage/linux ... -luks.html

Ich glauber der Nitro Fido 2 kann das z.B. gerade nicht. https://docs.nitrokey.com/fido2/linux/index.html

[wanne]

Ich glauber der Nitro Fido 2 kann das z.B. gerade nicht. https://docs.nitrokey.com/fido2/linux/index.html

Ich finde da leider keine Feature-Matrix. Aber da die Verifizierung bei FIDO2 über den Server des Herstellers läuft finde ich das sowieso sehr befremdlich darüber Festplattenverschlüsslung zu machen.

Hier gibt es ein paar Leute, die den Registrierungsprozess ausnutzen um keys zu generieren und vor der Anfrage an den Hersteller abbrechen:
https://www.howtoforge.com/ubuntu-two-f ... -with-luks
https://askubuntu.com/questions/599825/ ... 30#1158930
https://github.com/thuandt/yubikey-luks
https://github.com/cornelinux/yubikey-luks
https://github.com/darkskiez/u2f-luks

Mir wärs unheimlich. ich würde einen einfachen USB-Speicherstick mit key bevorzugen.
Die meisten gehen aber SystemV-init aus. (Unter bullseye und buster sollte das aber auch mit systemd gehen.)

[mcb]

Die Fido2keys sind schon i.o. - soweit ich das überblicke ...

Nur OpenGPG und Diskentschlüsselung war bei denen ursprünglich nicht vorgesehen. Vielleicht berichtet der Fragesteller ja mal.