Ausgangssituation:

Ein Rechner mit drei frischen Platten, eine Platte für das System und die beiden anderen Platten arbeiten in einem Raid 1 Verbund gespiegelt und sollen das /home-Verzeichnis werden. Natürlich wird alles auch verschlüsselt, bis auf die /boot Partition.

Installations-CD rein und dann Arch Linux starten und der erste Befehl den ihr eingebt ist:

# km

um die keymap und die Schrift auszuwählen, in meinem Fall quertz/de und als Schrift Lat2-Terminus…

Jetzt geht es daran die Festplatten vorzubereiten. Mit fdisk -l könnt ihr schauen wie eure Festplatten gemapped wurden. Normalfall: /dev/sda /dev/sdb und /dev/sdc

/dev/sda wird formatiert in eine kleine circa 200MB große /boot-Partition und der Rest wird für die /root-Partition genutzt. Ich lasse immer noch ein paar GB Platz frei, man weiß ja nie was man noch so braucht. Die beiden anderen werden auch formatiert, aber jeweils mit dem vollen Platz. Und los gehts mit:

# cfdisk /dev/sda

/dev/sda1 muss bootfähig gemacht werden mit “boot” (siehe Bild)Vergesst nicht dass ihr erst “write” und dann “quit” ausführen müsst, sonst sind die Änderungen nicht wirksam.

So sollte das Partitionsschema dann aussehen für /dev/sda

Jetzt die beiden anderen Festplatten schnell formatieren mit dem gesamten Speicherplatz.

# cdfisk /dev/sdb

# cdfisk /dev/sdc

New > Primary > all space > write > type “yes” > quit > ready

Mit fdisk -l könnt ihr wieder schauen was ihr so angestellt habt.

Jetzt geht es an das Datenraid, ein Raid1, d.h. wir spiegeln die Daten. Ein Raid ist kein Backup, also macht bitte zusätzlich noch Backups!!!

Wir können jetzt mit lsmod schauen ob raid1 und dm-crypt schon geladen sind, ansonsten laden wir die Module einfach mit:

modprobe raid1

modprobe dm-crypt

Und jetzt legen wir das Raid an. Ziemlich selbsterklärend der Befehl:

# mdadm --create /dev/md0 --level=1 --raid-devices=2 /dev/sdb1 /dev/sdc1

Hier können natürlich auch mehrere Platten und ein anderes Raid-Level genutzt werden. Die Bezeichnung /dev/md0 werden wir jetzt noch ab und an verwenden.

Verschlüsselung

Jetzt verschlüsseln wir die /root-Partition und dann das Raid mit folgenden Befehlen:

# cryptsetup -c aes-xts-plain -y -s 512 luksFormat /dev/sda2

# cryptsetup -c aes-xts-plain -y -s 512 luksFormat /dev/md0

Ihr könnt selbst entscheiden, welchen Verschlüsselungsalgorithmus ihr wählt, aber vergesst nicht ein sichers Passwort zu nutzen, sonst bringt euch die beste Verschlüsselung nichts.

Jetzt öffnen wir die frisch verschlüsselten Partitionen mit:

# cryptsetup luksOpen /dev/sda2 system

# cryptsetup luksOpen /dev/md0 raid

system und raid sind frei gewählte Bezeichnungen, hier könnt ihr auch schreiben was ihr wollt, nur müsst ihr euch das merken, da wir die Namen wieder verwenden.
Jetzt setzen wir auf die Verschlüsselung noch LVM auf:

# lvm pvcreate /dev/mapper/system

# lvm vgcreate vg_system /dev/mapper/system

# lvm pvcreate /dev/mapper/raid

# lvm vgcreate vg_raid /dev/mapper/raid

Jetzt haben wir zwei Gruppen, eine für das System und eine für das Raid. Zuerst gehen wir an die Gruppe vg_system:
Der Befehl lvcreate fügt der Gruppe (letztes Wort im Befehl), hier vg_system eine logische Partition hinzu.
Vorsicht: Kopiert bitte nicht einfach die Befehle, achtet u.a. auch auf die Größenangaben!
Es werden also root, swap und tmp angelegt, auch hier könnt ihr noch mehr hinzufügen:

# lvm lvcreate -L 2GB -n root vg_system

# lvm lvcreate -L 512MB -n swap vg_system

# lvm lvcreate -L 512MB -n tmp vg_system

Jetzt geht es an das Raid:

# lvm lvcreate -l 100%FREE -n home vg_raid

Jetzt haben wir schon einiges geschafft.
Los geht es also mit dem eigentlichen Setup:

# /arch/setup

Hier dem Installer folgen bis “3 Prepare Harddrive”
Hier die Screenshots wie ihr vorgehen müsst.

Ich habe keine weiteren Optionen oder Labels oder so angegeben. Die /boot-Partition ist somit fertig vorbereitet.
Jetzt geht es an die /root-Partition und danach analog weiter mit swap und tmp.

Wählt jetzt ext4 oder reiserfs…

Jetzt swap wählen:

dann tmp und anschließend das raid:

und /home wählen:

Am Ende sieht das Schema dann so aus:

mit den Pfeiltasten nach unten bis “done” und dann bestätigen.

Jetzt mit Punkt 4 weiter machen: Select Packages und dann installiert ihr die Packages nach Punkt 5. Danach gehen wir in ein anderes Terminalfenster mit Alt+F3 und loggen uns als root ein.
Jetzt lassen wir mdadm unser Raid analysieren und speichern es erstmal als test ab:
Wir navigieren in den entsprechenden Ordner:

# cd /mnt/etc 

und dann:

# mdadm --examine --scan >> test

dann können wir uns das Ergebnis mit:

# cat test

ansehen und löschen die alte mdadm conf und nennen die Testdatei um:

# rm mdadm.conf

# mv test mdadm.conf

Jetzt die crypttab editieren:

nano /mnt/etc/crypttab

hier am Ende der Datei folgendes eintragen, damit das Raid-Array auch automatisch gemountet wird:

raid /dev/md0 EUERPASSWORT

Später könnte man das ganze noch so anpassen, dass die Partition per keyfile entschlüsselt wird und vieles mehr.
Jetzt zurück zum Installer mit Alt+F1 und das System konfigurieren.
Wählt nano als Editor, außer ihr kennt und könnt! mit den anderen umgehen.Hinweis zu nano: mit strg+w sucht ihr, mit strg+o schreibt ihr und mit strg+x verlasst ihr den nano.

Wir editieren die rc.conf, damit lvm genutzt wird:
rc.conf
USELVM=”yes”
in der /etc/mkinitcpio.conf muss folgende Zeile angepasst werden:
Hinweis: Reihenfolge ist zu beachten!
HOOKS=”base udev autodetect pata scsi sata keymap usbinput mdadm encrypt lvm2 filesystems”

Jetzt den Bootloader Grub auf /dev/sda installieren, man wird dann automatisch aufgefordert die Konfigurationsdateien zu überprüfen und genau diese müssen wir anpassen:

Ihr müsst jetzt in der kernel-Zeile noch das cryptdevice eintragen (auch bei Fallback!):

kernel /vmlinuz26 root=/dev/mapper/vg_system-root cryptdevice=/dev/sda2:vg_system ro

Datei speichern und schließen, danach wird man aufgefordert das boot device zu wählen:

That’s it!

Jetzt heißt es reboot einzutippen oder init 0 um den Rechner auszuschalten.
Have fun!
Zum Schluss ist noch zu sagen, dass man je dm-crypt device bis zu 8 Passwörter oder Keys hinterlegen kann. Dies sollte man ausnutzen! Und man kann die crypt-header sichern, auch dies ist zu empfehlen, falls mal was schief läuft. Hilfe findet ihr dazu im arch wiki!

Quellen:
Arch Wiki
http://yannickloth.be/blog/2010/08/01/installing-archlinux-with-software-raid1-encrypted-filesystem-and-lvm2/
http://www.pindarsign.de/webblog/?p=767

Mein Testsystem ist eine aktuelle Debian Installation mit einer Festplatte für das System und zwei identischen Festplatten für mein verschlüsseltes Software Raid das ich während der Installation von Debian kinderleicht erstellt habe. Es handelt sich um ein Raid 1, gespiegelt. Es spielt keine Rolle, ob ihr das System per Passwort oder nach der Installation per Flash-Speicher frei schalten lasst.

Wenn dann alles geklappt hat, dann könnt ihr ganz einfach mal testen ob alles glatt gelaufen ist mit:

sudo mdadm -D /dev/mdX

wobei das X für eine Zahl steht, die ihr bei der Installation oder beim booten sehen könnt.

Wichtig ist, dass ihr dann in der Konsole sehen könnt, ob das Raid vollständig ist oder nicht und welche Platte, also /dev/sd[a|b|c|d] etc. angeschlossen ist. (zu lesen ist das als entweder a oder b oder c, also sda oder sdb, etc.)

In meinem Testfall hat mit dem Raid nach der Installation alles gut geklappt und der Konsolen Output zeigt mir, dass mein Raid funktioniert. Jetzt habe ich den Rechner runter gefahren und eine der beiden Platten abgesteckt und wieder gebootet. Jetzt kann ich sehen, dass mein Raid nicht mehr vollständig ist. Anschließend habe ich die abgesteckte Platte an einem Windows System mit NTFS formatiert und anschließend ein paar Daten darauf kopiert und dann wieder an meine Debian Installation angesteckt.

Jetzt muss man eben heraus finden, wie die neue Festplatte intern gemapped wird. Ihr schaut also wieder mit dem gleichen Befehel wie oben angegeben, welcher Buchstabe für die schon vorhandene Festplatte vergeben wurde und dann könnt ihr zum Beispiel in gparted sehen, welchen Buchstaben die neu (wieder) angesteckte Festplatte bekommen hat und ihr solltet die vorhandene NTFS Partition in gparted einfach löschen.

Wenn ihr das geschafft habt, dann geht es wieder ins Terminal und ihr gebt folgenden Befehl für ein Rebuild ein:

sudo mdadm --re-add /dev/mdX /dev/sde

(/dev/sde ist hier nur ein Beispiel!)

und was der Rechner jetzt treibt könnt ihr mit

watch -n .1 cat /proc/mdstat

verfolgen und beobachten. Vielen Dank hier schonmal für diesen Beitrag.

Anschließend habe ich den Rechner wieder runter gefahren und habe die andere Festplatte abgesteckt und wieder gebootet und siehe da, alles funktioniert! Jetzt könnte man natürlich die andere Festplatte abstecken und das gleiche Szenario nochmal durch spielen, aber mir ging es eig. nur darum, ob der Rebuild trotz der Verschlüsselung klappt und ich bin froh, dass alles so einwandfrei funktioniert hat.

Links zu gparted, debian oder mehr wurden deshalb nicht angegeben, da ich erwarte, dass der Leser es schafft, die genannten Seiten trotzdem aufzurufen.

Und immer schön Backups machen, bevor ihr mit wichtigen Daten herum spielt!
Viel Spaß mit Linux, dm-crypt und OpenSource.

Zuerst kümmern wir uns um die Zertifikate:

• sucht euch einen beliebigen Ort, z.B. /tmp/test um dort die Zertifikate zu erstellen und erstmal zu speichern
• und los gehts:

  $ sudo openssl genrsa -des3 -out <name>-ssl-cert-private.key 1024
  

  ihr müsst nichts eingeben, außer dem Passwort und das natürlich gut merken!

• ok, dann nehmen wir den erstellten Key und erstellen ein ‘certificate request’:

  $ sudo openssl req -new -key <name>-ssl-cert-private.key -out <name>-ssl-cert-file.pem
  

• und jetzt erstellen wir noch das selbst-signierte Zertifikat:

  $ sudo openssl x509 -req -days 365 -in <name>-ssl-cert-file.pem -signkey <name>-ssl-cert-private.key -out <name>-ssl-server.crt
  

• jetzt müssen die Zertifikate an den richtigen Ort kopiert werden:

  $ sudo cp <name>-ssl-server.crt /etc/ssl/certs
  

  $ sudo cp <name>-ssl-cert-private.key /etc/ssl/private
  

Das wars auch schon fürs Erste.

Apache Konfiguration

• ssl Modul aktivieren:

  $ sudo a2enmod ssl

• jetzt müssen die Ports, auf denen der apache lauschen soll konfiguriert werden, dazu in /etc/apache2/ports.conf den Port 443, den wir nicht wollen auskommentieren und die gewünschten Ports hinzufügen:

  #nur ein Auszug der Datei
  <IfModule mod_ssl.c>
      #Listen 443
      Listen 2000
      Listen 3000
      #und mehr.... oder weniger
  </IfModule>
  

• und jetzt kopieren wir die default-ssl Seite (Konfigurationsdatei), die wir gleich als virtuellen Host nutzen wollen:

  $ sudo cp default-ssl <name>-ssl
  

• jetzt geht heißt es die Datei richtig zu konfigurieren, hier ein Auszug wie eure Datei aussehen könnte. Beachtet die Kommentare:

  <IfModule mod_ssl.c>
  #nicht vergessen!
  NameVirtualHost *:3000
  
  <VirtualHost *:3000>       #port auch hier nicht vergessen
  	ServerAdmin webmaster@localhost
  
  	DocumentRoot /var/www/<name>-ssl   #den Pfad anpassen
  	<Directory />
  		Options FollowSymLinks
  		AllowOverride None
  	</Directory>
  	<Directory /var/www/<name>-ssl>   #den Pfad anpassen
  		Options -Indexes FollowSymLinks MultiViews
  		AllowOverride None
  		Order allow,deny
  		allow from all
  	</Directory>
  
  	ScriptAlias /cgi-bin/ /usr/lib/cgi-bin/
  	<Directory "/usr/lib/cgi-bin">
  		AllowOverride None
  		Options +ExecCGI -MultiViews +SymLinksIfOwnerMatch
  		Order allow,deny
  		Allow from all
  	</Directory>
  
  	ErrorLog /var/log/apache2/error.log
  	LogLevel warn
  
  	CustomLog /var/log/apache2/ssl_access.log combined
  
  	#   SSL Engine Switch:
  	#   Enable/Disable SSL for this virtual host.
  	SSLEngine on
  
          #
          ##  HIER SIND UNSERE ERSTELLTEN ZERTIFIKATE!!!
          #
          SSLCertificateFile    /etc/ssl/certs/<name>-ssl-server.crt
          SSLCertificateKeyFile /etc/ssl/private/<name>-ssl-cert-private.key
  
  	<FilesMatch "\.(cgi|shtml|phtml|php)$">
  		SSLOptions +StdEnvVars
  	</FilesMatch>
  	<Directory /usr/lib/cgi-bin>
  		SSLOptions +StdEnvVars
  	</Directory>
  
  	BrowserMatch ".*MSIE.*" \
  		nokeepalive ssl-unclean-shutdown \
  		downgrade-1.0 force-response-1.0
  
  </VirtualHost>
  </IfModule>
  

• Jetzt die Datei speichern und dann:

  $ sudo a2ensite jk-ssl
  

  jetzt den apache neu starten; ihr müsst jetzt natürlich die Passwörter für die Zertifikate eingeben

  $ sudo /etc/init.d/apache2 restart
  

• wenn ihr nur kleine Konfigurationseinstellungen macht, reicht es auch die apache Konfiguration neu zu laden:

  $ sudo /etc/init.d/apache2 reload
  

Ihr habt es geschafft, auf geht’s nach https://<ip|dns>:<port> und alles müsste funktionieren. Eine kleine Anmerkung noch, wenn ihr alle Seiten/ Dienste unter ‘/var/www’ speichert und die default Seite aktiviert ist, solltet ihr in dieser sicherheitshalber ‘-Indexes’ statt Indexes eingeben. Dies ist eig. nicht nötig, aber solltet ihr mal die index.html (in der It works! steht) versehentlich löschen, da ihr denkt, ach die Datei brauche ich ja wirklich nicht. Dann kann man durch einen Aufruf im Browser auch auf eure eig. https basierten Dienste per http zugreifen.

Have fun

Ich will heute nicht auf die Installation eines Webservers eingehen, sondern auf die Installation und Konfiguration von stunnel. Einfach gesagt, statt unverschlüsseltem http ein verschlüsseltes https via Zertifikaten. Ein lauffähiger Webserver wird voraus gesetzt.

Die Anleitung geht von einem Debian Linux oder Ubuntu aus. Stunnel gibt es aber auch für Windows.

Erstmal müssen wir uns um SSL und die Zertifikate kümmern:

sudo openssl req -new -x509 -days 3650 -nodes-out stunnel.pem -keyout stunnel.pem

einfach alle Fragen irgendwiebeantworten und danach per

openssl x509 -subject -dates-fingerprint -in stunnel.pem 

anschauen, was ihr so eingegeben habt. stunnel.pem ist ein frei gewählter Name und kannauch foo.pem genannt werden.
So,jetzt installieren wir stunnel:

sudo aptitude install stunnel4

dann unter “/etc/default/stunnel4″

von ENABLED=0 auf ENABLED= 1

abschließend in  “/etc/stunnel/stunnel.conf” folgendes editieren:

; Certificate/key is needed in server mode and optional in client mode

cert = /etc/stunnel/stunnel.pem
key= /etc/stunnel/stunnel.pem

; Protocol version (all, SSLv2, SSLv3, TLSv1)
sslVersion= SSLv3

; Some security enhancements for UNIX systems - comment them out on Win32
chroot = /var/lib/stunnel4/
setuid = stunnel4
setgid = stunnel4
; PID is created inside chroot jail
pid= /stunnel4.pid

; Some performance tunings
socket = l:TCP_NODELAY=1
socket = r:TCP_NODELAY=1

[https]
accept = 443
connect = 8080

Erklärung: accept = stunnel lauscht auf Port 443 und leitet an connect Port, hier 8080 weiter. Ganz am Anfang müssen natürlich die Dateinamen mitden generierten Zertifikaten übereinstimmen.

Jetzt noch ein freundliches

sudo /etc/init.d/stunnel4 restart

und schon müsstet ihr euch per https://localhost/ verbinden können. Es kommt ein kurzer Hinweis mit einem nicht signierten Zertifikat, das müsst ihr annehmen und schonläuft die verschlüsselte Verbindung.

Mehr Informationen über SSL findet ihr bei www.google.de oder www.bing.de< /A> .

Das wars mit https in 10 Minuten.

if you get a pcf file to import e.g. for KVpnc then everything works fine, but when you want to connect to your VPN-Server you need to enter a ‘group password’. Ok, so how to get this group password? Very easy, it’s written in plain text in the pcf file. Just do a:

cat profile.pcf | grep GroupPwd

and then copy the encrypted password and paste it here to get the password as clear text. Now you can enter the group password in KVpnc and you can now connect to your VPN-Server.

Have fun

Hier ist also die stichpunktartige Anleitung, um /home zu verschlüsseln. Es wird davon ausgegangen, dass ihr die interne 4gb ssd für / formatiert habt und die andere mit 8gb für /home.

- sudo apt-get install modconf
- run sudo modconf
- enable:
* kernel/crypto and then aes_generic and leave following Message blank
* kernel/drivers/md  and then dm-crypt and leave following Message blank
(this will also install kernel/drivers/md/dm-mod)
- sudo apt-get install cryptsetup hashalot
- sudo init 6
- sudo su
- cp -av /home/<user> /mnt
- logout
- strg+alt F3, login as user, switch to root
- as root: umount /home
- cryptsetup –verbose –verify-passphrase luksFormat /dev/sdb1
- confirm with: YES
- enter PW: xyz
- cryptsetup luksOpen /dev/sdb1 home
- enter PW
- mkfs.ext3 /dev/mapper/home
- mount -t ext3 /dev/mapper/home /home
- cp -av /mnt/<user> /home

- Add the following to /etc/crypttab: home /dev/sdb1 none luks
- backup /etc/fstab: cp /etc/fstab /etc/fstab.bak
- edit /etc/fstab
- uncomment line with /home (with #)
- and add this: /dev/mapper/home /home ext3 defaults,relatime 0 2
- reboot with: init 6

Jetzt noch ein swap-image erstellen, innerhalb von /home (dies muss dann logischerweise nicht verschlüsselt werden!)

- create Swap-Image (1536 MB = 1,5 GB = 3/2 existing RAM)
- sudo su
- dd if=/dev/zero of=/home/<user>/swap.img bs=1M count=1536
- initialize as Swap-Partition
- mkswap swap.img
- start Swap
- swapon /<path>/swap.img
- test: free

- add the following to /etc/fstab
/home/<user>/swap.img  none  swap  sw  0 0

- init 6

Have fun und immer schön vorsichtig sein, bei Fehlern könnt ihr euch schnell aussperren und Daten verlieren!

Das wars. Ich reboote gerne nach solchen Änderungen, um zu sehen ob alles geklappt hat, aber das könnt ihr machen wie ihr wollt!

Quellen: 1, 2

Und damit das dismounten auch einfach geht, erstellt ihr noch einen Launcher dafür mit dem Command:
truecrypt -d /pfad/zum/mountpoint

Viel Spaß

Man folge der Anleitung von Lifehacker und gibt z.B. diesen Befehl, um den ssh Tunnel zu öffnen, ein:
ssh -p 4711 -ND 9999 mein@ssh-server.example
Das heißt euer ssh server lauscht auf Port 4711 und nicht auf 22 und euer Tunnel lauscht auf Port 9999. Achja, nicht verzweifeln, die Konsole ist für die Dauer der Nutzung des Befehls “unbrauchbar”, d.h. mit STRG+C ist der Tunnel wieder geschlossen. Ob euer Tunnel funktioniert, könnt ihr mittels:
netstat -al | grep 9999
testen. An der Ausgabe erkennt ihr, ob es funktioniert oder nicht (es erscheint tcp … localhost:9999 …. LISTEN)!

Ok, jetzt noch wie in der Anleitung die Firefox Einstellungen ändern und eine Seite ansurfen. Wird die Seite aufgerufen, surft ihr sicher über eure Leitung zu Hause oder sonst wo. Um dies jetzt noch zu kontrollieren, gehen wir wieder zu unserm Mc Donalds Beispiel, denn da wissen wir, dass ihr über T-Online ins Netz geht. Wenn ihr den Tunnel aufgebaut habt und Firefox angepasst habt, dann geht auf www.whatismyipaddress.com und schaut euch den Provider an (“Look up ip address”) und staunt, denn da sollte ein anderer Name stehen als T-Online (außer man ist selbst bei T-Online…).

Viel Spaß.

truecrypt –help

dann sieht man, dass man ein Dateisystem angeben kann und hier wird als Parameter auch “none” akzeptiert und man kann die Partition doch mounten:

truecrypt -t /dev/sdb1 –filesystem=none

Jetzt noch das Passwort eingeben und anschließend lässt sich die Partition mit einem beliebigen Dateisystem formatieren, hier ein Beispiel für ext3:

mkfs.ext3 /dev/mapper/truecrypt1

Wenn ihr mehrere Container oder Partitionen gemountet habt, dann könnt ihr über das Terminal:

truecrypt -t -l (für Textmode und List…) sehen, was wohin gemountet wurde oder ihr schaut euch über das GUI von Truecrypt die Eigenschaften der gemounteten Partitonen und Container an.

Na dann, immer schön fleißig verschlüsseln und brav die Header-Dateien wegsichern! Have fun!

Links:
Truecrypt
Truecrypt Docs