Intelligente Lösungen
in neuer Dimension

Ubuntu: Mehrere Platten mit gleichem Schlüssel verschlüsseln

Einige unterer Arbeitsplatzrechner haben mehrere Festplatten eingebaut:

  • SSD für schnellen Systemstart
  • HD für Massendaten

Unsere Richtlinie gibt vor, dass Festplatten verschlüsselt sein müssen. Die betreffenden Rechner müssen dann also mehrere Festplatten verschlüsseln. Wir wollen die Platten mit einem gemeinsamen Kennwort entschlüsseln!

Ausgangslage

Rechner ist gemäß Ubuntu-2004: Arbeitsplatz vorinstalliert. Es wird nur eine Festplatte (die SSD) verwendet.

Zusatzpakete installieren

1

sudo apt install keyutils

Platte identifizieren und partitionieren

Zunächst müssen wir sicher sein, wie wir die zusätzliche Platte ansprechen können. Dies kann bspw. via “Laufwerke” ermittelt werden.

Im nachfolgenden:

  • /dev/sda … ist die SSD
  • /dev/sdb … ist die HD

Die HD hat 500GB. Wir partitionieren sie mit:

1
2
3
4
5
6
7
8
9

$ sudo fdisk /dev/sdb
Befehl: p
...
Befehl: n
Wählen: p
Partitionsnummer: 1
Erster Sektor:
Letzer Sektor: +300G
Befehl: w

Plattenverschlüsselung aktivieren

1
2
3
4
5
6
7
8
9
10
11
12
13

$ sudo cryptsetup luksFormat --type=luks1 /dev/sdb1
WARNING!
========
Hiermit werden die Daten auf »/dev/sdb1« unwiderruflich überschrieben.

Are you sure? (Type uppercase yes): YES
Geben Sie die Passphrase für »/dev/sdb1« ein: {meinKennwort}
Passphrase bestätigen: {meinKennwort}

$ sudo cryptsetup open /dev/sdb1 sdb1_crypt
Geben Sie die Passphrase für »/dev/sdb1« ein: {meinKennwort}

$ sudo mkfs.ext4 /dev/mapper/sdb1_crypt

Plattenentschlüsselung im Boot-Vorgang

1
2

$ sudo blkid /dev/sdb1
/dev/sdb1: UUID="9350b439-070c-4e20-9a17-74c3df4f945f" TYPE="crypto_LUKS" PARTUUID="7be16c3e-01"

Datei /etc/cryptab anpassen:

1
2

sda5_crypt UUID=a443a76c-00d6-485f-9285-e9ebc3f12bff crypt_disks luks,discard,keyscript=decrypt_keyctl
sdb1_crypt UUID=9350b439-070c-4e20-9a17-74c3df4f945f crypt_disks luks,discard,keyscript=decrypt_keyctl

Die erste Zeile sieht schon recht ähnlich aus! Ändern muß man “crypt_disks” und “keyscript=…”. Die zweite Zeile ist neu.

1
2
3
4
5

$ sudo update-initramfs -u
update-initramfs: Generating /boot/initrd.img-5.4.0-40-generic
I: The initramfs will attempt to resume from /dev/dm-0
I: (/dev/mapper/ubuntu--vg-swaplv)
I: Set the RESUME variable to override this.

Änderungen

  • 2020-07-02 – erste Version