Festplattenverschlüsselung

Die Festplattenverschlüsselung ist eine entscheidende Maßnahme zum Schutz der Datensicherheit. Selbst bei Verlust oder Diebstahl eines Geräts können verschlüsselte Daten nicht von Unbefugten gelesen werden. Dieser Artikel behandelt verschiedene Festplattenverschlüsselungsoptionen in Ubuntu 26.04.

LUKS-Festplattenverschlüsselung

LUKS (Linux Unified Key Setup) ist die Standard-Festplattenverschlüsselungslösung für Linux.

Aktivieren der vollständigen Festplattenverschlüsselung während der Installation

Die Aktivierung der Festplattenverschlüsselung während der Installation von Ubuntu 26.04 ist der einfachste Ansatz:

1. Starten Sie das Installationsprogramm
2. Wählen Sie im Schritt „Installationstyp“ die Option „Erweiterte Funktionen“ aus.
3. Aktivieren Sie „LVM verwenden“ und „Installation aus Sicherheitsgründen verschlüsseln“.
4. Legen Sie ein Verschlüsselungskennwort fest (merken Sie es sich unbedingt)
5. Schließen Sie die Installation ab

Nach der Installation müssen Sie bei jedem Start das Verschlüsselungskennwort eingeben, um die Festplatte zu entsperren.

TPM-gestützte Vollplattenverschlüsselung (TPM-gestützte FDE)

Das Ubuntu 26.04-Desktop-Installationsprogramm unterstützt die von TPM unterstützte Festplattenverschlüsselung**: Der Verschlüsselungsschlüssel ist im TPM 2.0-Chip des Motherboards versiegelt und an Secure Boot-Messungen gebunden. Wenn beim Booten die Systemintegrität intakt ist, gibt TPM den Schlüssel frei, um die Festplatte automatisch zu entsperren, ohne dass jedes Mal ein Passwort erforderlich ist.

Aktivierung während der Installation

1. Aktivieren Sie im Schritt „Installationstyp“ des Installationsprogramms die Festplattenverschlüsselung
2. Wenn ein verwendbarer TPM 2.0 erkannt wird und Secure Boot aktiviert ist, bietet das Installationsprogramm die Option „Mit dem TPM dieses Computers entsperren“ an.
3. Das Installationsprogramm generiert einen Wiederherstellungsschlüssel – speichern Sie ihn offline; Dies ist der einzige Fallback, wenn TPM die Festplatte nicht entsperren kann

Verwalten von Ubuntu TPM/FDE

Verwalten Sie PIN, Passphrase und Wiederherstellungsschlüssel über Security Center. Generische systemd-cryptenroll-Neuregistrierungsbefehle sind keine Anweisungen für die Wartung des vom Installationsprogramm verwalteten Ubuntu TPM/FDE. Löschen Sie keine Schlüsselsteckplätze anhand eines festen /dev/sda3-Beispiels.

Überprüfen Sie das Speicherlayout mit diesem schreibgeschützten Befehl. Es wird nicht festgestellt, dass TPM/FDE aktiviert ist:

lsblk -f

Befolgen Sie für die Schlüsselverwaltung die [offizielle Dokumentation zur hardwaregestützten Verschlüsselung] (https://ubuntu.com/desktop/docs/en/latest/explanation/hardware-backed-disk-encryption/ ). Die folgenden LUKS-Prüfungen gelten nur für unabhängig verwaltete normale LUKS-Volumes; Ersetzen Sie Gerätenamen durch verifizierte tatsächliche Geräte.

Überprüfen des Verschlüsselungsstatus

# View LUKS devices
sudo dmsetup status
 
# View LUKS details
sudo cryptsetup luksDump /dev/sda3
 
# View encrypted volume status
sudo cryptsetup status luks-volume-name
 
# View block devices and encryption relationships
lsblk -f

Verschlüsseln externer Speichergeräte

Verschlüsseln eines USB-Laufwerks mit LUKS

# Confirm the device name (very important -- avoid encrypting the wrong device)
lsblk
 
# Encrypt the partition (this will erase all data!)
sudo cryptsetup luksFormat /dev/sdb1
 
# Confirm by typing YES (uppercase), then set a password
 
# Open the encrypted partition
sudo cryptsetup luksOpen /dev/sdb1 encrypted_usb
 
# Format
sudo mkfs.ext4 /dev/mapper/encrypted_usb
 
# Mount
sudo mkdir -p /mnt/encrypted
sudo mount /dev/mapper/encrypted_usb /mnt/encrypted
 
# Unmount when done
sudo umount /mnt/encrypted
sudo cryptsetup luksClose encrypted_usb

Tägliche Nutzung verschlüsselter USB-Geräte

In der GNOME-Desktopumgebung erscheint automatisch eine Passwortabfrage, wenn Sie ein verschlüsseltes USB-Gerät anschließen. Befehlszeilenoperationen:

# Open the encrypted device
sudo cryptsetup luksOpen /dev/sdb1 encrypted_usb
 
# Mount
sudo mount /dev/mapper/encrypted_usb /mnt/encrypted
 
# ... use ...
 
# Unmount and close
sudo umount /mnt/encrypted
sudo cryptsetup luksClose encrypted_usb

LUKS-Schlüsselverwaltung

Schlüssel hinzufügen

Ubuntu 26.04 verwendet standardmäßig LUKS2, das bis zu 32 Schlüsselsteckplätze unterstützt (LUKS1 unterstützt nur 8, 0-7):

# Add a new password
sudo cryptsetup luksAddKey /dev/sda3
# You must first enter an existing password, then enter the new one
 
# Add a key file
sudo dd if=/dev/urandom of=/root/luks-keyfile bs=4096 count=1
sudo chmod 600 /root/luks-keyfile
sudo cryptsetup luksAddKey /dev/sda3 /root/luks-keyfile

Schlüssel abziehen

# Remove a specific key slot
sudo cryptsetup luksKillSlot /dev/sda3 1
 
# Remove a specific password (enter the password to remove)
sudo cryptsetup luksRemoveKey /dev/sda3

Status des Schlüsselsteckplatzes anzeigen

sudo cryptsetup luksDump /dev/sda3 | grep "Key Slot"
# Example output:
# Key Slot 0: ENABLED
# Key Slot 1: ENABLED
# Key Slot 2: DISABLED
# ...

Ein Passwort ändern

# Change an existing password
sudo cryptsetup luksChangeKey /dev/sda3
# Enter the old password first, then enter the new one

Automatisches Entsperren mit Schlüsseldateien

Konfigurieren der automatischen Entsperrung für Datenpartitionen

Wenn die Systemfestplatte bereits verschlüsselt ist, können Sie eine Schlüsseldatei verwenden, um Datenpartitionen automatisch zu entsperren, nachdem die Systemfestplatte entsperrt wurde:

# Generate a key file
sudo dd if=/dev/urandom of=/root/.luks-data-key bs=4096 count=1
sudo chmod 400 /root/.luks-data-key
 
# Add the key file to the LUKS device
sudo cryptsetup luksAddKey /dev/sdb1 /root/.luks-data-key
 
# Get the UUID
sudo blkid /dev/sdb1
 
# Configure /etc/crypttab
sudo nano /etc/crypttab

Zu /etc/crypttab hinzufügen:

# <name>           <device>                                      <key file>            <options>
data_encrypted  UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx  /root/.luks-data-key  luks

Mount-Konfiguration zu /etc/fstab hinzufügen:

/dev/mapper/data_encrypted  /mnt/data  ext4  defaults  0  2

# Test the configuration
sudo cryptdisks_start data_encrypted
sudo mount /mnt/data

Verschlüsseln des Home-Verzeichnisses

Verwendung von fscrypt für die Verschlüsselung des Basisverzeichnisses

Ubuntu 26.04 empfiehlt fscrypt für die Verschlüsselung auf Verzeichnisebene:

# Install fscrypt
sudo apt install fscrypt libpam-fscrypt
 
# Initialize fscrypt (on the filesystem)
sudo fscrypt setup
sudo fscrypt setup /home
 
# Encrypt a new user's home directory
sudo fscrypt encrypt /home/newuser --user=newuser

Aktivieren der Verschlüsselung für vorhandene Verzeichnisse

# Create an encrypted directory
mkdir ~/Private
fscrypt encrypt ~/Private
 
# Choose a protection method (password, PAM login, etc.)
# PAM login protection is recommended -- auto-unlocks on login
 
# Lock the directory
fscrypt lock ~/Private
 
# Unlock the directory
fscrypt unlock ~/Private
 
# Check encryption status
fscrypt status ~/Private

Verschlüsselnder Swap

Swap mit einem zufälligen Schlüssel verschlüsseln

# Edit /etc/crypttab
sudo nano /etc/crypttab

Hinzufügen:

cryptswap  /dev/sdXN  /dev/urandom  swap,cipher=aes-xts-plain64,size=256

Aktualisieren Sie /etc/fstab:

/dev/mapper/cryptswap  none  swap  sw  0  0

Verwenden einer Auslagerungsdatei (auf einer LUKS-verschlüsselten Festplatte)

Wenn das System bereits die LUKS-Festplattenverschlüsselung verwendet, ist die Auslagerungsdatei bereits durch Verschlüsselung geschützt:

# Create a swap file
sudo fallocate -l 4G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
 
# Persist
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

LUKS-Leistungsoptimierung

Überprüfen der Verschlüsselungsleistung

# View current encryption algorithm
sudo cryptsetup luksDump /dev/sda3 | grep "Cipher"
 
# Benchmark encryption performance
sudo cryptsetup benchmark
 
# Example output:
# PBKDF2-sha1      1200000 iterations per second
# PBKDF2-sha256     800000 iterations per second
# Algorithm |  Key |  Encryption |  Decryption
#  aes-cbc   128b   1200.0 MiB/s   3500.0 MiB/s
#  aes-cbc   256b    900.0 MiB/s   2800.0 MiB/s
#  aes-xts   256b   2500.0 MiB/s   2600.0 MiB/s
#  aes-xts   512b   2100.0 MiB/s   2200.0 MiB/s

Optimierungsmöglichkeiten

# Use AES-NI hardware acceleration (most modern CPUs support it)
grep aes /proc/cpuinfo
 
# Specify high-performance parameters when creating an encrypted partition
sudo cryptsetup luksFormat --type luks2 --cipher aes-xts-plain64 --key-size 512 --hash sha256 /dev/sdb1

Sichern des Verschlüsselungsheaders

Eine Beschädigung des LUKS-Headers kann zu einem vollständigen Datenverlust führen. Sichern Sie es immer:

# Back up the LUKS header
sudo cryptsetup luksHeaderBackup /dev/sda3 --header-backup-file /safe/location/luks-header-backup
 
# Restore the LUKS header (for data recovery)
sudo cryptsetup luksHeaderRestore /dev/sda3 --header-backup-file /safe/location/luks-header-backup

Speichern Sie die LUKS-Header-Sicherung an einem sicheren externen Ort (z. B. einem USB-Gerät in einem Safe).

Notfalldatenlöschung

Wenn Sie verschlüsselte Daten dringend vernichten müssen:

# Wipe the LUKS header (data will be permanently unrecoverable!)
sudo cryptsetup luksErase /dev/sda3
 
# Or overwrite the LUKS header area
sudo dd if=/dev/urandom of=/dev/sda3 bs=1M count=2

Dies dauert nur wenige Sekunden, da Sie nur die Verschlüsselungsschlüssel zerstören und nicht alle Daten löschen müssen.

Fehlerbehebung

Passwort vergessen

Wenn Sie das LUKS-Passwort vergessen haben und keine Sicherungsschlüsseldatei haben, können die Daten nicht wiederhergestellt werden. Vorbeugende Maßnahmen:

• Speichern Sie das Verschlüsselungspasswort in einem Passwort-Manager
• Richten Sie mehrere Schlüsselsteckplätze als Backups ein
• Sichern Sie den LUKS-Header

Entsperren beim Booten nicht möglich

# Boot from a Live USB
# Open the encrypted partition
sudo cryptsetup luksOpen /dev/sda3 recovery
 
# Mount
sudo mount /dev/mapper/recovery /mnt
 
# Check and repair
sudo fsck /dev/mapper/recovery
 
# When done
sudo umount /mnt
sudo cryptsetup luksClose recovery