Home-Verzeichnis verschlüsseln

Hi miteinander,
jetzt habe ich auch mal wieder was.
Ich will mein Home-Verzeichnis verschlüsseln. Da es bei einem Login gemountet werden muss, gibt es ein, zwei Probleme:
1. Bei einem Shell-Login muss es gemountet werden
2. Bei einem X-Login muss es gemountet werden
In beiden Fällen muss das Passwort abgefragt werden.
3. Meine Version von mount will unbedingt die Keysize wissen, wenn ich der Crypto-Partition einen Eintrag in der /etc/fstab verpasse, selbst wenn ich sie in die fstab mit "keysize=..." oder "keybits=..." reinschreibe.

1. Zum Thema Shell-Login hat sich der Mensch hier schon mal ausgelassen: http://www.eckner.org/crypto/
Er kam auf die interessante Idee, ein unverschlüsseltes Home zu verwenden, dessen .profile und .bashrc ausgeführt werden. In diese kann man dann den mount-Befehl reinschreiben, worauf die Passwortabfrage kommt. Gemountet wird - wieder nach Home, wodurch das unverschlüsselte Home "unsichtbar" wird und das verschlüsselte "sichtbar". Erst nach dem mounten kann man ja auf die "eigenen" .profile/.bashrc Dateien zugreifen.
2. X-Login ist nicht mal soo unähnlich, da gibt es glaube ich eine Datei ".Xsession" oder so. Allerdings...was mache ich in der? Wie bekomme ich eine grafische Passwortabfrage hin? Gibts da was einfaches oder darf ich den kdevelop rausholen?
3. Hat jemand eine Ahnung wie ich mount das mit der Keysize beibringe? Ich verwende Debian/unstable, mount und losetup haben bereits diesen Crypto-Patch den man braucht. Soll ich mir die Sourcen beschaffen und den Original-Patch aufspielen? Oder weiss da jemand was?

MfG

- Praetorian

Hi,

Original geschrieben von Praetorian
Ich will mein Home-Verzeichnis verschlüsseln. Da es bei einem Login gemountet werden muss, gibt es ein, zwei Probleme:
1. Bei einem Shell-Login muss es gemountet werden
2. Bei einem X-Login muss es gemountet werden
In beiden Fällen muss das Passwort abgefragt werden.
[...]
Ich verwende Debian/unstable, mount und losetup haben bereits diesen Crypto-Patch den man braucht.

Zum Vergrößern anklicken....

Wäre vielleicht das PAM Modul "libpam-mount" etwas für dich?
X-Login und Shell-Login benutzen doch standardmäßig PAM zur
Authentifizierung. Das "libpam-mount" gibt's auch auf den offiziellen
Debian Package Servern. Die Webseite von pam_mount befindet
sich unter [1].

Laut [1] und [2] kann pam_mount auch mit Verschlüsselten
Loopback Dateisystemen umgehen. Ob damit auch dein
keybits Problem gelöst ist, weiß ich leider nicht.

Allerdings steht hier überall, dass man für Login Passwort
und Cryptodevice das gleiche Passwort angeben soll/kann.
However. Ich geh schlafen.

Gn8.
Dennis

[1] http://www.flyn.org/projects/pam_mount/index.html
[2] http://packages.debian.org/libpam-mount

Ist ein interessanter Ansatz. Allerdings muss, wenn ich das richtig verstehe, das Passwort der Krypto-Partition (verschlüsselt) auf der Platte in der /etc/passwd gespeichert werden. Ich verwende MD5, und ich will MD5 (128 Bit) nicht die Sicherheit meiner Plattenverschlüsselung (256 Bit) anvertrauen. Blowfish-Integration in PAM ist zwar möglich (SuSE hat's gemacht), aber wenn ich anfangen muss mein PAM neu zu kompilieren muss ich ehrlich sagen: Wozu? Dann verzichte ich lieber auf den tollen Mechanismus, dass man mit dem Loginpasswort auch gleich die Krypto-Partition lesen kann - ich hab normalerweise nichts gegen Ausflüge in die Tiefen des Systems, aber der hier wird dem Aufwand imo nicht gerecht. Trotzdem Danke!

Um zurückzukommen auf Punkt 2 zurückzukommen (ich schreibe das jetzt mal einfach, oft kommen mir dabei die besten Ideen, und wenn nicht, vielleicht euch ) - wenn ich denn nun ein Progrämmchen schreiben würde, das in der /home/praetorian/.xinitrc (das war es, nicht .Xsession) gestartet wird (vor dem Abschnitt, in dem KDE gestartet wird), wie müsste das denn beschaffen sein? Es müsste eine Eingabebox anzeigen, über die es das Passwort abfragt. Dann müsste es das Passwort an mount weiterreichen, das das Home-Laufwerk neu mountet - es macht kein Problem, dass die .xinitrc im unverschlüsselten Home noch geöffnet ist. Danach wird der Window-Manager gestartet (steht auch in der .xinitrc, wird auch noch ausgeführt obwohl die Datei schon nicht mehr gelesen werden kann). Dabei soll das Passwort auf keiner Kommandozeile auftauchen (ist es unkritisch, es in eine Shellvariable reinzuschreiben?). Es muss auch einen Abbrechen-Knopf geben, falls man sich doch nicht einloggen will, und falls das mounten fehlschlägt muss das erkannt werden und erneut nach dem Passwort gefragt werden. Den letzten Teil kann ich Shellskripten, nur das Programm sollte ich mal basteln.