LVM Verschlüsselung

  • Hey,


    Ich würde am liebsten einen Debian Server komplett mit LVM verschlüsseln lassen. Leider müsste ich dann nach jedem Booten ein Passwort eingeben, damit der Server starten kann. Das würde ich aber SEHR ungerne machen (Mein Server soll ja schließlich Kopflos die Welt entdecken;)


    Ich habe da bis jetzt zwei Vorschläge gefunden:

    1. Eine Keyfile in den unverschlüsselten /boot order schreiben (Macht nicht das Schloss da keinen Sinn, wenn ich den Schlüssel zu erst werfe?)

    2. Per Mandos über einen anderen Server den Schlüssel bekommen (Ein zweiter Server ist mir da ehrlich gesagt zu viel Aufwand für...)


    Gibt es da vielleicht einen Netcup nativen Ansatz? Oder Träume ich von einer eilerlegenden Woll-Mich-Sau?


    LG Chris

  • Moin,


    sorry aber meine Meinung wird nicht das sein was du lesen möchtest....


    Wenn du es sicher willst, dann musst du auch den Weg gehen.


    Also es gibt, meines Erachtens nach, keinen besseren Weg als das LVM Passwort bei einem reboot einzugeben.

    So oft sollte das bei einem Server eh nicht passieren

    ;)

  • Es gibt auche eine Methode beim Booten ein SSH Server (dropbear + Busybox) vor der LVM Passwort Eingabe zu starten, allerdings darf dieser nur per Keyfile angesprochen werden.
    Dann kann man dort sein Passwort für LVM per SSH übergeben und danach beendet sich der SSH Server wieder.


    Dafür ist dann allerdings ein externer Client notwendig.

    Z B. Raspberry Pi (andere Alternative) von Zuhause.

    Alternativ geht auch ein Android Handy mit der App "ConnectBot" oder Windows 10 kann auch SSH von Haus aus.


    Von Methode 1 würde ich Abraten.
    Empfehlung: Methode 2, Vorschlag von @Caspar oder mein Vorschlag.

  • Also ich habe fast alle meine produktiven Server verschlüsselt und gebe das Passwort immer händisch ein. So oft kommt es nicht vor und man kann es ja in der Regel auch steuern.


    Mein Tipp hier: ein Passwort Manager mit AutoType. VNC auf, ein Mausklick, kurz warten und das Thema ist erledigt. Kann ich so nur weiterempfehlen. :)

    "Denn der radikalste Zweifel ist der Vater der Erkenntnis."

    -Max Weber

  • Warum eigentlich :/? Wenn der Server 24/7 läuft, ist auch die Festplatte 24/7 entschlüsselt. Jetzt mal unabhängig von einem Häkchen in der Compliance Liste, welche Art der Sicherheit wird denn hier erwartet? Netcup kann von der VM jederzeit einen Snapshot (inkl. RAM) machen und hat damit theoretisch auch immer Zugriff auf die Daten. Davor schützt es schon mal nicht. Wenn ein Angreifer auf das System kommt, hat er auch Zugriff auf die Daten. Die Festplatte ist ja zur Laufzeit entschlüsselt. Jede Art der automatisierten Entschlüsselung ist hier auch relativ sinnfrei. Am Ende macht man sich die Sache nur unnötig kompliziert. Zumindest aus meiner Sicht. Davon abgesehen, wichtige Daten würde ich dann lieber an sich verschlüsseln und hochladen (z.B. in Nextcloud). Eine Basis Debian Installation muss jetzt nicht unbedingt verschlüsselt werden. Und wenn das System so schützenswert ist, dass das doch nötig ist, würde ich es vielleicht gar nicht erst in einem fremden Rechenzentrum bei einem fremden Provider hosten wollen :).

  • Warum eigentlich :/? Wenn der Server 24/7 läuft, ist auch die Festplatte 24/7 entschlüsselt. Jetzt mal unabhängig von einem Häkchen in der Compliance Liste, welche Art der Sicherheit wird denn hier erwartet? Netcup kann von der VM jederzeit einen Snapshot (inkl. RAM) machen und hat damit theoretisch auch immer Zugriff auf die Daten. Davor schützt es schon mal nicht. Wenn ein Angreifer auf das System kommt, hat er auch Zugriff auf die Daten. Die Festplatte ist ja zur Laufzeit entschlüsselt. Jede Art der automatisierten Entschlüsselung ist hier auch relativ sinnfrei. Am Ende macht man sich die Sache nur unnötig kompliziert. Zumindest aus meiner Sicht. Davon abgesehen, wichtige Daten würde ich dann lieber an sich verschlüsseln und hochladen (z.B. in Nextcloud). Eine Basis Debian Installation muss jetzt nicht unbedingt verschlüsselt werden. Und wenn das System so schützenswert ist, dass das doch nötig ist, würde ich es vielleicht gar nicht erst in einem fremden Rechenzentrum bei einem fremden Provider hosten wollen :).

    Fremder Zugriff auf die Hardware? Ich glaube wir hatten hier irgendwann schonmal das Thema von wegen "Was ist, wenn jemand Mist baut?"

    Meines Wissens nimmt z.B. die Polizei nämlich gerne den ganzen Hardware Host inkl. aller anderen virtuellen Systeme darauf mit.


    Zudem möchte ich, falls es doch mal zu einer kritischen Lage kommt, die Möglichkeit haben, den Server herunterzufahren und meine Daten zumindest dann erstmal in Sicherheit zu wissen.

    "Denn der radikalste Zweifel ist der Vater der Erkenntnis."

    -Max Weber

  • Vielen Dank für eure Antworten


    Ich muss gestehen, ich hatte mir das etwas einfach vorgestellt.


    Ich werde beim nächsten mal entweder manuell entschlüsseln oder ein tolles script auf nem lokalen RasPi laufen lassen, wenn der die 5 stelligen Betriebsstunden nicht schafft.