Verschlüsselung mit Keyfiles auf USB-Stick

[Thomahawk]

Hallo zusammen!

Wie ist es möglich, einen USB-Stick wie eine Art Schlüssel für den PC zu verwenden?

Ich habe es bereits mit TrueCrypt und LUKS versucht, jedoch scheiterte ich immer bei den Keyfiles auf einem USB-Stick. Sie wurden nie gefunden.

Wie ist es möglich, alles so einzurichten, das der Rechner beim Hochfahren nach einem Keyfile sucht, und wenn er dieses findet, auch das entsprechende Dateisystem mountet, und wenn er es nicht findet, trotzdem weiterbootet, er muss dann über Remote (SSH, NX) erreichbar sein.

Root ist unverschlüsselt, SWAP ist deaktiviert. Es wird nur ein LVM Logisches Volume verschlüsselt, dieses kann ja wie eine normale Partition behandelt werden...

Ich habe mir überlegt, es mit einem Skript, welches beim Hochfahren ausgeführt wird zu lösen. Nur habe ich keine Ahnung von Scripting.

Hat jemand eine zuverlässige Lösung? Danke bereits im Voraus.

Grüsse Thomahawk

 

[Goodspeed]

Wie die Keyfiles wurden nie gefunden?
Musst halt dafür sorgen, dass der Stick vor dem Mounten der verschlüsselten Partition entsprechend eingehangen wird ...

 

[Thomahawk]

Bei dm-crypt wurde auch nach der Angabe eine Keyfiles, immer ein Passwort angefordert (auch wenn ich Slot-0 gelöscht hatte). Wie muss ich es dann einrichten, dass der Wecheldatenträger zuerst gemountet wird?

 

[Xanti]

Folgendes Skript in /etc/init.d legen und mit den Runleveln so verlinken, dass es nach der Initialisierung des USB und vor dem Einhängen des verschlüsselten Gerätes liegt. Wie das Skript, das das Gerät entschlüsselt, darauf reagiert, wenn kein Schlüssel vorhanden ist, kann ich natürlich nicht voraussagen. Zur Sicherheit sollte man die MDSUM des Schlüssels berechnen und in /root/.${key}_md5sum legen.

key="secret.key"     # Name des Keys
mount="/mnt/crypt"   # wo der usb-stick eingehängt wird
device="/dev/sdb2"   # usb device

case "$1" in 
    start)
    if $( grep -q "$mount" /etc/mtab ); then 
        umount "$mount"
    fi 
    echo -n "waiting for key file media... " 
    mount -o ro "$device" "$mount" > /dev/null 2>&1 
    md5sum -c "/root/.${key}_md5sum" > /dev/null 2>&1
## oder, falls md5sum nicht verfügbar ist:
# test -r "$mount/$key"
    if [ $? -ne 0 ]; then
        echo "ERROR: No key file media!" 
        if $( grep -q "$mount" /etc/mtab ); then 
            umount "$mount"
        fi 
    fi
    ;; 
    
    stop) 
    if $( grep -q "$mount" /etc/mtab ); then
        umount "$mount"
    fi
    ;; 
    
esac 

exit 0