Knoppix Forum | www.KnoppixForum.de

Zitat von »Thomas123«

ich möchte ein Backup meiner verschlüsselten Overlay-Datei machen

irgendwo in diesem Forum hatte ich mal beschrieben, wie ich eine verschlüsselte Overlay einbinden konnte. Das geht auch aus anderen Systemen heraus und braucht nur ein wenig SW und Handarbeit. Wenn du den entsprechenden Thread findest, gehst du am Besten gleich zum ende, denn es hat einige Zeit gedauert, bis ich die richtigen Erkenntnisse zusammen hatte.

Grundsätzlich kannst du dich fragen, ob du überhaupt die verschlüsselte Overlay kopieren möchtest, oder deren Inhalt (halt unverschlüsselt).
Im laufenden Knoppix wird die Overlay auf /KNOPPIX-DATA eingebunden.
Sie das Beispiel aus einem laufenden Knoppix:

Da wird auch offenbar, dass es die zweite Partition auf deinem Knoppix-Stick ist. Erga kannst du diese auch vollkommen mittels dd (oder ddrescue) sichern. Dann bleibt die Verschlüsselung erhalten und du kannst nicht viel damit anfangen. Es sei denn, du bindest die dann wieder so ein, wie ich es oben erwähnte.

Nehmen wir an, dein Stick wird als sdb erkannt. Dann würde ein:
die Partition zwei komplett bitweise vom Stick auf die Datei /dein/Ziel kopieren. Weil Bitweise zu lange dauert, würde man vielleicht noch ein bs=1m angeben, um mit 1M großen Blöcken zu schreiben.

Zitat von »Thomas123«

Und dd würde den ganzen leeren Platz ja mit kopieren, wenn ich dd richtig verstanden habe. Stimmt das so?

Ja, das stimmt.

Zitat von »Thomas123«

/dev/mapper/KNOPPIX-DATA on /KNOPPIX-DATA type reiserfs (rw,relatime)

dies ist deine Overlay-Partition. Sie wird als /dev/mapper bezeichnet, weil das durch den Entschlüsselungsvorgang entsteht.

Zitat von »Thomas123«

/dev/sdc1 on /mnt-system type vfat (rw,relatime,fmask=0000,dmask=0000,allow_utime=0022,codepage=850,iocharset=utf8,shortname=winnt,utf8,errors=remount-ro)

Dies ist deine "Knoppix" Partition, also die erste Partition auf deinem Stick.
Daraus lässt sich ableiten, dass eine unverschlüsselte Overlay /dev/sdc2 in deiner momentanen Konfiguration sein würde.

Das Kopieren der Dateien im laufenden Betrieb ist immer ein klein wenig problematisch, weil Dateien geöffnet und verändert werden könnten. Tatsächlich habe ich zwei unterschiedliche Sticks mit Knoppix im Einsatz und meine Overlay ist kopiert, also quasi gekloned.
Ich habe mir das aber einfach gemacht, denn ich halte sowieso nichts davon, die Overlay zu verschlüsseln. Meine Overlay ist einfach und in ext2 formatiert, nicht in reiserfs, wie Knoppix dies vorgibt. Auf diese Weise kann ich diese Partition auch einfach aus anderen Betriebssystemen heraus erreichen und bearbeiten. So nutze ich zB in Knoppix LXDE mit OpenBox als Fenstermanager, weil ich das überall benutze und meine Tastaturkürzel, also meine Konfigurationsdateien, konnte ich einfach aus meinem laufenden System heraus übernehmen, etwa anpassen und gut. Damit verhält sich Knoppix ziemlich genauso, wie meine anderen PCs.

Das Thema Verschlüsselung ist umständlich. Viele Leute glauben, dadurch eine größere Sicherheit zu haben. Das ist auch tatsächlich so, wenn der Stick mal verloren geht. Also dann und nur dann, wenn das entsprechende Medium in fremde Hände kommt, schützt Verschlüsselung. Und ich verschlüssele nur meine wichtigen Dinge mit GPG. Auf der Overlay liegt eh nichts wichtiges (bei mir) und die Systembestandteile brauchen keinen Schutz.
Im laufenden Betrieb ist die Overlay ja entschlüsselt und ein Angreifer hat dann vollen Zugriff darauf.
Nach meiner Erfahrung haben sich schon viele Leute durch Verschlüsselung ausgesperrt und Daten verloren.Deshalb habe ich mich persönlich dagegen entschieden, ganze Geräte oder Partitionen zu verschlüsseln.

ich weiß nicht, ob ich da nun richtig verstanden habe.
Lass mich mal wieder mein Knoppix in der VM starten und etwas zeigen:


Bei dir wird das anders aussehen, aber das ist die Info, die von Knoppix beim Booten ausgewertet wird, um die Overlay-Partition zu finden und diese auch einzubinden. Also, Partition 2, auf /KNOPPIX-DATA einbinden und zwar reiserfs.
Ich habe damit nicht ausgiebig gespielt, aber meine Overlay auf dem Stick ist ja ext2 und nicht reiserfs Ob es sogar funktionieren würde, wenn man hier einen Alternativen Mountpoint setzt oder eine alternative Partition, das habe ich nie probiert.


Also, in /KNOPPIX-DATA hat man eine Dateisystem-Struktur. Die wird gemerged, das bedeutet, beim Booten werden die hier gespeicherten teile des Systems mit denen Überlagert, die im orginalen Knoppix liegen. Auf diese Weise können zusätzlich installierte Programme realisiert werden, aber auch gelöschte Programme.
Und man hat hier dann das Heimatverzeichnis des Users knoppix, also alle Einstellungen etc.

Wenn man auf einem Knoppix-Stick eine Partition anlegt, sie in der knoppix-data.inf passend beschreibt und die gewünschten Inhalte hierher kopiert, werden diese auch auf diesem Stick von Knoppix realisiert und eingebunden.
Zusätzlich kann man die Konfigurationen zu Syslinux ebenfalls übernehmen und dann hat man einen Klon des ersten Knoppix-Sticks.
Die neue Overlay ist dann aber nicht verschlüsselt. Wollte man ein solches Verfahren trotz Verschlüsselung machen, wäre das wohl nur über Netzwerk mit zwei laufenden Knoppix zu machen.

Remastering habe ich nie probiert, nur gelesen. Es hat vor allem den Vorteil, dass man viele unnötige Dinge weglassen kann und so ein kleines Knoppix erhält. Man braucht ja in aller Regel nicht mehrere Desktop-Environments. Würde man das nämlich über die Overlay realisieren, könnte es zu Problemen führen. Wenn diese zu viele Einträge enthält, kann es zu Laufzeit-Problemen kommen.

Angenommen, du würdest nur den Bereich verschlüsseln, der deine geheimen Sachen enthält (also das home des Users Knoppix), dann wärst du hier in meinen Augen deutlich flexibler, als mit einer komplett verschlüsselten Partition. Das würde natürlich Bastelarbeit bedeuten. Persönlich verschlüssele ich nur gezielte Dokumente, aber das hatte ich wohl schon erzählt.

Zitat von »Thomas123«

Ja, dass kopieren im laufenden Knoppix riskant ist ... hmm, verstehe.

weniger, wenn weniger läuft. Dazu könnte man etwa in den Konsolenmodus booten (gibt einen Cheatcode dafür). Ich selbst habe das von extern gemacht, hatte aber eben auch keine Verschlüsselung und benutze bei sowas immer rsync, obwohl auch bessere Möglichkeiten gibt.
Technisch gesehen sollte ein Snapshot eines Zustandes angelegt und dann dieser kopiert werden. Inwieweit Linux-Dateisysteme so etwas können, weiß ich aber nicht.

Nur mal eine Frage.

Zitat von »Thomas123«

Also ich würde die Verschlüsselung gern behalten. Habe da z.B. im Firefox Passwörter drin ...

Wozu brauchst Du eine verschlüsselte Partition?
Ich hatte das mal bei Knoppix 6.9 und 7.4 flash probiert macht aber keinen Sinn wenn ich der einzige bin der diesen Stick benutzt.
Wenn dieser Stick den Du zur Zeit benutzt noch von anderen Bekannten; Freundin; Freund benutzt wird kannst Du ein Netzwerk einrichten.Dann hat jeder Benutzer sein eigenes Passwort und kann nicht die Daten eines anderen Benutzers lesen.
Eine Festplatte Verschlüsseln ist keine gute Idee.

ich nehme für so etwas gpg.

Allerdings mach ich es etwas anders und gebe keine Passwörter im Firefox ein. Also, ich speichere die dort nicht. Der Firefox macht das angeblich an sich bereits sicher, indem er eine Binärdatei anlegt, die niemand sonst lesen kann. Aber es ist SW und ich will mich davon nicht abhängig machen.

Wie schon gesagt, ist eine Verschlüsselung nur dann sicher, wenn nicht entschlüsselt wird. Sobald ein Dokument entschlüsselt auf dem PC liegt, kann es auch von Angreifern gelesen werden und das bedeutet eben, sobald beim Booten die verschlüsselte Partition eingebunden wird, also, für den kompletten Betrieb des Systems, bietet die Verschlüsselung keine Sicherheit.

In meinem Fall pflege ich ein Text-Dokument. In diesem liegen Passworte neben irgendwelchem Text. Intelligente Späher sehen das sofort, aber automatische können jedenfalls schon mal abgelenkt werden.
Das text-Dokument ist mittels gpg symmetrisch verschlüsselt. Es bleibt so lange verschlüsselt, bis ich es tatsächlich benutzen will. Dann entschlüssele ich es und nutze es und anschließend mache ich das wieder rückgängig. Dabei nutze ich gpg von der Konsole aus. Das funktioniert auf allen meinen Systemen. Die gleiche Datei, gleicher Mechanismus.
Das ist mir wichtig, weil ich für gewöhnlich kein GNU/Linux benutze, aber gelegentlich eben doch mal, wie etwa Knoppix.

Man kann auch komplette Verzeichnisse so verschlüsseln. Es ist vielleicht unpraktisch, die immer wieder erst entschlüsseln zu müssen, bevor man dann eine Anwendung startet. Vielleicht gibt es aber auch einfache GUIs dafür, keine Ahnung.

Im allgemeinen wird immer von Keypassx geredet, wenn es um das sichere Aufbewahren von Passworten geht. Das gibt es auch für unterschiedliche Systeme, aber ich benutze das nicht.

Zitat von »Thomas123«

Gibt es denn eine andere Methode, um eben nicht die ganze Overlay-Partition zu verschlüsseln

Bei der Flash Installation wird immer gefragt ob die Overlay-Partition Verschlüsselt werden soll.
wer bei dieser Frage auf ja tippt und ein Passwort eingibt kann nur mit diesem Passwort auf diese Partition zugreifen.
jedes mal wenn ich ins Internet wollte musste ich dieses Passwort eingeben.
ich hatte das nur ein einziges mal probiert bis es mir zu stressig wurde.
seit dem hatte ich nie wieder eine Partition verschlüsselt.

Thomas123
Einen guten Rat möchte ich dir geben.
Ich habe keine Ahnung mehr wie man Passwörter mit Firefox direkt irgend wo eingeben kann.
Vielleicht hatte ich 2001 mal was bei Windows XP probiert.
2001 hatte ich eine Datei „neues passwort.xls“ geschrieben.
Ich benutze nur diese Datei für Passwörter.

Seit April 2014 weiß ich das meine Daten von Hackern gelesen werden könnten.
Alle Passwörter die Du von wem auch immer über Firefox bekommen hast sind von dritten lesbar.

Zitat von »Thomas123«

Die Passwörter im Firefox direkt zu haben und sie automatisch auch noch in die Felder eingesetzt zu bekommen ist schon Luxus. Da gebe ich lieber beim Hochfahren einmal mein Passwort ein und fertig.

Ist schon klar und ich möchte keineswegs eine kompetente Entscheidung kritisieren, weil sie anders ausfällt, als meine eigene.

Das Ding ist halt: Firefox macht das schon sicher (es sei denn, die sind gehackt).
Die Verschlüsselung der kompletten Partition macht es nur für genau einen einzigen Fall sicherer, dass nämlich der Datenträger mit dieser Partition in die Hände eines Angreifers kommt.
Für mich selbst ist dieses Szenario vergleichbar, mit dem Verlust meines Geldbeutels mit Bargeld. Und weil ich sehr gerne mit Bargeld bezahle, passe ich besonders gut auf meinen Geldbeutel auf.

Ich kann mir nicht vorstellen, dass ein Angreifer es auf mich abgesehen hat und dann, dass er ausgerechnet darauf aus ist, mir meinen Knoppix Stick zu stehlen, um an private Daten kommen zu können. Und das gilt auch für meinen PC zu Hause: der läuft ja immer und ist nur durch einen Passwortgeschützten Bildschirmschoner gesichert. Und wenn das nicht so wäre, könnte tatsächlich auch hier jemand meine Festplatte klauen und versuchen, sie auszulesen.

Nur dann und genau dann hilft mir die Verschlüsselung der Platte.
So lange der Rechner läuft, ist sie entschlüsselt und jeder Angreifer kann auf die Daten zugreifen, wenn er denn auf meinen PC kommen kann.

Also nochmal. Ich verstehe sehr gut, wenn jemand seine Platte verschlüsselt haben möchte.
Im allgemeinen habe ich mehr negative Erfahrung damit gemacht, als positive Effekte erlebt.
Allermeist ist die Entscheidung nicht kompetent getroffen, weil unbedarft einfach verschlüsselt=gut gesetzt wird. Das habe ich in zahlreichen Diskussionen so erlebt. Viele Anwender glauben ihre Daten dadurch in Sicherheit, weil sie auf verschlüsselten Partitionen liegen und erkennen nicht das Potential, eines aktiven Eindringlings.

Gerade bei Knoppix ist das ein Thema, denn viele Anwender glauben, wenn sie ein Live-System benutzen, kann ihnen nichts passieren. Das eigentliche System ist unveränderlich und dadurch nicht kompromittierbar. Zur Laufzeit haben aber Angreifer alle Möglichkeiten und gerade, weil ein Live-System nicht aktuell gehalten werden kann, ist es deshalb auch keineswegs sicher. (Natürlich ist kein System jemals sicher).
Hier sollte man genau überlegen und dann eben kompetent entscheiden.

Zitat von »Thomas123«

Dass ich den Stick mal irgendwo verliere.

Eine Möglichkeit die ich kenne deine Daten zu Schützen ist wenn Du Benutzer einrichtest.
Jeder Benutzer muss ein eigenes Passwort haben.
Solltest Du den Stick verlierern kann niemand deine Daten lesen wenn er das Passwort nicht kennt.

Zitat von »Thomas123«

Bist du dir sicher?

Ich bin der Meinung, von aussen (also z.B. mit einem anderen Knoppix) kann jeder diese Daten komplett lesen. Passwort hin oder her.

Das ist auch so. Es ist ja ganz genau, was ich mit meinem Knoppix mache. Ich WILL die Daten in meinem Heimatverzeichnis erreichen können und habe deshalb auch meine Overlay als ext2 angelegt, weil ich mit dem System meiner Wahl die Unterstützung für reiserfs gar nicht hinbekommen hatte. Vielleicht wäre das im Umkehrschluss dann auch eine Begründung für reiserfs: außer GNU/linux unterstützt das wohl niemand mehr und dann ist man damit auch ziemlich sicher vor dem Zugriff durch andere geschützt.

Nein, in der Overlay liegen die Heimatverzeichnisse der User und sind deshalb auch erreichbar, wenn jemand die Overlay einbinden kann.
Die Passworte und Zugangsdaten, die Firefox anlegt, sind weiterhin "sicher", können also nicht ausgelesen werden, weil sie binär sind. Ich stelle mir aber vor, dass man einfach das komplette Verzeichnis .mozilla aus einem Heimatordner kopiert und mit einem kompatiblen Browser startet. Man kann die Passworte dann zwar nicht direkt lesen, aber beim Öffnen von Seiten (etwa aus der Historie), werden diese Automatisch eingefügt und so könnte ein Angreifer super leicht Zugriff auf persönliche Dinge erhalten.

Es wird deshalb ja auch immer diskutiert, dass man Browser nicht in der gleichen Umgebung starten soll, in der auch der User unter Wegs sein darf. Browser sollten in einem abgeschotteten Arbeitsbereich laufen, manchmal Sandbox genannt. So soll dann ein Angreifer nicht über den Browser an andere Teile des PCs kommen können.