Laufwerksverschlüsselung und UEFI Partitionslabels Fragenkatalog

Hallo,

ich hatte vor Kurzem bei der Neuinstallation meines Notebooks, Laufwerksverschlüsselung ausgewählt. Doch allerdings so ganz glücklich, bzw. informiert bin ich in dahingehend noch nicht. Für mich haben sich bisher die nachfolgenden Fragen ergeben, die ich mir nicht durch die openSUSE Dokumentation (oder anderweitig) beantworten konnte:

1. Welche Verschlüsselung, bzw. welcher Algorithmus wird "unter der Haube" verwendet? Das ging im Installer nicht hervor - man kann dort nur Verschlüsselung inform einer Checkbox an- bzw. abwählen.

2. Warum kann man UEFI Partitionen nicht benennen wie man will, wenn es doch der ISO Standard hergibt? Man kann dort nur auswählen "nach uuid benennen" oder nicht. Das sagt mir allerdings als Mensch nichts und man weiß dann trotzdem nicht welche Partition welche ist. Laut dem ISO Standard, so zumindest laut den Microsoft Dokumenten, kann man die Partitionslabels im UTF-8 Zeichensatz (alle bekannten und gängigen Umlaute, einschließlich Symbol-Sonderzeichen, asiatische Schriftzeichen usw.) vergeben bis zu einer gewissen Maximallänge, warum also diese uuid's, die nur Maschinen voneinander unterscheiden können?!

3.Ist die zugrundeliegende Verschlüsselung anfällig für Timing Attacks?

4. Warum kann man nicht generell das komplette Laufwerk verschlüsseln, also nur eine Passwort-Abfrage, anstatt jede Partition einzeln?

5. Wie wäre eine mehrstufige Verschlüsselung zu realisieren?

6. Kann man es beim Booten nicht so einstellen, dass er öfters nach dem Passwort fragt bei falscher Eingabe?

7. Gibt es beim Booten der verschlüsselten /root Partition bei der Eingabe des Passwortes einen Timeout, wo er ohne Eingabe weiter bootet?

8. Kann man es so eisntellen, dass er ohne entschlüsselte /root Partition nicht weiter bootet? Standardmäßig ist es ja so, dass beim Booten nicht entschlüsselte Partitionen ignoriert werden laut Doku, macht aber wenig Sinn, wenn es die /root Partition ist...

9. Warum kann man nicht einfach ein laufendes System verschlüsseln - ohne Datenverlust - BitLocker kann es schließlich auch?

Über die Beantwortung der ein oder anderen Frage würde ich mich sehr freuen.

Vielen Dank im Voraus,

derwunner

Zitat von Scytale

5. Was verstehst du unter mehrstufig?

Eine Verschlüsselung auf die andere. Also in sich mehrfach verschlüsselt. Oder noch anders erklärt: Es gibt einen äußeren Verschlüsselungsalgorithmus und einen inneren. Erst muss der äußere entschlüsselt werden, damit man an den inneren heran kommt. Danach kann man erst den inneren entschlüsseln. Sind also beide Algorithmen entschlüsselt, kann man den Klartext sehen. Im Prinzip wie es Truecrypt gemacht hat: Mehrere ineinandergreifende Schichten von Verschlüsselung (die eine verschlüsselt jeweils die andere).

Zitat von Scytale

Ja, aber nicht bei der Implementierung, so wie openSUSE es macht. Bei der PW Abfrage beim entsperren des LVM Containers geht das wohl, wenigstens ist das bei Ubuntu das default Verhalten, aber bei SUSE gehts um die Entsperrung des Bootloaders, das ist was ganz anderes. Aber genau genommen macht das Brute Forcing einfacher.

Laufwerksverschlüsselung kann man so oder so Brute Forcen, außerdem wenn man so weit ist, dann ist eh schon alles zu spät. "Hardwaremäßiger Zugriff ist immer ein Problem", hatte mein Lehrer gesagt. Ich muss ihm recht geben, denn sobald der gegeben ist, stehen Tür und Tor offen. Natürlich dauert es etwas, bis verschlüsselte Inhalt geknackt werden können, aber möglich ist es im Laufe von ca. 10 Jahren.

Mir geht es dabei eigentlich nur um Komfort, weil ich nach der ersten falschen Eingabe schon so eine blanke GRUB Befehlszeile bekomme, was nicht gut aussieht und ich völlig planlos bin, was man da eingeben soll, um einen erneuten Versuch zu starten. Wie bereits erwähnt, die uuid's habe ich natürlich im Kopf und kann die sofort in GRUB herunterhacken

Aktuell betätige ich einfach den Ausschalter und starte nochmal, ist aber etwas unschön, deswegen hätte ich gerne zumindest einen zweiten Versuch.

Zitat von Scytale

7. Nein. Wie soll das denn gehen?

Nun, ich habe auch schon Pferde kotzen sehen. Gerade in der IT und gerade bei Linux erlebt man es häufig, dass eigentlich unmöglich geglaubte Sachen dann tatsächlich eintreten. Deswegen fragte ich.

Ich meine, bei den ganzen Bastelleien, die man heute immer noch bei Linux machen muss, sobald es etwas komplexer wird als nur Standard-Software, rechne ich da sowieso immer mit allem...

Zitat von Scytale

Windows Admin/User, oder?

Sowohl als auch. Aber die beschriebenen "Problemchen" treffen nur auf Linux zu. Und nein, ich habe nichts "verbastelt". Meistens fehlen Berechtigungen, Ordner, oder Konfigurationen müssen umgeschrieben werden, damit es funktioniert. Nicht zu vergessen, von den seltsamen Fehlermeldungen, auf die man manchmal stößt und man sich dann erst einen Wolf im Internet suchen muss, wenn es dafür überhaupt eine Lösung gibt. Solche Dinge eben.