Arch Linux

Automount Veracrypt mit Crypttab

smonsays

Hallo,

ich versuche eine mit Veraycrypt verschlüsselte Daten Partition beim Booten automatisch zu mounten (die entsprechende Installation ist selbst verschlüsselt, insofern wird die Verschlüsselung der Daten Partition hoffentlich nicht ad absurdum geführt).
Ich habe mich am Wikiartikel zu Truecrypt orientiert und das Passwort als Datei in /etc/volume.password abgelegt. Die folgenden Zeilen ergaben sich entsprechend des Wikis für die /etc/crypttab:

data           /dev/sda7                               /etc/volume.password    tcrypt, noauto

Arch präsentiert mir daraufhin jedoch eine Passwortabfrage beim Booten?

Falls es hilft: Ich kann die Partition problemlos mit dem folgenden Befehl mounten:

cryptsetup --veracrypt open --type tcrypt /dev/sda7 veracrypt-volume

Worin besteht der Fehler meiner Crypttab?

Vielen Dank für Eure Hilfe

Simon

frostschutz

Hast du da nach dem Komma wirklich ein Leerzeichen? Das muss auf jeden Fall raus. Ansonsten habe ich leider keine Erfahrung mit truecrypt/veracrypt, kann also nichts zu sagen.

shibumi

Hallo Smonsays,
Darf man fragen wieso du nicht einfach dm-crypt benutzt? veracrypt ist etwas zweifelhaft. (hatten desletzt eine menge Security vulnerabilities)

smonsays

frostschutz schriebHast du da nach dem Komma wirklich ein Leerzeichen? Das muss auf jeden Fall raus. Ansonsten habe ich leider keine Erfahrung mit truecrypt/veracrypt, kann also nichts zu sagen.

Die Leerstelle war tatsächlich ein Fehler, hat das Problem aber leider nicht behoben. Nach meinen weiteren Recherchen bin ich allerdings nicht sicher, ob fstab automount für veracrypt überhaupt unterstützt. Auf reddit behauptet jemand es würde gehen wenn man "ln the binaries as their truecrypt-named counterparts."

Vielleicht ist crypttab doch nicht der richtige Weg? Gibt es eine Alternative?

shibumi schriebHallo Smonsays,
Darf man fragen wieso du nicht einfach dm-crypt benutzt? veracrypt ist etwas zweifelhaft. (hatten desletzt eine menge Security vulnerabilities)

Mein Ziel ist es, eine verschlüsselte Daten Partition zu haben, auf die ich sowohl von Arch, als auch von Windows zugreifen kann. Soweit ich den aktuellen Audit verstanden habe, wurden die gefundenen Sicherheitslücken soweit es geht behoben und Veracrypt wird grundsätzlich als sicher eingestuft. Gibt es denn sonst eine andere Möglichkeit mein Vorhaben zu realisieren?

frostschutz

fstab unterstützt ja allgemein gar keine verschlüsselung, deswegen ja das theater mit der crypttab

solange die crypttab vorher abgearbeitet wird und das ding aufmacht, kann die fstab es dann auch mounten denn nach der crypttab ist es ja wieder ein 0815 blockdevice in /dev/mapper/cryptdingenskirchens

ob die crypttab mit veracrypt kann weiß ich nicht. zur not, musst dir eben dein eigenes startupscript / service schreiben

smonsays

Ich scheine etwas prinzipiell falsch zu machen. Ich habe die Partition nun testweise mal mit luks verschlüsselt, das hat soweit auch alles funktioniert. Allerdings werde ich beim booten nach dem Passwort für die Daten Partition gefragt, obwohl ich das eigentlich über die crypttab mit einer Datei in der dieses Passwort steht lösen möchte, so sieht meine crypttab aus:

data           /dev/sda6                               /etc/mypassword.key

Benötige ich noch eine Option? Vom Prinzip her ist diese Zeile jetzt exakt wie in den Beispielen der crypttab..

shibumi

smonsays schrieb
frostschutz schriebHast du da nach dem Komma wirklich ein Leerzeichen? Das muss auf jeden Fall raus. Ansonsten habe ich leider keine Erfahrung mit truecrypt/veracrypt, kann also nichts zu sagen.
Die Leerstelle war tatsächlich ein Fehler, hat das Problem aber leider nicht behoben. Nach meinen weiteren Recherchen bin ich allerdings nicht sicher, ob fstab automount für veracrypt überhaupt unterstützt. Auf reddit behauptet jemand es würde gehen wenn man "ln the binaries as their truecrypt-named counterparts."

Vielleicht ist crypttab doch nicht der richtige Weg? Gibt es eine Alternative?

shibumi schriebHallo Smonsays,
Darf man fragen wieso du nicht einfach dm-crypt benutzt? veracrypt ist etwas zweifelhaft. (hatten desletzt eine menge Security vulnerabilities)
Mein Ziel ist es, eine verschlüsselte Daten Partition zu haben, auf die ich sowohl von Arch, als auch von Windows zugreifen kann. Soweit ich den aktuellen Audit verstanden habe, wurden die gefundenen Sicherheitslücken soweit es geht behoben und Veracrypt wird grundsätzlich als sicher eingestuft. Gibt es denn sonst eine andere Möglichkeit mein Vorhaben zu realisieren?

Naja die veracrypt-developer sind komische Leute sagen wir das so. Die akzeptieren commits von wildfremden leuten auf github die sie nicht gegenchecken und wundern sich dann versionen weiter wieso dies oder das nicht geht und gibt da böse geschichten über die.

Du könntest auch einfach dm-crypt nutzen und dann auf windows librecrypt um damit die zu verschlüsseln/entschlüsseln. Das ist dm-crypt/luks kompatibel.

smonsays

shibumi schrieb
Naja die veracrypt-developer sind komische Leute sagen wir das so. Die akzeptieren commits von wildfremden leuten auf github die sie nicht gegenchecken und wundern sich dann versionen weiter wieso dies oder das nicht geht und gibt da böse geschichten über die.

Du könntest auch einfach dm-crypt nutzen und dann auf windows librecrypt um damit die zu verschlüsseln/entschlüsseln. Das ist dm-crypt/luks kompatibel.

Danke für den Tipp, dann werde ich das bei Gelegenheit mal testen. Für jetzt belasse ich es bei dm-crypt und linux only Zugriff. Ich hatte übersehen, dass key-files ~~(auch wenn sie nur das Passwort enthalten)~~ Luks bekannt gemacht werden müssen.

frostschutz

smonsays schriebIch hatte übersehen, dass key-files (auch wenn sie nur das Passwort enthalten) Luks bekannt gemacht werden müssen.

Mit "bekannt gemacht" meinst du luksAddKey? Das ist nicht richtig, Passwörter und Keys sind ein- und dasselbe. (Nur daß man große Keyfiles mit Zufallsdaten nicht eintippen kann.)

Aber wenn du naiv das Passwort in eine Datei schreibst, dann ist da meistens ein Zeilenumbruch am Ende... und wenn LUKS von einer Datei liest, dann liest es den Zeilenumbruch mit und der Key ist falsch.

Wenn du also einfach nur ein Passwort in eine Datei schreiben willst musst du darauf achten, den Zeilenumbruch am Ende wegzulassen. Je nach Editor kann man das direkt machen oder du schnippelst mit truncate das letzte Byte weg.

$ echo Butterblume > passwort.txt
$ hexdump -C passwort.txt
00000000  42 75 74 74 65 72 62 6c  75 6d 65 0a              |Butterblume.|
0000000c
# das 0a bzw. der . am Ende ist der Zeilenumbruch
$ stat -c %s passwort.txt 
12
$ truncate -s 11 passwort.txt
$ hexdump -C passwort.txt 
00000000  42 75 74 74 65 72 62 6c  75 6d 65                 |Butterblume|
0000000b

# oder:

$ read -p 'Passwort: ' passwort
Passwort: Butterblume
$ printf "%s" "$passwort" > passwort.txt
$ hexdump -C passwort.txt
00000000  42 75 74 74 65 72 62 6c  75 6d 65                 |Butterblume|
0000000b

smonsays

Interessant, danke für die Aufklärung. Ich hatte tatsächlich extra nochmal nachgeschaut, ob ich versehentlich einen Zeilenumbruch eingefügt habe, aber dann geht es mit gedit möglicherweise gar nicht anders..