loggn.de - Mac OSX, Linux und manchmal auch Windows » losetup

Linux – e2fsck (fsck.ext3) – verschlüsseltes Device (loop-aes)

Nico — Thu, 06 May 2010 06:45:57 +0000

Gestern ist mir beim Mounten meines Raids folgende Warnung in der /var/log/messages meines Arch Linux Servers aufgefallen:

EXT3-fs warning: maximal mount count reached, running e2fsck is recommended

Das Device /dev/md0 ist mit Loop-AES verschlüsselt.

Um das Filesystem mit e2fsck (fsck.ext3) zu überprüfen muss das Device entschlüsselt sein aber nicht gemountet. (ACHTUNG! Niemals e2fsck auf eine eingebundene Partition anwenden!)

Um unser Journaling-Dateisystem, welches mit Loop-AES verschlüsselt ist, zu überprüfen, gehen wir wie folgt vor:

Dateisystem aushängen

umount /media/raid

Device entschlüsseln, ohne es einzuhängen

losetup -e AES256 /dev/loop0 /dev/md0

Dateisystem überprüfen, auch wenn das Dateisystem sauber erscheint

e2fsck -f /dev/loop0

Device wieder verschlüsseln bzw. trennen

losetup -d /dev/loop0

Jetzt können wir unser verschlüsseltes Dateisystem wieder ganz normal, ohne das in der /var/log/messages die Warnung erscheint, mounten.

Ubuntu/Debian – Kernel: 2.6.32.3 – Loop-AES selber kompilieren

Nico — Wed, 13 Jan 2010 19:45:42 +0000

Nach meinem Kernelupdate auf Version 2.6.32.3 wollte ich ganz normal, wie in der alten HowTo beschrieben, loop-AES kompilieren. Jedoch lief bereits das Kompilieren von util-linux-2.12r auf Fehler.

cc -c -O2 -fomit-frame-pointer -I../lib -Wall -Wmissing-prototypes -Wstrict-prototypes -DNCH=1   -D_FILE_OFFSET_BITS=64 -DSBINDIR=\"/sbin\" -DUSRSBINDIR=\"/usr/sbin\" -DLOGDIR=\"/var/log\" -DVARPATH=\"/var\" -DLOCALEDIR=\"/usr/share/locale\" -O2 fsck.cramfs.c -o fsck.cramfs.o
fsck.cramfs.c:79:22: error: asm/page.h: No such file or directory
fsck.cramfs.c: In function ‘romfs_read’:
fsck.cramfs.c:144: warning: ignoring return value of ‘read’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘do_symlink’:
fsck.cramfs.c:274: warning: ignoring return value of ‘symlink’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘do_uncompress’:
fsck.cramfs.c:361: warning: ignoring return value of ‘write’, declared with attribute warn_unused_result
fsck.cramfs.c: In function ‘main’:
fsck.cramfs.c:532: warning: ignoring return value of ‘read’, declared with attribute warn_unused_result
make[1]: *** [fsck.cramfs.o] Fehler 1
make[1]: Verlasse Verzeichnis '/usr/src/util-linux-2.12r/disk-utils'
make: *** [all] Fehler 1

Um dieses Problem schnellstmöglich zu umgehen habe ich mich für die util-linux Alternative util-linux-ng entschieden. Kurz und knapp nochmal die veränderte HowTo:

Zuerst installieren wir uns ein wenig Kernelzubehör.

aptitude install linux-headers-`uname -r` make gcc bzip2

Jetzt holen wir uns die Source von util-linux-ng und loop-AES

cd /usr/src
wget ftp://ftp.kernel.org/pub/linux/utils/util-linux-ng/v2.16/util-linux-ng-2.16.1.tar.gz
tar xvfz util-linux-ng-2.16.1.tar.gz
wget http://loop-aes.sourceforge.net/loop-AES-latest.tar.bz2
tar xvfj loop-AES-latest.tar.bz2

Nun kompilieren wir util-linux-ng…

cd util-linux-2.12r patch -p1

…und nun loop-AES.

cd ../../loop-AES-v3.2h
make
rm /lib/modules/`uname -r`/kernel/drivers/block/loop.*
rm /lib/modules/`uname -r`/kernel/drivers/block/cryptoloop.*

reboot

cd /usr/src/loop-AES-v3.2h
make tests

Mehr Informationen findet ihr hier:
Ubuntu/Debian – Loop-AES einrichten (alt)
Ubuntu/Debian – Loop-AES selber kompilieren (neuer)

Ubuntu/Debian – Loop-AES selber kompilieren

Nico — Sat, 12 Dec 2009 17:26:00 +0000

In einem älteren Artikel haben wir uns die veraltete loop-aes-source aus dem Debian-Repository beschafft. Diesmal werden wir uns die aktuellste Source vom Entwickler direkt holen und diese auf unserem Debian Lenny selbst kompilieren.

UPDATE: …funktioniert auch mit Ubuntu!

ACHTUNG: Wichtig ist das, dass Modul loop vorhanden ist. Bei manchen Distributionen ist loop direkt im Kernel kompiliert (CONFIG_BLK_DEV_LOOP=y) oder garnicht (CONFIG_BLK_DEV_LOOP=n), es muss aber als Modul vorhanden sein (CONFIG_BLK_DEV_LOOP=m) damit loop-AES dieses anpassen kann. Zum Kernel kompilieren kann mein Artikel oder die Ubuntuusers Wiki zu Rat gezogen werden.

Zuerst installieren wir uns ein wenig Kernelzubehör.

aptitude install linux-headers-`uname -r` make gcc bzip2

Jetzt holen wir uns die Source von util-linux und loop-AES.

cd /usr/src
wget http://www.kernel.org/pub/linux/utils/util-linux/util-linux-2.12r.tar.gz
tar xvfz util-linux-2.12r.tar.gz
wget http://loop-aes.sourceforge.net/loop-AES-latest.tar.bz2
tar xvfj loop-AES-latest.tar.bz2

Nun kompilieren wir util-linux…

cd util-linux-2.12r patch -p1

…und nun loop-AES.

cd ../../loop-AES-v3.2h
make
rm /lib/modules/`uname -r`/kernel/drivers/block/loop.*
rm /lib/modules/`uname -r`/kernel/drivers/block/cryptoloop.*

reboot

cd /usr/src/loop-AES-v3.2h
make tests

Fertig, nun können wir unser verschlüsseltes Device mounten oder ein neues erstellen. Dazu gibt es am Ende des Artikels “Debian – Loop-AES einrichten” mehr Informationen.

Ubuntu/Debian – Loop-AES einrichten

Nico — Sat, 24 Oct 2009 11:21:26 +0000

Eigentlich wollte ich euch einen Artikel über die Erstellung eines Software-RAID’s unter Debian schreiben, aber das wäre ein sinnloses Unterfangen gewesen. Dem Wiki-Eintrag bei ubuntuusers.de gibt es nämlich nichts mehr hinzuzufügen. Daher habe ich mich entschlossen euch “Loop-AES” etwas näher zu bringen, die AES-Verschlüssung sollte jedem von Euch ein Begriff sein. Was aber macht Loop-AES? Loop-AES erzeugt ein neues “loop”-Device, was euch beim ISO-Image mounten unter Linux schon ein Begriff sein könnte. Dieses Loop-Device wird zwischen dem eigentlichen Device und dem Mountpunkt gehangen.

losetup -a
/dev/loop0: [000d]:3313 (/dev/md0) encryption=AES256

grep loop /etc/fstab
/dev/md0        /media/fooooo   ext3    defaults,loop=/dev/loop0,encryption=AES256,noauto      0       0

Das Loop-Device verschlüsselt die Daten mit AES256 bevor diese auf das eigentliche Device geschrieben werden, je nach Einstellungen natürlich auch mit einer anderen Bit-Zahl. Loop-AES kann nicht nur Block-Devices verschlüsseln sondern auch Container die zum Beispiel mit “dd” erstellt werden können. Es gibt für Linux viele verschiedene Verschlüsselungsmöglichkeiten : Truecrypt, DM-Crypt, Loop-AES, Cryptsetup etc., warum ich mich für Loop-AES entschieden habe kann ich euch nicht sagen. Eine kleine HowTo möchte euch dennoch nicht vorenthalten:

Zuerst holen wir uns die Source und lassen es mit Hilfe des module-assistent kompilieren.

aptitude install loop-aes-utils loop-aes-source
m-a update
m-a prepare
m-a build loop-aes

Danach installieren wir das vom “module-assistent” kompilierte *.deb Paket.

dpkg -i /usr/src/loop-aes-modules-2.6.26-2-amd64_3.2c-2+2.6.26-19_amd64.deb

Nun laden wir das “loop” Module neu:

modprobe -r loop
modprobe loop

Hier bestimmen wir die Verschlüsselung und das Block-Device bzw. Container-File:

losetup -e AES256 /dev/loop0 /dev/md0

Nach dem wir das Passwort EINMAL festgelegt haben hat “losetup” den Tunnel zwischen Block- und Loop-Device hergestellt. Logischerweiße formatieren wir nun das jeweilige loop-Device:

mkfs.ext3 /dev/loop0

…nach einer gewissen Zeit, die Abhängig von der Größe des Devices ist, sollte die Formatierung auf “ext3″ nun auch fertig sein. Jetzt hängen wir das loop-Device wieder aus:

losetup -d /dev/loop0

Um unser verschlüsseltes Block-Device oder Container-File zu mounten benutzten wir folgenden Befehl:

mount -t ext3 /dev/md0 /media/raid -o loop=/dev/loop0,encryption=AES256

Jeder muss selber entscheiden welche Verschlüsselung er verwenden möchte, für eure Methoden oder Meinung habe ich gerne ein offenes Ohr.

Quellen:
Sicherheitstest: Verschlüsselte Filesysteme unter Linux (2006/10)
Bezüglich Loop-AES sollte man diesen Link beachten
Laufwerke verschlüsseln mit Loop-AES