Vorab, mein Laptop bootet im UEFI modus.
Nun zu meiner Frage. Ich würde mein Linux gerne vollständig verschlüsseln soweit das technisch möglich ist. Vorrausgesetzt man verwendet den GRUB Bootloader kann man auch seine Boot-Partition verschlüsseln. Aber sollte ich die Boot-Partition separat verschlüsseln oder auf die Root-Partition verschieben? Beide Varianten haben Vor- und Nachteile wie hier beschrieben wurde https://cryptsetup-team.pages.debian.net/cryptsetup/encrypted-boot.html. Ich würde gerne die weiterentwickelte Technologie LUKS2 respektive argon2 nutzen, aber da die Boot-Partition sowieso nur mit LUKS1 respektive PBKDF2 verschlüsselt werden kann, frage ich mich ob der Vorteil von LUKS2 überhaupt existiert. Immerhin möchte ich die Passphrase nicht zweimal eintippen, also soll GRUB das System eigenständig mit dem hinterlegten Schlüssel öffnen können. Wenn ein Angreifer jedoch die Boot-Partition knackt, hat er auch direkt Zugriff auf das System (richtig?) und somit hängt alles an der LUKS1 Verschlüsselung ohne das die Vorteile von LUKS2 zum tragen kämen. Dann kann ich auch direkt die Boot-Partition auf die Root-Partition verschieben und nur die LUKS1 Verschlüsselung benutzen.
/boot kannst du einfach auf der Root-Partition lassen und GRUB nutzen. Afaik geht es aber mit LUKS1. LUKS2 ist eingeschränkt. /efi muss so oder so separat sein und darf nicht verschlüsselt werden. Alles weitere findest du im archwiki.
Sicherer wird es noch, wenn du Secure Boot einrichtest. Ansonsten noch BIOS mit einem pw versehen und die Bootreihenfolge fest einstellen ohne die Möglichkeit, während dem Booten ein anderes Medium zu wählen.
Hallo @V05, der Artikel Zur Sicherheit der Linux-Datenträgerverschlüsselung LUKS hilft dir vielleicht nicht weiter bei der Beantwortung der Frage ob und wie du das Umsetzen kannst, aber er nennt Informationen die für LUKS2 mit einer besseren KDF sprechen.
Keine deiner 3 Optionen ist sicherer. 3 ist gleichbedeutend mit 1 & 2.
Wenn es reicht die LUKS1 Partition zu entschlüsseln, um die LUKS2 Partition zu entschlüsseln, kann diese auch gleich eine LUKS1 Partition sein. Siehe auch den zweiten Abschnitt des Posts.
Eine Schlüsseldatei die sich auf der LUKS1 Platte befindet ist bezüglich Angriffen vergleichbar mit dem gleichen Passwort für die LUKS2 Platte.
Wenn du das System komplett verschlüsseln möchtest, auch wenn Ich keinen Vorteil ohne vollständig gesicherten Bootvorgang sehe (siehe die Secure Boot Anmerkung oben, die Implementation sollte aber nicht (leicht) angreifbar sein), ist es in erster Linie wichtig, ein möglichst sicheres Passwort zu wählen.
PBKDF2 (mit X Iterationen)/Argon2i(d) ist ja in diesen Kontext dafür da, es schwerer zu machen, dein Passwort zu „raten“, indem das ableiten möglichst rechen-/speicherintensiv ist. Vorallem schützt es dich also bei schwächeren Passwörtern.
Entweder du schraubst also an der Passwortlänge/stärke (sicherer), oder du stellst die Iterationen höher (zmd. bei der PBKDF2 Variante wohl „weniger zusätzliche Sicherheit“). Musst dabei aber hiermit leben, was sicher ähnliche Auswirkungen auf die „Stärke“ der „Ableitungsfunktion“ hat:
Die „sichereren“ Alternativen sind: 2(!) Passwörter verwenden, oder auf eine vollständige Verschlüsselung verzichten - wenn dein Passwort nicht „unknackbar“ ist.
Dabei wäre auch amüsant: Wenn LUKS1 mit „nur“ PBKDF2 nicht taugt, und dein Passwort deswegen „bruteforced“ wird, wäre es ein leichtes, das gleiche Passwort für deine LUKS2 Platte auszuprobieren.
Du bräuchtest also für eine höhere Sicherheit der LUKS2 Platte ein weiteres Passwort… oder einen Angreifer, der nur versucht die LUKS2 Platte zu knacken.
Vermutlich wird man aber davon ausgehen, dass das gleiche, ein leicht abgewandeltes Passwort, oder ein Keyfile auf der Bootpartition verwendet wird.
Persönlich boote Ich meine Systeme alle als „Legacy System“, und habe meinen Bootloader und die unverschlüsselte Bootpartition - welche nur Grub-, Initramfs-, und Kernel-Dateien beinhaltet - auf einen Datenträger den Ich bei mir führe.
Dadurch weiß Ich, wann diese eventuell modifiziert worden sein könnten. Notfalls kann man diese einfach neu installieren/generieren.
Das verhindert die schlechte Leistung (unter bestimmten Umständen) während der Schlüsselableitung bei komplett verschlüsselten Systemen, wodurch du schwierigere Berechnungen bei akzeptabler Zeit einstellen kannst, und ermöglicht eben, dass nur eine LUKS2 Partition auf der Platte ist.
Secure Boot verwende Ich nicht, da Ich auf meinen System nicht den „Schlüssel“ von Microsoft entfernen kann, und die Firmware schon „stinkt“. Ich sehe da keinen Sicherheitsgewinn bei mir, das kann auf anderer Hardware aber anders sein.
Die Option mit der Boot-Partition auf einem externen Datenträger war mir auch schon bekannt, nur meine ich gelesen zu haben, dass es komplizierter ist und vor allem umständlicher. Deshalb habe ich bisher abstand davon genommen. So wie du das jetzt erklärst könnte es aber genau die richtige Option für mich sein. Ich werde mich definitiv nochmal mit dem Thema auseinandersetzen müssen
