Persönliche Daten zusätzlich zu Festplatte verschlüsseln?

Sicherheit
,
1

Hej,

bei bisherigen Linux-Installationen haben ich einfach das Häkchen zum Verschlüsseln des persönlichen Ordners bzw. homegesetzt. Da ich mich nun auch mal an die Festplattenverschlüsselung gewagt habe, frage ich mich, ob das Verschlüsseln des persönlichen Ordner darüber hinaus noch sinnvoll ist oder nur unnötige Zwischenschichten beim Dateizugriff einfügt. Wie handhabt Ihr das?

Daran anknüpfend noch die Frage: Was nimmt man da am besten? EncFS, eCryptfs, gocryptfs, oder etwas anderes?

2
  • Einbenutzersystem: Nicht sinnvoll. Doppelte Verschlüsselung bringt normalerweise keine Vorteile, aber Nachteile (z. B. der von dir genannte Rechenaufwand). Beide Schlüssel liegen zur Laufzeit sowieso ständig vor.
  • Mehrbenutzersystem: Kann man machen, wenn du deine Daten vor anderen Accounts mit root-Rechten (root selbst oder jemand mit sudo-/ doas-Rechten) schützen willst. Gegenüber anderen unprivilegierten Accounts würden mir die file permissions ausreichen (bspw. chmod 640 datei).

Du meinst für die /home-Verschlüsselung? Damit habe ich keine Erfahrung. Aber vermutlich würde ich systemd-homed ausprobieren, das verwendet LUKS.

1 „Gefällt mir“
3

Das Gemeine an der Verschlüsselung ist, dass es dich nur bei Diebstahl und bei einem Mehrbenutzersystem schützt. Wenn der Rechner hochgefahren ist, so ist die Festplatte entschlüsselt und jeder kann alles lesen.
Ganz wichtig! Versuche die Festplatte vom Terminal aus zu entschlüsseln, um bei Problemen gewappnet zu sein, ansonsten kann leicht alles futsch sein.
LUKS ist bei Linux am besten.

4

Die Argumentation erscheint mir schlüssig. :wink: Danke auch für die Tipps mit den Zugriffsberechtigungen und systemd-homed.

5

Mir ist gerade noch eine Lücke bzw. ein Fehler aufgefallen, was ich beheben will: Eine /home-Verschlüsselung schützt dich wirksam höchstens vor jemandem mit eingeschränkten root-Rechten – ein Account, der nur ein paar bestimmte Befehle im root-Kontext ausführen darf. Mit unbeschränkten root-Privilegien kann man grundsätzlich alles machen. Dann könnte man auch deine Daten zur Laufzeit auslesen lassen. Aber es legt zumindest die Hürde höher.