Abo
  • Services:
Anzeige
Per Zwei-Faktor-Authentifizierung mit dem Yubikey können auch verschlüsselte Linux-Partitionen abgesichert werden.
Per Zwei-Faktor-Authentifizierung mit dem Yubikey können auch verschlüsselte Linux-Partitionen abgesichert werden. (Bild: Screenshot: Golem.de)

Systemverschlüsselung: Yubikeys Zwei-Faktor-Authentifizierung unter Linux nutzen

Per Zwei-Faktor-Authentifizierung mit dem Yubikey können auch verschlüsselte Linux-Partitionen abgesichert werden.
Per Zwei-Faktor-Authentifizierung mit dem Yubikey können auch verschlüsselte Linux-Partitionen abgesichert werden. (Bild: Screenshot: Golem.de)

Mit Hilfe des Yubikeys lässt sich eine verschlüsselte Systempartition unter Linux zusätzlich per Zwei-Faktor-Authentifizierung absichern. In dieser Kombination kann auch ein bequemeres Kennwort genutzt werden.
Von Jörg Thoma

Wer seine Systempartition verschlüsselt, sollte ein möglichst langes und kompliziertes Passwort verwenden. Es bei jedem Neustart einzugeben, kann aber auf Dauer lästig werden. Eine Zwei-Faktor-Authentifizierung mit den Yubikeys Nano, Edge oder Neo erhöht nicht nur die Sicherheit, damit kann auch bedenkenlos ein weitaus kürzeres Passwort verwendet werden.

Anzeige

Ausprobiert haben wir die Anmeldung mit dem Yubikey Neo unter Ubuntu 14.04 LTS und der aktuellen Version 17.2 von Linux Mint, die ebenfalls auf Ubuntu 14.04 basiert. Die dafür benötigten Software-Pakete liegen in entsprechenden PPA-Quellen vor. Prinzipiell funktioniert diese Anleitung auch mit anderen Ubuntu-Versionen oder weiteren Linux-Distributionen. Allerdings muss unter Umständen das entscheidende Paket yubikey-luks selbst kompiliert werden. Cornelius Kölbels Quellcode lässt sich über Github beziehen.

Ubuntu oder Linux Mint verschlüsselt installieren

Zunächst richten wir unsere Ubuntu-Distribution bei der Installation so ein, dass das gesamte System verschlüsselt wird. Diese Option gibt es in der Festplattenkonfiguration des Installers. Das dort vergebene Kennwort sollte möglichst lang sein und viele Sonderzeichen enthalten. Es bleibt auch nach der Einrichtung der Zwei-Faktor-Authentifizierung mit dem Yubikey bestehen und dient als Backup, falls der Schlüssel mal verloren geht. Dieses Hauptkennwort müssen wir bei Einrichtung des Yubikeys noch einige Male eingeben. Danach sollte es notiert und an einem sicheren Ort verwahrt werden.

Nach einem Neustart des frischen Systems lassen wir uns mit dem Befehl sudo lsblk --fs sämtliche Partitionen anzeigen, die bei der Installation von Ubuntu eingerichtet worden sind. Wurde bei der Installation das gesamte System verschlüsselt, tauchen jetzt die Einträge ubuntu--vg-root und ubuntu--vg-swap auf. Beide Partitionen sind standardmäßig unter dem LVM2-Namen sda5_crypt eingerichtet und erhalten den gemeinsamen Gerätenamen sda5. Die dort angezeigte Boot-Partition muss unverschlüsselt bleiben, denn dort liegt das temporäre Dateisystem Initrd mit der Startumgebung. Dort muss später ein Skript für den Yubikey eingebettet werden.

Software muss aus Fremdquellen geholt werden

Mit sudo cryptsetup luksDump /dev/sda5 lässt sich die Verschlüsselungsart feststellen. Dort sind auch die sogenannten Key-Slots zu sehen. Insgesamt gibt es davon sieben. Demnach können jedem verschlüsselten Volume bis zu sieben verschiedene Passwörter zugeordnet werden. In unserem Fall weisen wir später dem Yubikey den letzten Slot mit der Nummer 7 zu.

Zunächst installieren wir aber die dafür benötigte Software. Zwar gibt es bereits die wichtigsten Konfigurationswerkzeuge in den Standardpaketquellen, für die Konfiguration mit Luks müssen wir aber stattdessen zusätzlich zwei Fremdquellen einrichten. Mit

sudo add-apt-repository ppa:privacyidea/privacyidea-dev

und

sudo add-apt-repository ppa:yubico/stable

werden sie unseren Paketquellen hinzugefügt.

Anschließend wird zunächst die Konfigurationssoftware für den Yubikey installiert. Dafür geben wir den Befehl

sudo apt-get install yubikey-personalization

ein. Wer will, kann zusätzlich die grafische Version mit

sudo apt-get install yubikey-personalization-gui

installieren. Anschließend muss noch das Paket yubikey-luks installiert werden.

Konfiguration des Yubikeys und Einrichtung des Systems 

eye home zur Startseite
Shadow27374 13. Jul 2015

Ich habe den Nano und damit funktioniert es!

Shadow27374 13. Jul 2015

Du solltest den Token auch entfernen sobald Du den PC nicht mehr verwendest...

FreiGeistler 12. Jul 2015

Toll, Danke! : )

ul mi 11. Jul 2015

Das verschlüsselte Keyfile auf einem USB-Stick kannst du kopieren. Der Vorteil von...

Heinzel 10. Jul 2015

Ja gut. Bei meiner USB-Stick Lösung ist es ja auch Besitz. Das Keyfile was auf dem...



Anzeige

Stellenmarkt
  1. b.power GmbH, Stuttgart
  2. Deloitte, verschiedene Standorte
  3. Computacenter AG & Co. oHG, veschiedene Einsatzorte
  4. Haufe Group, Freiburg im Breisgau


Anzeige
Spiele-Angebote
  1. 8,49€
  2. (-77%) 8,49€
  3. (-3%) 33,99€

Folgen Sie uns
       


  1. Zeitpunkt verschoben

    Musk reduziert Erwartungen an autonomes Fahren

  2. MacOS High Sierra

    Grafikleistung beim Macbook Pro bricht durch Bug ein

  3. Elektromobilität

    VW-Chef will Diesel-Steuervorteile für E-Autos streichen

  4. Alexa und Co.

    Wirtschaftsverband sieht Megatrend zu smarten Lautsprechern

  5. Apple TV

    Deutsche TV-App startet mit nur vier Anbietern

  6. King's Field 1 (1994)

    Die Saat für Dark Souls

  7. Anheuser Busch

    US-Brauerei bestellt 40 Tesla-Trucks vor

  8. Apple

    Jony Ive übernimmt wieder Apples Produktdesign

  9. Elon Musk

    Tesla will eigene KI-Chips bauen

  10. Die Woche im Video

    Lauscher auf!



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
China: Die AAA-Bürger
China
Die AAA-Bürger
  1. Microsoft Supreme Court entscheidet über die Zukunft der Cloud

Berlin: Verfassungsschutz hat Lizenz zur Gesichtserkennung
Berlin
Verfassungsschutz hat Lizenz zur Gesichtserkennung
  1. Finnairs Gesichtsscanner ausprobiert Boarden mit einem Blick in die Kamera

Watch Series 3 im Praxistest: So hätte Apples erste Smartwatch sein müssen
Watch Series 3 im Praxistest
So hätte Apples erste Smartwatch sein müssen
  1. Apple Watch Apple veröffentlicht WatchOS 4.2
  2. Alivecor Kardiaband Uhrenarmband für Apple Watch zeichnet EKG auf
  3. Smartwatch Die Apple Watch lieber nicht nach dem Wetter fragen

  1. Tja wer billig kauft, kauft doppelt

    honna1612 | 08:10

  2. Re: Fehlverstaendnis von Politik

    neocron | 08:07

  3. Re: Ein Stich mitten ins Herz der Dieselfans

    franky_79 | 08:07

  4. Musk hat recht.

    honna1612 | 08:06

  5. Re: Klasse Vorschlag! oder

    gadthrawn | 08:05


  1. 07:58

  2. 07:33

  3. 07:21

  4. 10:59

  5. 09:41

  6. 08:00

  7. 15:44

  8. 14:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel