Abo
  • Services:

Systemverschlüsselung: Yubikeys Zwei-Faktor-Authentifizierung unter Linux nutzen

Mit Hilfe des Yubikeys lässt sich eine verschlüsselte Systempartition unter Linux zusätzlich per Zwei-Faktor-Authentifizierung absichern. In dieser Kombination kann auch ein bequemeres Kennwort genutzt werden.

Artikel von veröffentlicht am
Per Zwei-Faktor-Authentifizierung mit dem Yubikey können auch verschlüsselte Linux-Partitionen abgesichert werden.
Per Zwei-Faktor-Authentifizierung mit dem Yubikey können auch verschlüsselte Linux-Partitionen abgesichert werden. (Bild: Screenshot: Golem.de)

Wer seine Systempartition verschlüsselt, sollte ein möglichst langes und kompliziertes Passwort verwenden. Es bei jedem Neustart einzugeben, kann aber auf Dauer lästig werden. Eine Zwei-Faktor-Authentifizierung mit den Yubikeys Nano, Edge oder Neo erhöht nicht nur die Sicherheit, damit kann auch bedenkenlos ein weitaus kürzeres Passwort verwendet werden.

Inhalt:
  1. Systemverschlüsselung: Yubikeys Zwei-Faktor-Authentifizierung unter Linux nutzen
  2. Konfiguration des Yubikeys und Einrichtung des Systems

Ausprobiert haben wir die Anmeldung mit dem Yubikey Neo unter Ubuntu 14.04 LTS und der aktuellen Version 17.2 von Linux Mint, die ebenfalls auf Ubuntu 14.04 basiert. Die dafür benötigten Software-Pakete liegen in entsprechenden PPA-Quellen vor. Prinzipiell funktioniert diese Anleitung auch mit anderen Ubuntu-Versionen oder weiteren Linux-Distributionen. Allerdings muss unter Umständen das entscheidende Paket yubikey-luks selbst kompiliert werden. Cornelius Kölbels Quellcode lässt sich über Github beziehen.

Ubuntu oder Linux Mint verschlüsselt installieren

Zunächst richten wir unsere Ubuntu-Distribution bei der Installation so ein, dass das gesamte System verschlüsselt wird. Diese Option gibt es in der Festplattenkonfiguration des Installers. Das dort vergebene Kennwort sollte möglichst lang sein und viele Sonderzeichen enthalten. Es bleibt auch nach der Einrichtung der Zwei-Faktor-Authentifizierung mit dem Yubikey bestehen und dient als Backup, falls der Schlüssel mal verloren geht. Dieses Hauptkennwort müssen wir bei Einrichtung des Yubikeys noch einige Male eingeben. Danach sollte es notiert und an einem sicheren Ort verwahrt werden.

Nach einem Neustart des frischen Systems lassen wir uns mit dem Befehl sudo lsblk --fs sämtliche Partitionen anzeigen, die bei der Installation von Ubuntu eingerichtet worden sind. Wurde bei der Installation das gesamte System verschlüsselt, tauchen jetzt die Einträge ubuntu--vg-root und ubuntu--vg-swap auf. Beide Partitionen sind standardmäßig unter dem LVM2-Namen sda5_crypt eingerichtet und erhalten den gemeinsamen Gerätenamen sda5. Die dort angezeigte Boot-Partition muss unverschlüsselt bleiben, denn dort liegt das temporäre Dateisystem Initrd mit der Startumgebung. Dort muss später ein Skript für den Yubikey eingebettet werden.

Software muss aus Fremdquellen geholt werden

Stellenmarkt
  1. BWI GmbH, Berlin, München, Nürnberg, Rheinbach
  2. VIRES Simulationstechnologie GmbH, Bad Aibling

Mit sudo cryptsetup luksDump /dev/sda5 lässt sich die Verschlüsselungsart feststellen. Dort sind auch die sogenannten Key-Slots zu sehen. Insgesamt gibt es davon sieben. Demnach können jedem verschlüsselten Volume bis zu sieben verschiedene Passwörter zugeordnet werden. In unserem Fall weisen wir später dem Yubikey den letzten Slot mit der Nummer 7 zu.

Zunächst installieren wir aber die dafür benötigte Software. Zwar gibt es bereits die wichtigsten Konfigurationswerkzeuge in den Standardpaketquellen, für die Konfiguration mit Luks müssen wir aber stattdessen zusätzlich zwei Fremdquellen einrichten. Mit

sudo add-apt-repository ppa:privacyidea/privacyidea-dev

und

sudo add-apt-repository ppa:yubico/stable

werden sie unseren Paketquellen hinzugefügt.

Anschließend wird zunächst die Konfigurationssoftware für den Yubikey installiert. Dafür geben wir den Befehl

sudo apt-get install yubikey-personalization

ein. Wer will, kann zusätzlich die grafische Version mit

sudo apt-get install yubikey-personalization-gui

installieren. Anschließend muss noch das Paket yubikey-luks installiert werden.

Konfiguration des Yubikeys und Einrichtung des Systems 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. 23,99€
  2. 119,90€
  3. täglich neue Deals bei Alternate.de

Shadow27374 13. Jul 2015

Ich habe den Nano und damit funktioniert es!

Shadow27374 13. Jul 2015

Du solltest den Token auch entfernen sobald Du den PC nicht mehr verwendest...

FreiGeistler 12. Jul 2015

Toll, Danke! : )

ul mi 11. Jul 2015

Das verschlüsselte Keyfile auf einem USB-Stick kannst du kopieren. Der Vorteil von...

Heinzel 10. Jul 2015

Ja gut. Bei meiner USB-Stick Lösung ist es ja auch Besitz. Das Keyfile was auf dem...


Folgen Sie uns
       


Bewerbungsgespräch mit der KI vom DFKI - Bericht

Wir haben uns beim DFKI in Saarbrücken angesehen, wie das Training von Bewerbungsgesprächen mit einer Künstlichen Intelligenz funktioniert.

Bewerbungsgespräch mit der KI vom DFKI - Bericht Video aufrufen
WD Black SN750 ausprobiert: Direkt hinter Samsungs SSDs
WD Black SN750 ausprobiert
Direkt hinter Samsungs SSDs

Mit den WD Black SN750 liefert Western Digital technisch wie preislich attraktive NVMe-SSDs. Es sind die kleinen Details, welche die SN750 zwar sehr gut, aber eben nicht besser als die Samsung-Konkurrenz machen.
Ein Bericht von Marc Sauter

  1. WD Black SN750 Leicht optimierte NVMe-SSD mit 2 TByte
  2. Ultrastar DC ME200 Western Digital baut PCIe-Arbeitsspeicher mit 4 TByte
  3. Western Digital My-Cloud-Lücke soll nach 1,5 Jahren geschlossen werden

Metro Exodus im Technik-Test: Richtiges Raytracing rockt
Metro Exodus im Technik-Test
Richtiges Raytracing rockt

Die Implementierung von DirectX Raytracing in Metro Exodus überzeugt uns: Zwar ist der Fps-Verlust hoch, die globale Beleuchtung wirkt aber deutlich realistischer und stimmungsvoller als die Raster-Version.
Ein Test von Marc Sauter

  1. Turing-Grafikkarten Nvidias Geforce 1660/1650 erscheint im März
  2. Grafikkarte Chip der Geforce GTX 1660 Ti ist überraschend groß
  3. Deep Learning Supersampling Nvidia will DLSS-Kantenglättung verbessern

Carsharing: Regierung will Mobilitätsdienste per Gesetz stärken
Carsharing
Regierung will Mobilitätsdienste per Gesetz stärken

Die digitalen Plattformen für Carsharing und Carpooling sollen Rechtssicherheit bekommen. BMW, Daimler und VW sowie Uber & Co. stehen in den Startlöchern.
Ein Bericht von Daniel Delhaes und Markus Fasse

  1. Lobbyregister EU-Parlament verordnet sich mehr Transparenz
  2. Contract for the web Bundesregierung unterstützt Rechtsanspruch auf Internet
  3. Initiative D21 E-Government-Nutzung in Deutschland ist rückläufig

    •  /