Systemverschlüsselung: Yubikeys Zwei-Faktor-Authentifizierung unter Linux nutzen

Mit Hilfe des Yubikeys lässt sich eine verschlüsselte Systempartition unter Linux zusätzlich per Zwei-Faktor-Authentifizierung absichern. In dieser Kombination kann auch ein bequemeres Kennwort genutzt werden.

Artikel von veröffentlicht am
Per Zwei-Faktor-Authentifizierung mit dem Yubikey können auch verschlüsselte Linux-Partitionen abgesichert werden.
Per Zwei-Faktor-Authentifizierung mit dem Yubikey können auch verschlüsselte Linux-Partitionen abgesichert werden. (Bild: Screenshot: Golem.de)

Wer seine Systempartition verschlüsselt, sollte ein möglichst langes und kompliziertes Passwort verwenden. Es bei jedem Neustart einzugeben, kann aber auf Dauer lästig werden. Eine Zwei-Faktor-Authentifizierung mit den Yubikeys Nano, Edge oder Neo erhöht nicht nur die Sicherheit, damit kann auch bedenkenlos ein weitaus kürzeres Passwort verwendet werden.

Inhalt:
  1. Systemverschlüsselung: Yubikeys Zwei-Faktor-Authentifizierung unter Linux nutzen
  2. Konfiguration des Yubikeys und Einrichtung des Systems

Ausprobiert haben wir die Anmeldung mit dem Yubikey Neo unter Ubuntu 14.04 LTS und der aktuellen Version 17.2 von Linux Mint, die ebenfalls auf Ubuntu 14.04 basiert. Die dafür benötigten Software-Pakete liegen in entsprechenden PPA-Quellen vor. Prinzipiell funktioniert diese Anleitung auch mit anderen Ubuntu-Versionen oder weiteren Linux-Distributionen. Allerdings muss unter Umständen das entscheidende Paket yubikey-luks selbst kompiliert werden. Cornelius Kölbels Quellcode lässt sich über Github beziehen.

Ubuntu oder Linux Mint verschlüsselt installieren

Zunächst richten wir unsere Ubuntu-Distribution bei der Installation so ein, dass das gesamte System verschlüsselt wird. Diese Option gibt es in der Festplattenkonfiguration des Installers. Das dort vergebene Kennwort sollte möglichst lang sein und viele Sonderzeichen enthalten. Es bleibt auch nach der Einrichtung der Zwei-Faktor-Authentifizierung mit dem Yubikey bestehen und dient als Backup, falls der Schlüssel mal verloren geht. Dieses Hauptkennwort müssen wir bei Einrichtung des Yubikeys noch einige Male eingeben. Danach sollte es notiert und an einem sicheren Ort verwahrt werden.

Nach einem Neustart des frischen Systems lassen wir uns mit dem Befehl sudo lsblk --fs sämtliche Partitionen anzeigen, die bei der Installation von Ubuntu eingerichtet worden sind. Wurde bei der Installation das gesamte System verschlüsselt, tauchen jetzt die Einträge ubuntu--vg-root und ubuntu--vg-swap auf. Beide Partitionen sind standardmäßig unter dem LVM2-Namen sda5_crypt eingerichtet und erhalten den gemeinsamen Gerätenamen sda5. Die dort angezeigte Boot-Partition muss unverschlüsselt bleiben, denn dort liegt das temporäre Dateisystem Initrd mit der Startumgebung. Dort muss später ein Skript für den Yubikey eingebettet werden.

Software muss aus Fremdquellen geholt werden

Stellenmarkt
  1. IT-Systemadministration (m/w/d) im Referat "ADV, Informations- und Kommunikationstechnik, Statistik" ... (m/w/d)
    Ministerium für Klimaschutz, Umwelt, Energie und Mobilität des Landes Rheinland-Pfalz, Mainz
  2. Android-Entwickler (m/w/d) - Connected Car
    e.solutions GmbH, Ingolstadt
Detailsuche

Mit sudo cryptsetup luksDump /dev/sda5 lässt sich die Verschlüsselungsart feststellen. Dort sind auch die sogenannten Key-Slots zu sehen. Insgesamt gibt es davon sieben. Demnach können jedem verschlüsselten Volume bis zu sieben verschiedene Passwörter zugeordnet werden. In unserem Fall weisen wir später dem Yubikey den letzten Slot mit der Nummer 7 zu.

Zunächst installieren wir aber die dafür benötigte Software. Zwar gibt es bereits die wichtigsten Konfigurationswerkzeuge in den Standardpaketquellen, für die Konfiguration mit Luks müssen wir aber stattdessen zusätzlich zwei Fremdquellen einrichten. Mit

sudo add-apt-repository ppa:privacyidea/privacyidea-dev

und

sudo add-apt-repository ppa:yubico/stable

werden sie unseren Paketquellen hinzugefügt.

Anschließend wird zunächst die Konfigurationssoftware für den Yubikey installiert. Dafür geben wir den Befehl

sudo apt-get install yubikey-personalization

ein. Wer will, kann zusätzlich die grafische Version mit

sudo apt-get install yubikey-personalization-gui

installieren. Anschließend muss noch das Paket yubikey-luks installiert werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Konfiguration des Yubikeys und Einrichtung des Systems 
  1. 1
  2. 2
  3.  


UweNad 30. Aug 2019

Habe die Einrichtung wie oben beschrieben versucht in aktuelem Devuan umzusetzten. Ich...

Shadow27374 13. Jul 2015

Ich habe den Nano und damit funktioniert es!

Shadow27374 13. Jul 2015

Du solltest den Token auch entfernen sobald Du den PC nicht mehr verwendest...

FreiGeistler 12. Jul 2015

Toll, Danke! : )

ul mi 11. Jul 2015

Das verschlüsselte Keyfile auf einem USB-Stick kannst du kopieren. Der Vorteil von...



Aktuell auf der Startseite von Golem.de
Resident Evil (1996)
Grauenhaft gut

Resident Evil zeigte vor 25 Jahren, wie Horror im Videospiel auszusehen hat. Wir schauen uns den Klassiker im Golem retro_ an.

Resident Evil (1996): Grauenhaft gut
Artikel
  1. Streaming: Chromecast erhält spezielle Youtube-Fernbedienung
    Streaming
    Chromecast erhält spezielle Youtube-Fernbedienung

    Die Steuerung von Youtube auf einem Chromecast soll mit einer neuen Funktion deutlich komfortabler werden.

  2. Studie: Kinder erhalten Smartphone meist zwischen 6 und 11 Jahren
    Studie
    Kinder erhalten Smartphone meist zwischen 6 und 11 Jahren

    Nur eine sehr geringe Minderheit der Eltern will ihrem Kind erst mit 15 Jahren ein Smartphone zur Verfügung stellen.

  3. Google: Kopfhörer verlieren Google-Assistant-Support auf iPhones
    Google
    Kopfhörer verlieren Google-Assistant-Support auf iPhones

    Wer Google Assistant am Kopfhörer benutzen will, ist künftig auf ein Android-Gerät angewiesen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Saturn-Advent: Samsung Portable SSD T5 1 TB 84€ • ViewSonic VX2718-2KPC-MHD (WQHD, 165 Hz) 229€ • EPOS Sennheiser GSP 670 199€ • EK Water Blocks Elite Aurum 360 D-RGB All in One 205,89€ • KFA2 Geforce RTX 3070 OC 8 GB 1.019€ • Alternate (u. a. AKRacing Core SX 269,98€) [Werbung]
    •  /