LUKS – „Wiederherstellungsschlüssel“ erstellen

Lösungen zur Vollverschlüsselung von Betriebssystemen wie FileVault oder BitLocker bieten in der Regel die Möglichkeit einen so genannten Wiederherstellungsschlüssel während des Verschlüsselungsprozesses zu erzeugen. Denn auch wenn man es in dem Moment für unmöglich hält, Passwörter geraten immer mal wieder in Vergessenheit. LUKS bietet das standardmäßig nicht.

Das Thema wird nur sehr selten behandelt und kürzlich von Viktor aufgegriffen. Wenn man sein System in einen verschlüsselten LVM-Container gesteckt hat und das Passwort vergisst ist man aufgeschmissen. Daher sollte man prophylaktisch von der Möglichkeit Gebrauch machen mehrere Keys anzulegen (bis zu 8 Keys kann man für das gleiche LUKS-Volume anlegen).

Um also einen s. g. Wiederherstellungsschlüssel anzulegen gibt man in der Konsole des laufenden und entsperren Systems ein:

# cryptsetup luksAddKey /dev/sdaX

Das X ersetzt man durch die Nummer des verschlüsselten Laufwerks. Es erfolgt eine Abfrage des bei der Ersteinrichtung festgelegten Passworts, das man zu diesem Zeitpunkt hoffentlich noch kennt.

Anschließend gibt man einen sehr langen neuen Schlüssel ein. LUKS erlaubt maximal 39 Zeichen. Diesen bewahrt man anschließend an einem sichereren Ort auf.

Nebenbei zeigt Viktor auch sehr schön wie man ohne Kenntnis des Kennworts bei einem laufenden System sich einen neuen Schlüssel anlegen kann. Eine kleine Erinnerung daran, dass Verschlüsselung nur sinnvoll ist, wenn man keinen unbeaufsichtigten Zugriff auf das eigene System zulässt.